<div dir="ltr"><div class="gmail_default" style="font-family:garamond,serif">Hello users,</div><div class="gmail_default" style="font-family:garamond,serif">First of all Gary, thanks for your inputs, I had already modified the saml-nameid.xml as you pointed out  but will follow through the remaining points to see what happens.</div><div class="gmail_default" style="font-family:garamond,serif"><br></div><div class="gmail_default" style="font-family:garamond,serif">Peter, I was also surprised  when the AWS support team asked me to specifically remove the mail attribute. If you follow the link (<a href="https://docs.aws.amazon.com/vpn/latest/clientvpn-admin/client-vpn-admin-guide.pdf" style="font-family:Arial,Helvetica,sans-serif">https://docs.aws.amazon.com/vpn/latest/clientvpn-admin/client-vpn-admin-guide.pdf</a>) it says on page 11 and 12 what attributes they need.  My argument to the AWS team was if the mail attribute does come in can they not still operate. </div><div class="gmail_default" style="font-family:garamond,serif">I am sure a lot of people have integrated Shibboleth with AWS, but not sure how many have integrated the AWS VPN client with Shibboleth as this is a relatively new service ( 3-4 months old I was told by the support team) .</div><div class="gmail_default" style="font-family:garamond,serif"><br></div><div class="gmail_default" style="font-family:garamond,serif">Robert, I should have mentioned in my initial email that I am working on getting AWS VPN client to talk to Shibboleth. I know when it comes to AWS console integration with Shibboleth the critical attribute is the role(membeOf) attribute as this relates back to the IAM role for a user. However, in the case of AWS VPN Client although they require the 'memberOf' attribute in the assertion they are not using any IAM roles to grant access. So as such the 'memberOf ' attribute is of no use , at least as of now, may be in the future it may get utilized.</div><div class="gmail_default" style="font-family:garamond,serif"><br></div><div class="gmail_default" style="font-family:garamond,serif"><br></div><div><div dir="ltr" class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div dir="ltr"><div><font face="garamond, serif">Thanks and Regards,</font></div><div><font face="garamond, serif"><br></font></div><div><p style="font-size:12.8px;background-image:initial;background-position:initial;background-repeat:initial"><b><span style="font-size:12pt">Amit Dongaonkar</span></b></p><p style="font-size:12.8px;background-image:initial;background-position:initial;background-repeat:initial"><i><span style="font-size:12pt">Snr. Technical Architect Lead</span></i><i><span style="font-size:12pt"></span></i></p><p style="font-size:12.8px;background-image:initial;background-position:initial;background-repeat:initial">o: <font color="#000000">(248) 284-4035</font> m: <font color="#000000">(248) 385-6033</font></p><p style="font-size:12.8px;background-image:initial;background-position:initial;background-repeat:initial">40850 Grand River Ave #100, Novi, MI 48375</p><p style="font-size:12.8px;background-image:initial;background-position:initial;background-repeat:initial"><span style="color:rgb(17,85,204)"><a href="http://www.nitssolutions.com/" style="color:rgb(17,85,204)" target="_blank">www.nitssolutions.com</a></span></p><p style="font-size:12.8px;background-image:initial;background-position:initial;background-repeat:initial"><img border="0" width="120" height="91" src="cid:image001.png@01D29DA4.739D6D20" alt="unnamed" style="width:1.25in;height:0.9479in"></p></div></div></div></div></div></div></div></div></div></div></div></div></div><br></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Fri, Aug 7, 2020 at 9:09 AM Cantor, Scott <<a href="mailto:cantor.2@osu.edu">cantor.2@osu.edu</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">On 8/6/20, 8:35 PM, "users on behalf of Amit Dongaonkar" <<a href="mailto:users-bounces@shibboleth.net" target="_blank">users-bounces@shibboleth.net</a> on behalf of <a href="mailto:amitd@nitssolutions.com" target="_blank">amitd@nitssolutions.com</a>> wrote:<br>
<br>
>    I tried different ways mentioned in the documentation but as soon as I remove the mail attribute from the attribute-<br>
> filter.xml I see the invalidNameIDPolicy error.<br>
<br>
That suggests you're not using "AWS" here, this is some other SP. AWS "proper" has no requests, it's IdP-initiated, so there's no possible way to trigger that error.<br>
<br>
AWS itself doesn't require particular NameID values, though it sort of supports them alongside its own custom role and session name attributes. But that's not relevant to this question.<br>
<br>
In either case, the correct answer to "don't send me the attribute" if you also have to include the NameID is "too bad, fix your code". The incorrect answer is to filter the attribute out, add an explicit NameID-generator bean with an activation condition for just that SP, and toggle the flag on the generator to rely on "unfiltered" attributes.<br>
<br>
-- Scott<br>
<br>
<br>
-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div>