Déconnexion des utilisateurs SAML à l'aide d'une déconnexion unique

Amazon Cognito prend en charge la déconnexion http://docs.oasis-open.org/security/saml/Post2.0/sstc-saml-tech-overview-2.0-cd-02.html#5.3.Single%20Logout%20Profile|outline unique (SLO) SAML 2.0. Avec SLO, votre application peut déconnecter les utilisateurs de leurs fournisseurs d'identité SAML (IdPs) lorsqu'ils se déconnectent de votre groupe d'utilisateurs. Ainsi, lorsque les utilisateurs souhaitent se reconnecter à votre application, ils doivent s'authentifier auprès de leur IdP SAML. Dans le cas contraire, ils peuvent disposer de cookies de navigateur IdP ou de groupe d'utilisateurs qui les transmettent à votre application sans qu'il soit nécessaire de fournir des informations d'identification.

Lorsque vous configurez votre IdP SAML pour qu'il prenne en charge le Sign-out flux, Amazon Cognito redirige votre utilisateur avec une demande de déconnexion SAML signée vers votre IdP. Amazon Cognito détermine l'emplacement de la redirection à partir de l'SingleLogoutServiceURL figurant dans les métadonnées de votre IdP. Amazon Cognito signe la demande de déconnexion à l'aide du certificat de signature de votre groupe d'utilisateurs.

Lorsque vous dirigez un utilisateur disposant d'une session SAML vers le point de /logout terminaison de votre groupe d'utilisateurs, Amazon Cognito redirige votre utilisateur SAML avec la demande suivante vers le point de terminaison SLO spécifié dans les métadonnées de l'IdP.

https://[SingleLogoutService endpoint]?
SAMLRequest=[encoded SAML request]&
RelayState=[RelayState]&
SigAlg=http://www.w3.org/2001/04/xmldsig-more#rsa-sha256&
Signature=[User pool RSA signature]

Votre utilisateur revient ensuite sur votre saml2/logout terminal avec un message LogoutResponse provenant de son IdP. Votre IdP doit envoyer LogoutResponse une HTTP POST demande. Amazon Cognito les redirige ensuite vers la destination de redirection depuis leur demande de déconnexion initiale.

Il se peut que votre fournisseur SAML envoie un message LogoutResponse contenant plusieurs AuthnStatement éléments. Le sessionIndex premier AuthnStatement élément d'une réponse de ce type doit correspondre sessionIndex à celui de la réponse SAML qui a initialement authentifié l'utilisateur. S'il s'sessionIndexagit d'une autre sessionAuthnStatement, Amazon Cognito ne reconnaîtra pas la session et votre utilisateur ne sera pas déconnecté.