Shibboleth IdP - Генерация eduPersonTargetedID

Как правильно генерировать eduPersonTargetedID на основе существующего атрибута из LDAP?

Пока у меня есть примерно следующее в attribute-resolver.xml:

<AttributeDefinition xsi:type="ScriptedAttribute" id="eduPersonTargetedID">
    <Dependency ref="testLDAP" />
    <AttributeEncoder xsi:type="SAML2String" name="urn:oid:1.3.6.1.4.1.5923.1.1.1.10" friendlyName="eduPersonTargetedID" encodeType="false" />
    <Script><![CDATA[

        if((typeof testLDAPAttribute === "object") {
            memberOf.getValues().forEach(function(value, index, _){
                if (dn_match_regex.test(dn)) eduPersonTargetedID.addValue(value);
            });
        } 

    ]]></Script>
</AttributeDefinition>

Проблема с этим: атрибут не "непрозрачный":

Это МОЖЕТ быть псевдослучайным значением, сгенерированным и сохраненным провайдером идентификации, или МОЖЕТ быть получено из некоторой функции над идентификацией аудитории и другими входами, специфичными для принципала, такими как серийный номер или UUID, назначенный провайдером идентификации.

https://www.switch.ch/aai/support/documents/attributes/edupersontargetedid/

Как создать уникальное постоянное значение для каждого SP для этого атрибута?