通过询问 IDP 确认活动会话

Question

用例

为了尽量减少用户执行Sing On的需要，我希望尽可能长时间地运行活动会话。

用户执行 SSO，SP 允许用户访问，直到 IDP 说 - 会话（或帐户）不再处于活动状态。

SP 需要询问 IDP - 该用户的会话是否处于活动状态？

我的问题

上述是否可行？如果可以，实施 SP 询问特定用户的会话（帐户）活动的 IDP 的最佳做法是什么？

正如我想象的那样，在成功进行初始身份验证后，SAML 响应正文将持有一个会话令牌，可以针对用户进行存储。相同的会话令牌可用于查询 IDP 以了解会话（帐户）是否仍处于活动状态。但是那会是什么服务呢？

非常感谢任何指导。

Answer 1

SAML 规范中没有任何内容可用于查询帐户状态。

您可以在 SAML 请求中使用 isPassive 标志来查看用户的 IDP 是否存在正在进行的 SSO 会话。您可以要求 IDP 修改其行为并返回帐户状态，但这将是标准之外的一对一协议。

另一种方法是使用带有 SCIM 等协议的反向通道调用，请参阅：https://www.rfc-editor.org/rfc/rfc7644#section-3.4.1，这将允许您通过 REST 调用查询用户帐户的状态。但当然，这是与 SAML 不同的协议，并且必须得到 IDP 的支持。