Para atributos do tipo
Expression, use OGNL no campo Value. O campo "Source ID" é ignorado nesses casos e também para o tipo
Text (valor literal, sem fonte de dados).
📋 Template OGNL para filtro de grupo AD
(
#groups = #this.get("ds.ActiveDirectory.memberOf") != null ?
#this.get("ds.ActiveDirectory.memberOf").getValues() :
{},
#filtered = #groups.{? #this.contains('OU=NOME_OU,OU=OIM,OU=Gerenciamento de Acessos,DC=REDECORP,DC=BR')},
#filtered.{ #this.replaceAll('^CN=([^,]+),.*$', '$1') }
)
O AttributeContract (RequestedAttribute) é gerado automaticamente a partir dos nomes dos atributos acima, excluindo SAML_SUBJECT (que é o NameID). Se não houver atributos, o bloco é omitido. Atenção: se o SP não tiver atributos além de SAML_SUBJECT, o PingFederate pode rejeitar — adicione ao menos um atributo LDAP.
O HML do SAP Concur usa unspecified. A maioria dos outros SPs usa basic.