SAML2 IDP 会话超时和 SLO

Question

我们有一个配置为会话不活动超时为 30 分钟的 SAML2 IDP。单点登录后，用户成功登录到 SP。现在，SP 也配置为 SAML 单点注销 (SLO)。似乎即使用户在 SP 应用程序中工作，会话超时也会发生。我想知道这是否是由于@IDP 设置了会话不活动而发生的。我想了解 IDP 如何知道用户会话处于活动状态@SP，因此它不会发出 SLO。有什么想法吗？

Answer 1

在大多数情况下，IDP 实现不会在 IDP 会话到期时调用单次注销。原因之一是许多 SP 实现不支持使用后端通道（使用 SOAP 调用）进行单次注销，这是在这种情况下唯一可用的绑定。

您的 SP 会话可能会过期，因为它遵循参数 sessionNotOnOrAfter，该参数包含在 Assertion 的 Authentication statement 中，包含在单点登录期间从 IDP 发送的 Response SAML 消息中。

所以回答您的问题 - 由于您的 IDP 设置（定义要在 sessionNotOnOrAfter 中发送的值），您的 SP 会话可能会过期，但 IDP 可能不会发出单次注销，也不会与您的SP 以任何方式（因此它也不知道是否仍在使用 SP 会话）。

您可能想要查看您的 SP 配置，看看您是否可以更改其与 sessionNotOnOrAfter 属性有关的行为，或更改 IDP 提供的值。

这是一个有根据的猜测，您的环境的行为可能与我假设的不同 - 正如 Stefan 已经评论的那样，这种行为不是标准化的。