Logout und SLO

Damit SLO am IdP funktioniert muss der Default-Session-Storage (Sessions werden in Browser-Cookies auf dem Client abgelegt) umgestellt werden auf „JPAStorageService“, d.h. auf das Speichern der Session-Informationen in einer lokalen Datenbank. Die Einrichtung dieser DB ist in diesem Wiki beschrieben unter Storage und Persistent Identifier)

Nachdem der JPAStorageService eingerichtet ist, kann SLO im IdP aktiviert werden:

/opt/shibboleth-idp/conf/idp.properties

# Set to "shibboleth.StorageService" for server-side storage of user sessions
idp.session.StorageService = shibboleth.JPAStorageService
 
# Track information about SPs logged into
idp.session.trackSPSessions = true
 
# Support lookup by SP for SAML logout
idp.session.secondaryServiceIndex = true

Zu weiteren Konfigurationsmöglichkeiten und Hintergrundinformationen siehe die Dokumentation im Shibboleth-Wiki.

Achtung: Sollte trotz vermeintlich richtiger Konfiguration das Logout nicht funktionieren bitte in der Apache-Konfiguration prüfen, dass die richtige X-FRAME-OPTION „SAMEORIGIN“ gesetzt ist, siehe auch HTTP Server.

Besonderheit IIS-basierter SP
IIS liefert beim Logout einen HTTP-Fehler 404 zurück:

• Entweder die Konfiguration des IIS anpassen, wie unter https://support.microsoft.com/en-us/kb/942071 beschrieben
• In der Metadatenverwaltung beim IdP das HTTP-Redirect Binding für Single Logout entfernen (SSPCPP-637)