<div dir="ltr"><div><div class="gmail_default" style="font-family:monospace">Hi, </div><div class="gmail_default" style="font-family:monospace"><br></div><div class="gmail_default" style="font-family:monospace">Apologize for returning to this. </div><div class="gmail_default" style="font-family:monospace"><br></div><div class="gmail_default" style="font-family:monospace">  Is there any way to include the claims defined in the scope directly in the jwt access token, without having to specify the <code>resource</code> parameter in the authentication request? The third-party app we're integrating with Shibboleth's OpenID layer is built to read user-related claims like email straight from the jwt access token and doesn't support the <code>resource</code> parameter in the auth request.  </div></div><div><div dir="ltr" class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div dir="ltr"><pre cols="72" style="white-space:pre-wrap"><p dir="ltr" style="color:rgb(136,136,136);font-size:13px;line-height:1.656;margin-top:0pt;margin-bottom:0pt"><span class="gmail_default" style="font-family:monospace"></span><br></p>
<span style="font-family:Arial,Helvetica,sans-serif">thanks in advance for a reply</span>

<p style="line-height:1.7999999999999998;background-color:#ffffff;margin-top:0pt;margin-bottom:0pt"><span class="gmail_default" style="font-family:monospace">Best regards</span><br></p><p style="line-height:1.7999999999999998;background-color:#ffffff;margin-top:0pt;margin-bottom:0pt"><span class="gmail_default" style="font-family:monospace">Pedro </span></p></pre></div></div></div></div><br></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">Cantor, Scott <<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>> escreveu (quarta, 24/09/2025 à(s) 15:01):<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">> Because the application from a third party, that we are<br>
> integrating with our OIDC OP, needs to get the email claim<br>
> from the acessToken. Does it make sense? It should be like<br>
> this?<br>
<br>
The only case in which you would need the claim would be if that system you're logging into is then going to use the access token with a third system via an API that requires an OAuth token and will be verifying the JWT itself and wanting the claim (and email isn't the right information anyway, that's not an identifier).<br>
<br>
If there are only two systems (OIDC client, OP) there is no scenario in which it's appropriate for that system to be looking at the access token, it's an opaque blob to any client.<br>
<br>
-- Scott<br>
<br>
<br>
<br>
<br>
<br>
</blockquote></div>