<div dir="ltr"><div><div class="gmail_default" style="font-family:monospace">Hi Henri, </div><div class="gmail_default" style="font-family:monospace"><br></div><div class="gmail_default" style="font-family:monospace">Thanks for your reply.</div><div class="gmail_default" style="font-family:monospace">Yes i'm running the oidc sequence </div><div class="gmail_default" style="font-family:monospace"><br></div><div class="gmail_default" style="">From what I was able to verify, using the resource parameter or the audience parameter in resource json metadata does not change the way the claim aud is filled in the jwt access token. The claim aud in jwt accessToken is always filled with the issuer OIDC OP  url, what i'm doing wrong here?</div><div class="gmail_default" style=""><br></div><div class="gmail_default" style="">From what I understand, is it not possible to add the email value in the accessToken ? It is only available when accessing the userinfo endpoint .  </div></div><div><div dir="ltr" class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div dir="ltr"><pre cols="72" style="white-space:pre-wrap"><p style="color:rgb(136,136,136);font-size:13px;line-height:1.656;margin-top:0pt;margin-bottom:0pt"><span style="color:rgb(34,34,34);font-size:small"><span class="gmail_default" style="font-family:monospace"><br></span></span></p><p style="color:rgb(136,136,136);font-size:13px;line-height:1.656;margin-top:0pt;margin-bottom:0pt"><span style="color:rgb(34,34,34);font-size:small"><span class="gmail_default" style="font-family:monospace">Thanks for your help</span></span></p><p style="color:rgb(136,136,136);font-size:13px;line-height:1.656;margin-top:0pt;margin-bottom:0pt"><span style="color:rgb(34,34,34);font-size:small"><span class="gmail_default" style="font-family:monospace"></span><span class="gmail_default" style=""><font face="Arial, Helvetica, sans-serif">Best regards. </font></span></span></p></pre></div></div></div></div></div><br><div class="gmail_quote gmail_quote_container"><div dir="ltr" class="gmail_attr">Henri Mikkonen <<a href="mailto:henri.mikkonen@nimbleidm.com">henri.mikkonen@nimbleidm.com</a>> escreveu (quarta, 24/09/2025 à(s) 07:43):<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">Hi Pedro,<br>
<br>
As you mention id_token, you seem to be running the OIDC sequence. If <br>
that's the case, the access token issued by OP is solely meant for <br>
accessing OP's own user info endpoint so it's useless to include claims <br>
like email to the access token. See audience/aud -claim: nobody else <br>
except OP itself should be exploiting the access token.<br>
<br>
If you want to include some other resources to the audience, the RP may <br>
request it by exploiting the resource parameter as defined here:<br>
<br>
<a href="https://www.rfc-editor.org/rfc/rfc8707.html" rel="noreferrer" target="_blank">https://www.rfc-editor.org/rfc/rfc8707.html</a><br>
<br>
The resource needs to be (1) registered to OP via OIDC/SAML metadata and <br>
(2) linked to your RP via "audience", see [1].<br>
<br>
Whenever there are other audiences than OP itself, the claims will be <br>
included in the JWT access token.<br>
<br>
We have a backlog ticket to improving this feature (i.e. make the <br>
configuration less complicated) [2], but it hasn't been scheduled yet.<br>
<br>
BR,<br>
Henri.<br>
<br>
[1] <br>
<a href="https://shibboleth.atlassian.net/wiki/spaces/SC/pages/1912406916/OAuthRPMetadataProfile" rel="noreferrer" target="_blank">https://shibboleth.atlassian.net/wiki/spaces/SC/pages/1912406916/OAuthRPMetadataProfile</a><br>
<br>
[2] <a href="https://shibboleth.atlassian.net/browse/JOIDC-247" rel="noreferrer" target="_blank">https://shibboleth.atlassian.net/browse/JOIDC-247</a><br>
<br>
On 23.9.2025 16.45, Pedro Miguel Marques via users wrote:<br>
> Hi,<br>
> <br>
> Im' trying to figure out how get email claim on access token oauth2, the <br>
> attribute is being resolved and filtered, but does not figure in <br>
> AccessToken, only in idToken.<br>
> The shibboleth version is 5.1.4, the version of OIDC OP plugin is 4.30.<br>
> <br>
> <br>
> Anyone could help with this?<br>
> <br>
> Thanks in advance<br>
> <br>
> Pedro<br>
> <br>
> <br>
> <br>
> <br>
> <br>
> <br>
<br>
-- <br>
For Consortium Member technical support, see <a href="https://shibboleth.atlassian.net/wiki/x/ZYEpPw" rel="noreferrer" target="_blank">https://shibboleth.atlassian.net/wiki/x/ZYEpPw</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div>