ADFS RelayState 问题

Question

我将 PingFederate 用于 SP 启动的 SSO，并使用 ADFS 3.0 进行用户身份验证。它显示一个登录页面，用户在其中输入凭据。仅当登录页面空闲 10 分钟或更长时间，然后当用户单击登录时，才会出现以下错误消息。如果登录时间在 10 分钟之前，则没有问题。我注意到登录页面 url 有一个 RelayState guid。在成功的身份验证期间，它会创建 MSISContext cookie 以及附加到它的 RelayState 指南。当它出错时，根据我在线阅读的内容，响应返回到 ADFS，ADFS 会检查一个不存在的具有新 RelayState 名称的 cookie。当登录页面空闲 10 分钟或更长时间时，我该如何解决此问题。是否有我可以在某处更改的超时值？

在联合被动请求期间遇到错误。

附加数据

协议名称： 山姆

依赖方：

异常详情： Microsoft.IdentityServer.Web.CookieManagers.InvalidContextException：MSIS7001：未找到被动协议上下文或无效。如果上下文存储在 cookie 中，则客户端提供的 cookie 无效。确保客户端浏览器配置为接受来自该网站的 cookie，然后重试此请求。 在 Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.GetOriginalRequestFromResponse（ProtocolContext 上下文，布尔 deleteCookie） 在 Microsoft.IdentityServer.Web.PassiveProtocolListener.ProcessProtocolRequest（ProtocolContext 协议上下文，PassiveProtocolHandler 协议处理程序） 在 Microsoft.IdentityServer.Web.PassiveProtocolListener.OnGetContext(WrappedHttpListenerContext 上下文)

Answer 1

RelayState 被添加到 cookie 的名称中。如果中继状态发生变化，响应将检查具有不存在的新 RelayState 名称的 cookie。确保 has not changed 并确保您在 ADFS 上启用了 RelayState。

根据您的 Windows Server 版本，您可能还需要包含不同的服务属性。请参阅以下主题：

例如，Windows Server 2012 R2 中的 AD FS 包括一个 %systemroot%\ADFS\Microsoft.IdentityServer.Servicehost.exe.config 文件。如果您正在使用它，请创建一个与 web.config 文件元素具有相同语法的元素：<useRelayStateForIdpInitiatedSignOn enabled="true" />。将此元素包含在 Microsoft.IdentityServer.Servicehost.exe.config 文件的 <microsoft.identityserver.web> 部分中。

https://social.technet.microsoft.com/Forums/Lync/en-US/8d692a29-92e0-47e0-be70-d7f9335ab95a/adfs-30-relay-state-issue?forum=winserverDS

https://social.msdn.microsoft.com/Forums/en-US/25239ff7-a33d-4f3e-a7a8-5a3c47d733f7/relaystate-support-in-adfs-30?forum=Geneva

https://nzpcmad.blogspot.com/2016/01/this-post-follows-on-from-idp-initiated.html