azure - 使用 Azure AD 作为 SAP HANA 中的 IDP 进行 SAML 单点注销

Question

如何使用 Azure AD 作为 SAP HANA 中的 IDP 实现 SAML 单点注销？

我已在 Azure 中定义了一个 Web 应用程序来访问 SAP HANA 上托管的资源，如 this link 中所述。 .

在网络应用程序中定义了一个注销端点

https://login.windows.net/common/wsfederation?wa=wsignout1.0

我从浏览器登录到 Azure AD，然后访问 HANA 上的资源。从浏览器地址栏调用端点后，我必须关闭所有浏览器窗 Eloquent 能正确注销。

1. 这是我注销时的预期行为吗？
2. 如何在 native 应用程序中实现 SAML 单点注销？这是现实场景吗？

谢谢

Answer 1

是的，这是预期行为，因为您正在使用 WS-Fed 注销。在这种情况下，SAP Hana(可能是 Hana Identity Manager)将重定向到此 URL 以执行单点注销。 Azure AD 也支持 SAML 单点注销。但您需要首先使用 SAP HANA 进行检查。如果它们支持基于 SAML 的单点注销，则应用程序可以将 SAML 注销 POST 请求发送到 Azure AD，然后 Azure AD 可以注销用户并将用户重定向回请求中指定的另一个页面。

此详细流程记录在此处 https://learn.microsoft.com/en-us/azure/active-directory/develop/active-directory-single-sign-out-protocol-reference