<div dir="ltr"><div>Hi Peter:</div><div><br></div><div>Thank you for your email.</div><div><br></div><div>>Well, you asked about sending email address values with the<br>
'persistent' NameID format and were shot down rightfully</div><div><br></div><div>Yes, faster than a speeding bullet :) <br></div><div><br></div><div>I understand and appreciate the feedback.<br></div><div><br></div><div>I am on another conundrum -- is that I do not know where it is set to use EPTI as 'urn:oasis:names:tc:SAML:2.0:nameid-format:persistent'. Unfortunately we have had layoffs, and I am spread thin -- sincere apologies for long delays in replies ;)</div><div><br></div><div>We have EPIT to read from the 'generatedAttributeID' below:</div><div><br></div><div><resolver:DataConnector id="myStoredId" xsi:type="dc:StoredId" generatedAttributeID="persistentID" sourceAttributeID="%{idp.persistentId.sourceAttribute}"  queryTimeout="PT5S" transactionRetries="3" retryableErrors="72000 23000"><br>                  <resolver:Dependency ref="%{idp.persistentId.sourceAttribute}" /><br>                     <resolver:FailoverDataConnector ref="myStoredId-staticfailoverconnector"/><br>                    <dc:BeanManagedConnection>OracleDataSource</dc:BeanManagedConnection><br>             </resolver:DataConnector></div><div><br></div><div><resolver:AttributeDefinition id="eduPersonTargetedID" xsi:type="ad:SAML2NameID" sourceAttributeID="persistentID"><br>              <resolver:Dependency ref="myStoredId" /><br>          <resolver:AttributeEncoder xsi:type="enc:SAML2XMLObject" name="urn:oid:1.3.6.1.4.1.5923.1.1.1.10" friendlyName="eduPersonTargetedID" /><br>           </resolver:AttributeDefinition><br>   </div><div><br></div><div>However, I am unsure why I can't override 'urn:oasis:names:tc:SAML:2.0:nameid-format:persistent' in 'saml-nameid.xml with another source ID for a particular service (all other NmaeID formats I can overide, however not 'urn:oasis:names:tc:SAML:2.0:nameid-format:persistent'). We have a partner organization that has merged with us -- and I require to leverage their immutable identifier, now stored in our AD, as 'urn:oasis:names:tc:SAML:2.0:nameid-format:persistent' for a particular SP.</div><div><br></div><div>I have search all over and can't find a smoking gun -- unless it is above and I am not understanding it.</div><div><br></div><div>Thanks.<br></div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Tue, 8 Sep 2020 at 13:58, Peter Schober <<a href="mailto:peter.schober@univie.ac.at">peter.schober@univie.ac.at</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">* Joshua Brodie <<a href="mailto:josbrodie@gmail.com" target="_blank">josbrodie@gmail.com</a>> [2020-09-08 20:48]:<br>
> I had posted on this a while back and was unfortunately side-lined :(<br>
<br>
Well, you asked about sending email address values with the<br>
'persistent' NameID format and were shot down rightfully, as that's<br>
invalid. Here's a quote from the spec, SAML core, p.86[1]:<br>
<br>
> 8.3.7 Persistent Identifier<br>
> URI:urn:oasis:names:tc:SAML:2.0:nameid-format:persistent<br>
><br>
> Indicates that the content of the element is a persistent opaque<br>
> identifier for a principal that is specific to an identity provider<br>
> and a service provider or affiliation of service<br>
> providers. [E86]Persistent name identifiers generated by identity<br>
> providers MUST be constructed using values that have no discernible<br>
> correspondence with the subject's actual identity (for example,<br>
> username). [...]<br>
> The intent is to create a non-public, pair-wise pseudonym to prevent<br>
> the discovery of the subject's identity or activities.<br>
<br>
Email addresses violate that intent and those MUST requirements.<br>
<br>
If you need to be sending email addresses as NameIDs then there's even<br>
a matching NameID format defined in the spec, see 8.3.2, on p.85 of<br>
that PDF.[1]<br>
<br>
> However 'urn:oasis:names:tc:SAML:2.0:nameid-format:persistent' seems<br>
> to be fixed to EPTI no matter what I do.<br>
<br>
Could you explain what the above means, exactly?<br>
The new-for-IDPv3 saml-nameid.* mechanism does *not* create any<br>
eduPersonTargetedID (nor any other) *attributes*, you'd have to create<br>
those yourself in the attribute-resolver.<br>
So as written the above is nonsensical to me.<br>
<br>
-peter<br>
<br>
[1] <a href="https://www.oasis-open.org/committees/download.php/56776/sstc-saml-core-errata-2.0-wd-07.pdf" rel="noreferrer" target="_blank">https://www.oasis-open.org/committees/download.php/56776/sstc-saml-core-errata-2.0-wd-07.pdf</a><br>
-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div>