single-sign-on - SAML2 单点注销，在哪里发布回复？

Question

对于请求/响应在 SAML2 单点注销中的位置，我有点困惑。

对于单点登录，IDP 上有一个端点用于接收请求，SP 上有一个端点用于接收响应。所以每个端点只服务于一个目的。

但是，单点注销可以同时由 SP 和 IDP 触发，但我总是看到只有 1 个端点定义了 IDP 和 SP。这是否意味着请求和响应都必须到达同一个端点？因此，要知道它是请求还是响应，IDP 或 SP 需要查看它收到的 XML？

Answer 1

有一个所谓的Single Logout profile在 SAML 2.0 标准中 doc reference .

在4.4 Single Logout Profile在第 32 页上，详细说明了以下流程:

1. <LogoutRequest>由 session 参与者发布给身份提供者
2. 身份提供者确定 session 参与者
3. <LogoutRequest>由身份提供者颁发给 session 参与者/机构
4. session 参与者/权威问题 <LogoutResponse>身份提供者
5. 身份提供商问题 <LogoutResponse> session 参与者

SLO 的基本流程如下所示:

详见 PingFederate SLO implementation , 和 PortalGuard article ，您可以看到 SP 发起的 SLO 和 IdP 发起的 SLO 之间的区别是谁发布了 <LogoutRequest>。并在收到 <LogoutResponse> 后，负责向最终用户显示注销页面。

希望这能解决您的问题。