Ciao Sergio,
In generale scrivere un IP e' un'idea pericolosa - dato il ruolo critico che ricopre.
Cio' detto. In se e per se l'idea di fornire self service attribute updating agli utenti finali non e' blasfema. Esporre la funzionalista' sull'STS e' anche concepibile, visto che l'utente deve fare sign in sull'STS in ogni caso. La cosa che rende difficile per me dare consiglio e' che ci sono moltissimi modi diversi di implementare la funzionalita', con molti tradeoffs, e senza avere piu' dettagli e' difficile dare indicazioni. Malauguratamente non ho molto tempo, quindi anche se tu mi passassi tutti i dettagli non so se avrei modo di analizzare il tutto propriamente. Forse puoi metterti in contatto con MCS Italy?
Perdonami per non essere molto d;aiuto, ma visto che si tratta di security piuttosto che darti indicazioni sbagliate preferisco la cautela :)
Best,
V.