
<html>

<head>

<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1">

<style type="text/css" style="display:none;"> P {margin-top:0;margin-bottom:0;} </style>

</head>

<body dir="ltr">

<div id="divRplyFwdMsg" dir="ltr" class="elementToProof" style="color: inherit;">

<span style="font-family: "Courier New", monospace; font-size: 11pt; color: rgb(0, 0, 0);">Hello,</span></div>

<div style="direction: ltr; font-family: "Courier New", monospace; font-size: 11pt; color: rgb(0, 0, 0);">

<br>

</div>

<div style="direction: ltr; font-family: "Courier New", monospace; font-size: 11pt; color: rgb(0, 0, 0);">

We are trying to integrate with an SP who is requesting we release NameID as SAML 2.0 email address. However, when they send the AuthnRequest it contains:</div>

<div style="direction: ltr; font-family: "Courier New", monospace; font-size: 11pt; color: rgb(0, 0, 0);">

<br>

</div>

<div style="direction: ltr; font-family: "Courier New", monospace; font-size: 11pt; color: rgb(0, 0, 0);">

<br>

</div>

<div style="direction: ltr; font-family: Consolas, Courier, monospace; font-size: 11pt; color: rgb(0, 0, 0);">

<samlp:NameIDPolicy AllowCreate="true" Format="urn:mace:shibboleth:1.0:nameIdentifier" /></div>

<div style="direction: ltr; font-family: "Courier New", monospace; font-size: 11pt; color: rgb(0, 0, 0);">

<br>

</div>

<div style="direction: ltr; font-family: "Courier New", monospace; font-size: 11pt; color: rgb(0, 0, 0);">

<br>

</div>

<div style="direction: ltr; font-family: "Courier New", monospace; font-size: 11pt; color: rgb(0, 0, 0);">

Our IdP throws an error and this is what we can see in the logs:</div>

<div style="direction: ltr; font-family: "Courier New", monospace; font-size: 11pt; color: rgb(0, 0, 0);">

<br>

</div>

<div style="direction: ltr; font-family: "Courier New", monospace; font-size: 11pt; color: rgb(0, 0, 0);">

<br>

</div>

<div style="direction: ltr; font-family: Consolas, Courier, monospace; font-size: 11pt; color: rgb(0, 0, 0);">

DEBUG [org.opensaml.saml.common.profile.impl.ChainingNameIdentifierGenerator:96] - Trying to generate identifier with Format urn:mace:shibboleth:1.0:nameIdentifier</div>

<div style="direction: ltr; font-family: Consolas, Courier, monospace; font-size: 11pt; color: rgb(0, 0, 0);">

WARN [org.opensaml.saml.saml2.profile.impl.AddNameIDToSubjects:328] - Profile Action AddNameIDToSubjects: Request specified use of an unsupportable identifier format: urn:mace:shibboleth:1.0:nameIdentifier</div>

<div style="direction: ltr; font-family: Consolas, Courier, monospace; font-size: 11pt; color: rgb(0, 0, 0);">

WARN [org.opensaml.profile.action.impl.LogEvent:94] - A non-proceed event occurred while processing the request: InvalidNameIDPolicy</div>

<div style="direction: ltr; font-family: Consolas, Courier, monospace; font-size: 11pt; color: rgb(0, 0, 0);">

DEBUG [org.opensaml.saml.common.profile.logic.DefaultLocalErrorPredicate:173] - Error event InvalidNameIDPolicy will be handled with response</div>

<div style="direction: ltr; font-family: "Courier New", monospace; font-size: 11pt; color: rgb(0, 0, 0);">

<br>

</div>

<div style="direction: ltr; font-family: "Courier New", monospace; font-size: 11pt; color: rgb(0, 0, 0);">

<br>

</div>

<div style="direction: ltr; font-family: "Courier New", monospace; font-size: 11pt; color: rgb(0, 0, 0);" class="elementToProof">

The SP told us they are selecting the first format we have listed in our metadata which currently contains only:</div>

<div style="direction: ltr; font-family: "Courier New", monospace; font-size: 11pt; color: rgb(0, 0, 0);">

<br>

</div>

<div style="direction: ltr; font-family: "Courier New", monospace; font-size: 11pt; color: rgb(0, 0, 0);">

<br>

</div>

<div style="direction: ltr; font-family: Consolas, Courier, monospace; font-size: 11pt; color: rgb(0, 0, 0);">

<NameIDFormat>urn:mace:shibboleth:1.0:nameIdentifier</NameIDFormat></div>

<div style="direction: ltr; font-family: Consolas, Courier, monospace; font-size: 11pt; color: rgb(0, 0, 0);">

<NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:transient</NameIDFormat></div>

<div style="direction: ltr; font-family: "Courier New", monospace; font-size: 11pt; color: rgb(0, 0, 0);" class="elementToProof">

<br>

</div>

<div style="direction: ltr; margin-top: 1em; margin-bottom: 1em; font-family: "Courier New", monospace; font-size: 11pt; color: rgb(0, 0, 0);" class="elementToProof">

It is not clear to us what the NameIDFormat's in the metadata are supposed to be used for. Are SPs indeed supposed to pick the first NameIDFormat from the metadata and use it? All of our other integrations do not do this. </div>

<div class="elementToProof" style="margin-top: 1em; margin-bottom: 1em; font-family: "Courier New", monospace; font-size: 11pt; color: rgb(0, 0, 0);">

<br>

</div>

<div class="elementToProof" style="margin-top: 1em; margin-bottom: 1em; font-family: "Courier New", monospace; font-size: 11pt; color: rgb(0, 0, 0);">

Any help you could offer or even a pointer to documentation would be appreciated.</div>

<div class="elementToProof" style="margin-top: 1em; margin-bottom: 1em; font-family: "Courier New", monospace; font-size: 11pt; color: rgb(0, 0, 0);">

<br>

</div>

<div style="direction: ltr; font-family: "Courier New", monospace; font-size: 11pt; color: rgb(0, 0, 0);" class="elementToProof">

Diego</div>

<div id="x_Signature" style="color: inherit;">

<div dir="ltr" id="x_divtagdefaultwrapper" style="font-size: 12pt; color: rgb(0, 0, 0); font-family: Calibri, Helvetica, sans-serif;">

<p class="elementToProof" style="margin-top: 0px; margin-bottom: 0px;"><span style="font-family: Arial; font-size: 9.75pt; color: rgb(0, 0, 0); background-color: rgb(255, 255, 255);"><br>

</span></p>

</div>

</div>

</body>

</html>