<div dir="ltr"><div>Hello,</div><div><br></div><div>I manage a Shibboleth 5.1 server which proxies another Shibboleth IdP (not sure about its version). Up to now, all the service providers connected to the proxy were using Transient NameIDs, but now I need to connect to a service provider that requires a Persistent NameID.</div><div><br></div><div>My first idea was to ask the proxied IdP for the Persistent NameID and pass it over to the service provider. However, this seems very hard to implement, and requires a lot of work. At the moment, I have changed my configuration in order to:<br><ul><li>ask the proxied IdP for a permanent NameID</li><li>use a  SubjectDerivedAttribute and a scripted function to extract the NameID from the Subject and turn it into an attribute<br></li><li>generate a permanente NameID from this attribute value by using a SAML2AttributeSourcedGenerator with format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent"</li></ul><div>It works but has several flaws (most importantly, the SPNameQualifier of the NameID that the proxied IdP sends me is the Entity ID of the proxy instead of the Entity ID of the service provider).</div><div><br></div><div>Since proxying the original NameID seems quite convoluted to implement, I wonder if it is something I should not do, and just generate the Persistent NameID on the proxy, even if it is different from the one generated in the proxied IdP.</div><div><br></div><div>Are there any best practices on this topic ? <br></div><div><br></div><div>Thanks a lot.</div><div><br></div><div>Best regards.</div><div>--gianluca amato</div><div><br></div><div><br></div><div><br></div></div></div>