Hej, Planen är att skriva några rader om detta i vår wiki, men jag har inte hunnit det. Jag har suttit med Kent och labbat lite för ADFS Toolkits räkning. Det luriga med Harica är att de vill ha eduPersonTargetedID, men inte som ett persitentID. De begär nämligen ett transientID. Jag lade in följande i Get-ADFSTkLocalManualSPSettings.ps1 vilket verkar fungera bra: ### Harica PROD $ManualSPSettings = @{ TransformRules = [Ordered]@{} } $ManualSPSettings.TransformRules.givenName = $AllTransformRules.givenName $ManualSPSettings.TransformRules.sn = $AllTransformRules.sn $ManualSPSettings.TransformRules.mail = $AllTransformRules.mail $ManualSPSettings.TransformRules.'transient-id' = $AllTransformRules.'transient-id' $ManualSPSettings.TransformRules.eduPersonPrimaryAffiliation = $AllTransformRules.eduPersonPrimaryAffiliation $ManualSPSettings.TransformRules.eduPersonPrincipalName = $AllTransformRules.eduPersonPrincipalName $ManualSPSettings.TransformRules.schacHomeOrganization = $AllTransformRules.schacHomeOrganization $ManualSPSettings.TransformRules.eduPersonTargetedId = [PSCustomObject]@{ Rule=@" @RuleName = "Transform norEduPersonLIN" c:[Type == "urn:mace:dir:attribute-def:norEduPersonLIN"] => issue(Type = "urn:oid:1.3.6.1.4.1.5923.1.1.1.10", Value = c.Value, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproper… = "urn:oasis:names:tc:SAML:2.0:attrname-format:uri"); "@ Attribute="urn:mace:dir:attribute-def:norEduPersonLIN" } $ManualSPSettings.TransformRules.eduPersonEntitlement = [PSCustomObject]@{ Rule=@" @RuleName = "Set eduPersonEntitlement for AL2 users" c:[Type == "http://schemas.xmlsoap.org/claims/Group", Value == "member-liu.se"] => issue(Type = "urn:oid:1.3.6.1.4.1.5923.1.1.1.7", Value = "urn:mace:terena.org:tcs:personal-user", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproper… = "urn:oasis:names:tc:SAML:2.0:attrname-format:uri"); "@ Attribute="http://schemas.xmlsoap.org/claims/Group" } $IssuanceTransformRuleManualSP["https://www.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/pki-grnet-sp"] = $ManualSPSettings ### Harica STAGING $IssuanceTransformRuleManualSP["https://cm-stg.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/harica-cm-stg-sp"] = $ManualSPSettings ### Harica DEV $IssuanceTransformRuleManualSP["https://cm-dev.harica.gr/saml/module.php/saml/sp/metadata.php/harica-cm-dev-sp"] = $ManualSPSettings ### Med vänlig hälsning Johan Peterson IT-Arkitekt [Linköpings universitet] Digitaliseringsavdelningen DIG❤️IT 581 83 Linköping Telefon: 013-28 5730 Mobil: 0703-222 405 Besöksadress: Hus Galaxen Besök oss gärna på: www.liu.se<http://www.liu.se/> Boka ett möte med mig<https://outlook.office365.com/owa/calendar/Bookameetingwithme@liuonl… När du skickar e-post till Linköpings universitet innebär detta att Linköpings universitet behandlar dina personuppgifter. Läs mer om hur detta går till på https://liu.se/artikel/integritetspolicy-liu ________________________________ From: Björn Sandell Sent: Monday, April 28, 2025 09:07 To: Tomas Liljebergh; saml-admins(a)lists.sunet.se; Mats Luspa Subject: [Saml-admins] Re: SSO Login Harica (Shibboleth) Hej, Jag drog igång det i slutet av förra veckan, iofs på ADFS. Inga större konstigheter egentligen, men jag hade kanske tur. För edupersonTargetedID bygger jag ihop ett värde på samma sätt som för ett persistent NameID men släpper det som urn:oid:1.3.6.1.4.1.5923.1.1.1.10 /Björn ________________________________ From: Tomas Liljebergh &lt;Tomas.Liljebergh(a)oru.se&gt; Sent: Monday, April 28, 2025 08:50 To: saml-admins(a)lists.sunet.se &lt;saml-admins(a)lists.sunet.se&gt;; Mats Luspa &lt;mats.luspa(a)irf.se&gt; Subject: [Saml-admins] Re: SSO Login Harica (Shibboleth) Some people who received this message don't often get email from tomas.liljebergh(a)oru.se. Learn why this is important<https://aka.ms/LearnAboutSenderIdentification> Hej! Har de öppnat för SSO? Kent o TCS har meddelat att det tillsvidare inte fungerar men jag kan ha missat något meddelande! VI har testat och fått samma fel! //Tomas ________________________________ From: Mats Luspa via Saml-admins &lt;saml-admins(a)lists.sunet.se&gt; Sent: Monday, April 28, 2025 8:48 To: saml-admins(a)lists.sunet.se &lt;saml-admins(a)lists.sunet.se&gt; Subject: [Saml-admins] SSO Login Harica (Shibboleth) Hej! Enligt dokumentation här https://wiki.geant.org/pages/viewpage.action?spaceKey=TCSNT&title=TCS+2… så kräver Harica följande attribut: givenName (oid:2.5.4.42) surname (oid:2.5.4.4) mail (oid:0.9.2342.19200300.100.1.3) edupersonTargetedID (oid:1.3.6.1.4.1.5923.1.1.1.10) Men jag har problem att få iväg attributet edupersonTargetedID till Harica. I attribute-filter har jag följande: <AttributeFilterPolicy id="Harica"> <PolicyRequirementRule xsi:type="Requester" value="https://www.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/pki-grnet-sp" /> <AttributeRule attributeID="givenName"> <PermitValueRule xsi:type="ANY" /> </AttributeRule> <AttributeRule attributeID="surname"> <PermitValueRule xsi:type="ANY"/> </AttributeRule> <AttributeRule attributeID="mail"> <PermitValueRule xsi:type="ANY" /> </AttributeRule> <AttributeRule attributeID="edupersonTargetedID"> <PermitValueRule xsi:type="ANY"/> </AttributeRule> <AttributeRule attributeID="tcsPersonalEntitlement"> <PermitValueRule xsi:type="ANY" /> </AttributeRule> <AttributeRule attributeID="eduPersonPrincipalName"> <PermitValueRule xsi:type="ANY"/> </AttributeRule> <AttributeRule attributeID="schacHomeOrganization"> <PermitValueRule xsi:type="ANY"/> </AttributeRule> <AttributeRule attributeID="eduPersonPrimaryAffiliation"> <PermitValueRule xsi:type="ANY"/> </AttributeRule> </AttributeFilterPolicy> I attribute-resolver: <AttributeDefinition xsi:type="SAML2NameID" xmlns="urn:mace:shibboleth:2.0:resolver" id="edupersonTargetedID" nameIdFormat="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent"> <InputDataConnector ref="StoredId" attributeNames="persistentId"/> <AttributeEncoder xsi:type="SAML1XMLObject" name="urn:oid:1.3.6.1.4.1.5923.1.1.1.10" /> <AttributeEncoder xsi:type="SAML2XMLObject" name="urn:oid:1.3.6.1.4.1.5923.1.1.1.10" friendlyName="edupersonTargetedID" /> </AttributeDefinition> När jag loggar in så skickas attributet edupersonTargetedID enligt bilaga, men det ser ut som Harica vägrar att ta emot detta då jag får felmeddelande: Cannot create your account Your Identity Provider (IdP) does not provide HARICA with the appropriate info (attributes) for your account. Please contact your IdP, to fix this issue. Testade även med https://cm.harica.gr/loginsaml/test.php och då får jag att dessa attibut kommer fram (trots att attributen skickas enligt bilaga alltså): eduPersonPrincipalName: matsl(a)irf.se schacHomeOrganization: irf.se sn: Luspa eduPersonEntitlement: urn:mace:terena.org:tcs:personal-user eduPersonPrimaryAffiliation: The Swedish Institute of Space Physics givenName: Mats mail: mats.luspa(a)irf.se groups: realm-irf.se, users, members Är det någon i denna lista som fått SSO login till Harica att fungera med idp shibboleth (ver. 5.1.4)? /MVH Mats -- -- Mats Luspa Phone: +46 (0)980 79 022 Cellular phone: +46 (0)725813330 Institutet för rymdfysik Fax: +46 (0)980 79 050 Swedish Institute of Space Physics email: matsl(a)irf.se Visiting/Delivery address: Bengt Hultqvists väg 1, SE-981 92 Kiruna Postal address: Box 812, SE-981 28 Kiruna -- PGP Public Key: https://www.irf.se/pgp/matsl Digital vcard: https://www.irf.se/vcard/mats.luspa

Om man inte har något norEduPersonLIN kan man göra så här (tror jag, har inte testat i ADFS toolkit!) Rule=@" @RuleName = "synthesize eduPersonTargetedId" c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/primarysid" ] => add(   Store = "_OpaqueIdStore",        Types = ("urn:adfstk:persistentid"),        Query = "{0};{1};{2}",        Param = "ppid",     Param = "$self!$sp!" + c.Value,        Param = c.OriginalIssuer); @RuleName = "Issue eduPersonTargetedId" c:[Type == "uurn:adfstk:persistentid"] => issue(Type = "urn:oid:1.3.6.1.4.1.5923.1.1.1.10", Value = c.Value, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproper… = "urn:oasis:names:tc:SAML:2.0:attrname-format:uri"); "@ Alternativt kan man konstatera att eduPersonTargetedId är depraceted sedan fem år, och stället spraka harica på smalbenet tills de börja använda pairwise-id istället. 🙂 /Björn ________________________________ From: Johan Peterson &lt;johan.peterson(a)liu.se&gt; Sent: Monday, April 28, 2025 09:53 To: Björn Sandell &lt;biorn(a)chalmers.se&gt;; Tomas Liljebergh &lt;Tomas.Liljebergh(a)oru.se&gt;; saml-admins(a)lists.sunet.se &lt;saml-admins(a)lists.sunet.se&gt;; Mats Luspa &lt;mats.luspa(a)irf.se&gt; Subject: Re: [Saml-admins] Re: SSO Login Harica (Shibboleth) Hej, Planen är att skriva några rader om detta i vår wiki, men jag har inte hunnit det. Jag har suttit med Kent och labbat lite för ADFS Toolkits räkning. Det luriga med Harica är att de vill ha eduPersonTargetedID, men inte som ett persitentID. De begär nämligen ett transientID. Jag lade in följande i Get-ADFSTkLocalManualSPSettings.ps1 vilket verkar fungera bra: ### Harica PROD $ManualSPSettings = @{ TransformRules = [Ordered]@{} } $ManualSPSettings.TransformRules.givenName = $AllTransformRules.givenName $ManualSPSettings.TransformRules.sn = $AllTransformRules.sn $ManualSPSettings.TransformRules.mail = $AllTransformRules.mail $ManualSPSettings.TransformRules.'transient-id' = $AllTransformRules.'transient-id' $ManualSPSettings.TransformRules.eduPersonPrimaryAffiliation = $AllTransformRules.eduPersonPrimaryAffiliation $ManualSPSettings.TransformRules.eduPersonPrincipalName = $AllTransformRules.eduPersonPrincipalName $ManualSPSettings.TransformRules.schacHomeOrganization = $AllTransformRules.schacHomeOrganization $ManualSPSettings.TransformRules.eduPersonTargetedId = [PSCustomObject]@{ Rule=@" @RuleName = "Transform norEduPersonLIN" c:[Type == "urn:mace:dir:attribute-def:norEduPersonLIN"] => issue(Type = "urn:oid:1.3.6.1.4.1.5923.1.1.1.10", Value = c.Value, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproper… = "urn:oasis:names:tc:SAML:2.0:attrname-format:uri"); "@ Attribute="urn:mace:dir:attribute-def:norEduPersonLIN" } $ManualSPSettings.TransformRules.eduPersonEntitlement = [PSCustomObject]@{ Rule=@" @RuleName = "Set eduPersonEntitlement for AL2 users" c:[Type == "http://schemas.xmlsoap.org/claims/Group", Value == "member-liu.se"] => issue(Type = "urn:oid:1.3.6.1.4.1.5923.1.1.1.7", Value = "urn:mace:terena.org:tcs:personal-user", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproper… = "urn:oasis:names:tc:SAML:2.0:attrname-format:uri"); "@ Attribute="http://schemas.xmlsoap.org/claims/Group" } $IssuanceTransformRuleManualSP["https://www.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/pki-grnet-sp"] = $ManualSPSettings ### Harica STAGING $IssuanceTransformRuleManualSP["https://cm-stg.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/harica-cm-stg-sp"] = $ManualSPSettings ### Harica DEV $IssuanceTransformRuleManualSP["https://cm-dev.harica.gr/saml/module.php/saml/sp/metadata.php/harica-cm-dev-sp"] = $ManualSPSettings ### Med vänlig hälsning Johan Peterson IT-Arkitekt [Linköpings universitet] Digitaliseringsavdelningen DIG❤️IT 581 83 Linköping Telefon: 013-28 5730 Mobil: 0703-222 405 Besöksadress: Hus Galaxen Besök oss gärna på: www.liu.se<http://www.liu.se/> Boka ett möte med mig<https://outlook.office365.com/owa/calendar/Bookameetingwithme@liuonl… När du skickar e-post till Linköpings universitet innebär detta att Linköpings universitet behandlar dina personuppgifter. Läs mer om hur detta går till på https://liu.se/artikel/integritetspolicy-liu ________________________________ From: Björn Sandell Sent: Monday, April 28, 2025 09:07 To: Tomas Liljebergh; saml-admins(a)lists.sunet.se; Mats Luspa Subject: [Saml-admins] Re: SSO Login Harica (Shibboleth) Hej, Jag drog igång det i slutet av förra veckan, iofs på ADFS. Inga större konstigheter egentligen, men jag hade kanske tur. För edupersonTargetedID bygger jag ihop ett värde på samma sätt som för ett persistent NameID men släpper det som urn:oid:1.3.6.1.4.1.5923.1.1.1.10 /Björn ________________________________ From: Tomas Liljebergh &lt;Tomas.Liljebergh(a)oru.se&gt; Sent: Monday, April 28, 2025 08:50 To: saml-admins(a)lists.sunet.se &lt;saml-admins(a)lists.sunet.se&gt;; Mats Luspa &lt;mats.luspa(a)irf.se&gt; Subject: [Saml-admins] Re: SSO Login Harica (Shibboleth) Some people who received this message don't often get email from tomas.liljebergh(a)oru.se. Learn why this is important<https://aka.ms/LearnAboutSenderIdentification> Hej! Har de öppnat för SSO? Kent o TCS har meddelat att det tillsvidare inte fungerar men jag kan ha missat något meddelande! VI har testat och fått samma fel! //Tomas ________________________________ From: Mats Luspa via Saml-admins &lt;saml-admins(a)lists.sunet.se&gt; Sent: Monday, April 28, 2025 8:48 To: saml-admins(a)lists.sunet.se &lt;saml-admins(a)lists.sunet.se&gt; Subject: [Saml-admins] SSO Login Harica (Shibboleth) Hej! Enligt dokumentation här https://wiki.geant.org/pages/viewpage.action?spaceKey=TCSNT&title=TCS+2… så kräver Harica följande attribut: givenName (oid:2.5.4.42) surname (oid:2.5.4.4) mail (oid:0.9.2342.19200300.100.1.3) edupersonTargetedID (oid:1.3.6.1.4.1.5923.1.1.1.10) Men jag har problem att få iväg attributet edupersonTargetedID till Harica. I attribute-filter har jag följande: <AttributeFilterPolicy id="Harica"> <PolicyRequirementRule xsi:type="Requester" value="https://www.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/pki-grnet-sp" /> <AttributeRule attributeID="givenName"> <PermitValueRule xsi:type="ANY" /> </AttributeRule> <AttributeRule attributeID="surname"> <PermitValueRule xsi:type="ANY"/> </AttributeRule> <AttributeRule attributeID="mail"> <PermitValueRule xsi:type="ANY" /> </AttributeRule> <AttributeRule attributeID="edupersonTargetedID"> <PermitValueRule xsi:type="ANY"/> </AttributeRule> <AttributeRule attributeID="tcsPersonalEntitlement"> <PermitValueRule xsi:type="ANY" /> </AttributeRule> <AttributeRule attributeID="eduPersonPrincipalName"> <PermitValueRule xsi:type="ANY"/> </AttributeRule> <AttributeRule attributeID="schacHomeOrganization"> <PermitValueRule xsi:type="ANY"/> </AttributeRule> <AttributeRule attributeID="eduPersonPrimaryAffiliation"> <PermitValueRule xsi:type="ANY"/> </AttributeRule> </AttributeFilterPolicy> I attribute-resolver: <AttributeDefinition xsi:type="SAML2NameID" xmlns="urn:mace:shibboleth:2.0:resolver" id="edupersonTargetedID" nameIdFormat="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent"> <InputDataConnector ref="StoredId" attributeNames="persistentId"/> <AttributeEncoder xsi:type="SAML1XMLObject" name="urn:oid:1.3.6.1.4.1.5923.1.1.1.10" /> <AttributeEncoder xsi:type="SAML2XMLObject" name="urn:oid:1.3.6.1.4.1.5923.1.1.1.10" friendlyName="edupersonTargetedID" /> </AttributeDefinition> När jag loggar in så skickas attributet edupersonTargetedID enligt bilaga, men det ser ut som Harica vägrar att ta emot detta då jag får felmeddelande: Cannot create your account Your Identity Provider (IdP) does not provide HARICA with the appropriate info (attributes) for your account. Please contact your IdP, to fix this issue. Testade även med https://cm.harica.gr/loginsaml/test.php och då får jag att dessa attibut kommer fram (trots att attributen skickas enligt bilaga alltså): eduPersonPrincipalName: matsl(a)irf.se schacHomeOrganization: irf.se sn: Luspa eduPersonEntitlement: urn:mace:terena.org:tcs:personal-user eduPersonPrimaryAffiliation: The Swedish Institute of Space Physics givenName: Mats mail: mats.luspa(a)irf.se groups: realm-irf.se, users, members Är det någon i denna lista som fått SSO login till Harica att fungera med idp shibboleth (ver. 5.1.4)? /MVH Mats -- -- Mats Luspa Phone: +46 (0)980 79 022 Cellular phone: +46 (0)725813330 Institutet för rymdfysik Fax: +46 (0)980 79 050 Swedish Institute of Space Physics email: matsl(a)irf.se Visiting/Delivery address: Bengt Hultqvists väg 1, SE-981 92 Kiruna Postal address: Box 812, SE-981 28 Kiruna -- PGP Public Key: https://www.irf.se/pgp/matsl Digital vcard: https://www.irf.se/vcard/mats.luspa

Hej! Tydligen skall det fungera enligt Kent (enligt ett mail då jag ställde frågan till tcs(a)sunet.se) TCS har inte gått ut med detta offentligt ännu dock på grund av att självbetjäningen av personliga certifikat inte riktigt är på plats ännu. Det kanske inte är så bråttom då men ville ändå kolla upp om fler testat. Hittade i alla fall detta som har koppling till Harica men vet inte hur jag skall implementera något liknande i idp shibboleth: https://groups.google.com/u/1/g/simplesamlphp/c/BhoEPMvrQ3k?pli=1 (skrevs i februari 2025 så det borde vara aktuellt) Vet inte om ni kan se detta. Man måste tydligen vara inloggad med en gmail-adress. Men så här står det i alla fall: /Hello, turns out that the not-working IdP missed the attributeencoding "raw" for the attribute in question, which made it be encoded in a bogus way. Lesson learnt: those last two items in the last example of https://simplesamlphp.org/docs/stable/saml/nameid.html are really important :-) / /Stefan / /Am 19.02.25 um 14:41 schrieb Stefan Winter: Hello, I am currently debugging issues with an SP that has problems parsing eduPersonTargetedId values. Yes, the SP should fix those problems on its own side, that's understood. Still, I'd like to understand how two IdPs with identical simpleSAMLphp versions (2.3.5) can produce subtly different eduPersonTargetedId values. The difference is this: / /WORKING: <saml:AttributeValue>     <saml:NameID SPNameQualifier="https://www.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/pki-grnet-sp" Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent">322c1cbdde24318cac944edcf0da539802e296c0</saml:NameID> </saml:AttributeValue> NOT WORKING: <saml:AttributeValue>      <saml:NameID xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion" SPNameQualifier="https://www.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/pki-grnet-sp" Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent">5fbad5c399b4c6ce6a36861e67c2a5f9490c14ce</saml:NameID> </saml:AttributeValue> As one can see, one of the two generates a saml:NameID that explicitly sets its own xmlns:saml while the other one does not. I understand that both are semantically identical XML (but one could argue that the AttributeValue is an opaque string, and not interpreted XML, so this would make them different). Anyway, for some reason the parser on the SP end does wrong things when seeing this second variant. / /I would love to advise the concerned IdP operator to change their config to produce something acceptable. But I have not the slightest clue what and where to change. Does any of the above ring a bell? I heat that the SSP versions are identical, but I know nothing about the underlying PHP versions or OS specifics. Greetings, Stefan Winter/ Det skall tydligen användes attributeencoding "raw" men vet som sagt inte hur detta skall göras i Shibboleth. /Mats On 4/28/25 8:50 AM, Tomas Liljebergh wrote: -- -- Mats Luspa Phone: +46 (0)980 79 022 Cellular phone: +46 (0)725813330 Institutet för rymdfysik Fax: +46 (0)980 79 050 Swedish Institute of Space Physics email:matsl@irf.se Visiting/Delivery address: Bengt Hultqvists väg 1, SE-981 92 Kiruna Postal address: Box 812, SE-981 28 Kiruna -- PGP Public Key:https://www.irf.se/pgp/matsl Digital vcard:https://www.irf.se/vcard/mats.luspa

Hej! Det verkar ha betydelse med stort eller litet p. Jag använde stort P och då kom inte eptid med i "Information to be Provided to Service" som man får upp i webbläsaren. Men med litet p kom eptid med. Men det blir ändå fel i nästa steg när man sedan gör consent. Då fpr inte Harica eptid. För aacli så får man denna info vare sig man använder stort eller litet p: root@idpshibboleth:/opt/shibboleth-idp# ./bin/aacli.sh -r https://www.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/pki-grn… -n matsl --saml2 <?xml version="1.0" encoding="UTF-8"?><saml2:Assertion xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion" ID="_2374c89ceda8f7011922494f20fb87a6" IssueInstant="2025-04-28T11:04:55.295Z" Version="2.0"> <saml2:Issuer>https://idpshibboleth.irf.se/idp/shibboleth</saml2:Issuer>     <saml2:Subject>         <saml2:NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:transient" NameQualifier="https://idpshibboleth.irf.se/idp/shibboleth" SPNameQualifier="https://www.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/pki-grnet-sp">AAdzZWNyZXQx5MXIbC+mPX2av5rfAZDvqRO1ewy7hw8SRqc38NIqMbjsqHQDDUoTabsF91rRcQ0rYzrTiYdgsSodafWxNGKyXXFuEQu3c77d4u6glzyENVcGGxIt8POp3c9o+fMiPtuyiSL1wfeChgeQs4bHmvsQXi+Smy0neS68KXXPVxsuulRHeI+Ufx4dNx8=</saml2:NameID>     </saml2:Subject>     <saml2:AttributeStatement>         <saml2:Attribute FriendlyName="tcsPersonalEntitlement" Name="urn:oid:1.3.6.1.4.1.5923.1.1.1.7" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">             <saml2:AttributeValue xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xsd:string">urn:mace:terena.org:tcs:personal-user</saml2:AttributeValue>         </saml2:Attribute>         <saml2:Attribute FriendlyName="surname" Name="urn:oid:2.5.4.4" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">             <saml2:AttributeValue xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xsd:string">Luspa</saml2:AttributeValue>         </saml2:Attribute>         <saml2:Attribute FriendlyName="schacHomeOrganization" Name="urn:oid:1.3.6.1.4.1.25178.1.2.9" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">             <saml2:AttributeValue xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xsd:string">irf.se</saml2:AttributeValue>         </saml2:Attribute>         <saml2:Attribute FriendlyName="eduPersonPrincipalName" Name="urn:oid:1.3.6.1.4.1.5923.1.1.1.6" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">             <saml2:AttributeValue xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xsd:string">matsl@irf.se</saml2:AttributeValue>         </saml2:Attribute>         <saml2:Attribute FriendlyName="mail" Name="urn:oid:0.9.2342.19200300.100.1.3" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">             <saml2:AttributeValue xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xsd:string">mats.luspa@irf.se</saml2:AttributeValue>         </saml2:Attribute>         <saml2:Attribute FriendlyName="givenName" Name="urn:oid:2.5.4.42" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">             <saml2:AttributeValue xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xsd:string">Mats</saml2:AttributeValue>         </saml2:Attribute>         <saml2:Attribute FriendlyName="eduPersonPrimaryAffiliation" Name="urn:oid:1.3.6.1.4.1.5923.1.1.1.5" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">             <saml2:AttributeValue xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xsd:string">The Swedish Institute of Space Physics</saml2:AttributeValue>         </saml2:Attribute>     </saml2:AttributeStatement> </saml2:Assertion> Kan det bli krock någonstans när man använder stort P? Ser att eduPersonTargetedID används i releaseToCodeOfConduct och releaseToRefedsResearchAndScholarship. /Mats On 4/28/25 10:55 AM, Paul Scott wrote: -- -- Mats Luspa Phone: +46 (0)980 79 022 Cellular phone: +46 (0)725813330 Institutet för rymdfysik Fax: +46 (0)980 79 050 Swedish Institute of Space Physics email: matsl(a)irf.se Visiting/Delivery address: Bengt Hultqvists väg 1, SE-981 92 Kiruna Postal address: Box 812, SE-981 28 Kiruna -- PGP Public Key: https://www.irf.se/pgp/matsl Digital vcard: https://www.irf.se/vcard/mats.luspa

Hur ser konfigurationen ut för er Shibboleth så att jag kan jämföra? Jag har alltså i attribute-filter.xml följande: <AttributeFilterPolicy id="Harica">         <PolicyRequirementRule xsi:type="Requester" value="https://www.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/pki-grnet-sp" />         <AttributeRule attributeID="givenName">                 <PermitValueRule xsi:type="ANY" />         </AttributeRule>         <AttributeRule attributeID="surname">                 <PermitValueRule xsi:type="ANY"/>         </AttributeRule>         <AttributeRule attributeID="mail">                 <PermitValueRule xsi:type="ANY" />         </AttributeRule>         <AttributeRule attributeID="eduPersonTargetedID">                 <PermitValueRule xsi:type="ANY"/>         </AttributeRule>         <AttributeRule attributeID="tcsPersonalEntitlement">                 <PermitValueRule xsi:type="ANY" />         </AttributeRule>         <AttributeRule attributeID="eduPersonPrincipalName">                 <PermitValueRule xsi:type="ANY"/>         </AttributeRule>         <AttributeRule attributeID="schacHomeOrganization">                 <PermitValueRule xsi:type="ANY"/>         </AttributeRule>         <AttributeRule attributeID="eduPersonPrimaryAffiliation">                 <PermitValueRule xsi:type="ANY"/>         </AttributeRule> </AttributeFilterPolicy> I attribute-resolver.xml:  <AttributeDefinition xsi:type="SAML2NameID" id="eduPersonTargetedID" nameIdFormat="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent">                 <InputDataConnector ref="StoredId" attributeNames="persistentId"/>                 <AttributeEncoder xsi:type="SAML1XMLObject" name="urn:oid:1.3.6.1.4.1.5923.1.1.1.10" encodeType="false"/>                 <AttributeEncoder xsi:type="SAML2XMLObject" name="urn:oid:1.3.6.1.4.1.5923.1.1.1.10" friendlyName="eduPersonTargetedID" encodeType="false"/> /Mats On 4/28/25 1:27 PM, Paul Scott wrote: -- -- Mats Luspa Phone: +46 (0)980 79 022 Cellular phone: +46 (0)725813330 Institutet för rymdfysik Fax: +46 (0)980 79 050 Swedish Institute of Space Physics email: matsl(a)irf.se Visiting/Delivery address: Bengt Hultqvists väg 1, SE-981 92 Kiruna Postal address: Box 812, SE-981 28 Kiruna -- PGP Public Key: https://www.irf.se/pgp/matsl Digital vcard: https://www.irf.se/vcard/mats.luspa

Ser likadant ut. Vad säger SWAMID release check? Attributes fliken visar eduPersonTargetedID om den släpps av IdPn. /Paul. När du skickar e-post till Karlstads universitet behandlar vi dina personuppgifter<https://www.kau.se/gdpr>. When you send an e-mail to Karlstad University, we will process your personal data<https://www.kau.se/en/gdpr>.

Alla tre AttributeRules är korrekt. SWAMIDs release-check begär eduPersonTargetedID via Code of conduct v2, se AttributeConsumingService i metadata [1]. Entitetskategorin research-and-education är borttagen sedan 2023. Ta bort gamla filterregler enligt [2] Om du inte ser eduPersonTargetedID i Attributes-fliken hos release- check har du ett problem med generering av värden för attributet. Det kan vara någonting med InputDataConnector med ref="StoredId" som är fel. Kolla din DataConnector för StoredId i resolvern och den bean som pekar mot databasen då eptid-data ligger. I mitt fall är det en bean som heter MyGlobalDataSource som finns definierad i global.xml som är en mysql databas lokalt hos IdP - shibboleth.shibpid. /Paul [1] https://metadata.swamid.se/admin/?showEntity=574 [2] https://wiki.sunet.se/display/SWAMID/Entity+Categories+no+longer+in+use+in+… On Mon, 2025-04-28 at 15:23 +0200, Mats Luspa wrote: När du skickar e-post till Karlstads universitet behandlar vi dina personuppgifter<https://www.kau.se/gdpr>. When you send an e-mail to Karlstad University, we will process your personal data<https://www.kau.se/en/gdpr>.

De var smidigt att koppla sitt konto mot sin egen katalog, d v s SSO-login. Logga in med sitt Harica-login. I profilen väljer man "connect your account with academic login" och anger adressen som man har på mail-attributet. Sedan får man ett bekräftelsemail. De som inte ännu har fått konton antar jag att det blir ännu smidigare för. Det är väl bara att logga via SSO (Academic login) så skapas kontot. /Mats Den 2025-04-28 kl. 16:42, skrev Mats Luspa via Saml-admins: > Hej! > > Jag hittade problemet. Det var helt på vår sida. Jag hade glömt att > jag använder mig av shibboleth.AttributeRegistryResources i services.xml. > > <!-- >     This is suitable for new installs but will usually produce > duplicate Attribute output if a legacy resolver file is used that > contains AttributeEncoders. > --> >     <util:list id ="shibboleth.AttributeRegistryResources"> > <value>%{idp.home}/conf/attribute-registry.xml</value> > <value>%{idp.home}/conf/attributes/default-rules.xml</value> >     </util:list> > > I attributes/default-rules.xml måste man så att säga registrera de > attribut som skall släppas och jag hade inte gjort det för > eduPersonTargetedID. Nu när jag gjort detta så började det att > fungera. Ber om ursäkt att det blev lite omvägar att komma fram till > detta :) > > När jag nu loggar in i cm.haricagr får jag följande meddelande: > The account is registered as Harica account. Use Harica login. > > Jag antar att jag måste "konvertera" mitt konto till att börja använda > SSO (eller om det är Harica som gör detta?). > > I https://cm.harica.gr/loginsaml/test.php visas nu de erforderliga > attributen: > > eduPersonTargetedID: 6mJS65fIzWKvwYsSm98988KtBUk= > mail: mats.luspa(a)irf.se > givenName: Mats > eduPersonPrimaryAffiliation: The Swedish Institute of Space Physics > eduPersonEntitlement: urn:mace:terena.org:tcs:personal-user > sn: Luspa > schacHomeOrganization: irf.se > eduPersonPrincipalName: matsl(a)irf.se > groups: realm-irf.se, users, members > > /Mats > > On 4/28/25 4:06 PM, Paul Scott wrote: >> Alla tre AttributeRules är korrekt. SWAMIDs release-check begär >> eduPersonTargetedID via Code of conduct v2, se >> AttributeConsumingService i metadata [1]. >> >> Entitetskategorin research-and-education är borttagen sedan 2023. Ta >> bort gamla filterregler enligt [2] >> >> Om du inte ser eduPersonTargetedID i Attributes-fliken hos release- >> check har du ett problem med generering av värden för attributet. Det >> kan vara någonting med InputDataConnector med ref="StoredId" som är >> fel. >> >> Kolla din DataConnector för StoredId i resolvern och den bean som pekar >> mot databasen då eptid-data ligger. >> >> I mitt fall är det en bean som heter MyGlobalDataSource som finns >> definierad i global.xml som är en mysql databas lokalt hos IdP - >> shibboleth.shibpid. >> >> /Paul >> >> [1] https://metadata.swamid.se/admin/?showEntity=574 >> [2] >> https://wiki.sunet.se/display/SWAMID/Entity+Categories+no+longer+in+use+in+… >> >> >> >> >> >> On Mon, 2025-04-28 at 15:23 +0200, Mats Luspa wrote: >>> Jag släpper till entity-id:et för Harica enligt >>> >>>    <AttributeRule attributeID="eduPersonTargetedID"> >>>                   <PermitValueRule xsi:type="ANY"/> >>> </AttributeRule> >>> >>> till releaseToCodeOfConduct enligt >>> >>> <AttributeRule attributeID="eduPersonTargetedID"> >>>               <PermitValueRule xsi:type="AttributeInMetadata" >>> onlyIfRequired="true" /> >>>    </AttributeRule> >>> >>> och till releaseToRefedsResearchAndScholarship enligt >>> >>> <AttributeRule attributeID="eduPersonTargetedID"> >>>               <PermitValueRule xsi:type="NOT"> >>>                   <Rule xsi:type="Value" >>> value="https://refeds.org/assurance/ID/eppn-unique-no-reassign" >>> attributeID="eduPersonAssurance" /> >>>               </PermitValueRule> >>> </AttributeRule> >>> >>> eduPersonTargetedID syns inte i Attributes-fliken. >>> >>> Skall man även släppa den till SWAMIDs >>> entity-category-research-and-education? >>> >>> /Mats >>> >>> On 4/28/25 1:53 PM, Paul Scott wrote: >>>> Ser likadant ut. >>>> >>>> Vad säger SWAMID release check? Attributes fliken visar >>>> eduPersonTargetedID om den släpps av IdPn. >> När du skickar e-post till Karlstads universitet behandlar vi dina >> personuppgifter<https://www.kau.se/gdpr>. >> When you send an e-mail to Karlstad University, we will process your >> personal data<https://www.kau.se/en/gdpr>. >> _______________________________________________ >> Saml-admins mailing list -- saml-admins(a)lists.sunet.se >> To unsubscribe send an email to saml-admins-leave(a)lists.sunet.se > > > _______________________________________________ > Saml-admins mailing list -- saml-admins(a)lists.sunet.se > To unsubscribe send an email to saml-admins-leave(a)lists.sunet.se