使用 ADFS 和 STS 单点注销

Question

我们目前在使用 ADFS 2.0 和外部 IP-STS 进行单点注销时遇到问题。我们的设置是： RP1 ADFS 2.0 自定义 IP-STS RP2 ADFS 2.0 自定义 IP-STS

单点登录部分效果很好，如果用户已经使用自定义 IP-STS 登录访问 RP1，此后他们可以在同一个浏览器会话中访问 RP2，而无需再次登录。

但是问题出现在退出过程中。当用户从 RP1 退出时，使用 Fiddler 我们可以看到：

1. 退出请求 (wsignout1.0) 已发送到 ADFS
2. ADFS 将注销请求传输到自定义 IP-STS
3. 自定义 IP-STS 进程正确退出操作，然后返回到 ADFS
4. ADFS 确实返回到（已注销）RP1
5. RP1 不再经过身份验证，因此当然会提示您再次登录（正确）
6. 这里有问题：RP2 仍然能够毫无问题地工作（之前的声明集）。并且 ADFS 不会向 RP2 发送任何 wsignoutcleanup1.0 操作。

我认为 ADFS 应该为所有具有相同会话的 RP 注销，但事实并非如此。我错了吗？还是我在这里缺少某种配置？

当然，我们可以选择从自定义 IP-STS 向 RP 显式发送 wsignoutcleanup1.0 操作，但我们需要解析“wctx”以获取我不想要的原始 RP Url。 我还尝试将 wsignoutcleanup1.0 操作从自定义 IP-STS 发送回 ADFS（步骤 3），但它也没有帮助。

Answer 1

我的猜测是您返回的不是带有 wsignoutcleanup 的 iframe，而是图像。因此，adfs 不会返回 nested iframe，换句话说，它不会正确升级注销。

正确的顺序是

1 个应用程序向 adfs 发送注销请求

2 adfs 将请求升级到外部 sts

3 sts 使用 wsignoutcleanup 返回指向经过身份验证的应用程序（在本例中为 adfs）的 iframe 序列

4 adfs 向所有经过身份验证的应用程序返回一个带有 wsignoutcleanup 的嵌套 iframe，包括 rp1 和 rp2

Answer 2

听起来自定义 STS 没有将 signoutcleanup 发送到 ADFS。