<div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div class="gmail_quote"><div class="gmail_attr">Scott, thanks for your answer.<br></div><br><div dir="ltr" class="gmail_attr">On Wed, Oct 23, 2024 at 1:16 AM Cantor, Scott <<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">
<br>
Virtually no SP *requires* a pairwise ID. Most of them don't even know what they mean and abuse NameIDs and Formats altogether. When they say "peristent", they really almost always mean "not transient", i.e. something stable. That doesn't require a pairwise ID.<br></blockquote><div><br></div><div>Unfortunately, the IDEM federation of italian research institutions explicitly says that IdP in the federations must generate a "opaque pairwise ID" in NameID attribute when asked for a persistent NameID (later, it also says that it is deprecated !). We are trying to be IDEM compliant, even if our proxy is not part of the federation at the moment.<br></div><div> <br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">
<br>
That aside, you can't typically "proxy" a pairwise ID without recreating it because the proxied IdP is going to hand you the same value every time, you're the SP in that scenario to it. For you to hand out a pairwise ID, it has to vary based on who you're talking to so you can't just pass the original through.<br></blockquote><div><br></div><div>I actually managed to send an SPNameQualifier attribute with the name of the requesting SP in the NameIDPolicy tag sent to the proxied IdP. My hope was that, in this way, the proxied IdP would send me the correct persistent NameID for the SP. But the actual result was an error response from the proxyed IdP. <br></div><div><br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">
Even if you're emulating the proxied IdPs to all your SPs so as to be a transparent proxy, you'd have to handle pairwise IDs at that spot to get them issued properly.<br>
</blockquote><div><br></div><div>Yes, I will follow your suggestion. The only thing that bothers me is that if one day we decide to dismiss the proxy and move back some SPs to the proxied IdP, all persistent NameIDs will change (which is, if I understand, precisely the reason why pairwise ID are bad !)</div><div><br></div><div>Best,<br></div><div>--gianluca<br></div><div><br></div><div><br></div><div><br></div></div></div>
</div>
</div>
</div>