| Nächste Überarbeitung | Vorhergehende Überarbeitung |
| de:shibidp:config-slo [2020/04/14 09:24] – angelegt Silke Meyer | de:shibidp:config-slo [2024/07/24 16:13] (aktuell) – [SLO-Test] Link zum Shib-Wiki aktualisiert Doreen Liebenau |
|---|
| | <- de:shibidp:config-storage| Server-Side-Storage und persistentId ^ de:shibidp:uebersicht|Überblick: Tutorial zur IdP-Inbetriebnahme ^ de:shibidp:config-sealer|Secret-Key-Management -> |
| ====== Single Logout ====== | ====== Single Logout ====== |
| |
| <callout type="danger" title="SLO-Bindungs in Metadaten"> | <callout color="#ff9900" title="SLO-Bindings in Metadaten"> |
| Die Single Logout-Bindings müssen in den IdP-Metadaten eintragen sein, wie unter [[de:shibidp:install#vorbereitung_metadaten|Vorbereitung der IdP-Metadaten]] beschrieben. | Die Single Logout-Bindings müssen in den IdP-Metadaten eintragen sein, wie unter [[de:shibidp:install#vorbereitung_metadaten|Vorbereitung der IdP-Metadaten]] beschrieben. |
| </callout> | </callout> |
| |
| | ===== Aktivierung von SLO ===== |
| Da wir im vorherigen Schritt das [[de:shibidp:config-storage#session-informationen_und_user_consent|Speichern von Session-Informationen]] so umgestellt haben, dass eine lokale SQL-Datenbank verwendet wird, kann nun auch Single Logout (SLO) im IdP aktiviert werden: | Da wir im vorherigen Schritt das [[de:shibidp:config-storage#session-informationen_und_user_consent|Speichern von Session-Informationen]] so umgestellt haben, dass eine lokale SQL-Datenbank verwendet wird, kann nun auch Single Logout (SLO) im IdP aktiviert werden: |
| |
| Starten Sie Tomcat neu, um die neuen Einstellungen zu aktivieren (dabei Logdateien mitverfolgen!): | Starten Sie Tomcat neu, um die neuen Einstellungen zu aktivieren (dabei Logdateien mitverfolgen!): |
| <code bash> | <code bash> |
| root@idp:~# systemctl restart tomcat9 | root@idp:~# systemctl restart tomcat10 |
| </code> | </code> |
| |
| Die Logout-Seite enthält eine Bemerkung der Shibboleth-Entwickler, dass die Seite angepasst werden soll. | ===== Anpassen der Logout-Seite ===== |
| Diese Bemerkung sollte ersetzt oder zumindest deaktiviert werden. Löschen Sie die entsprechenden Zeilen oder kommentieren Sie diese wie folgt aus (oder ersetzen Sie den Text durch einen eigenen, sofern Sie Ihren Usern an dieser Stelle etwas mitteilen möchten): | Die Logout-Seite enthält standardmäßig eine Bemerkung der Shibboleth-Entwickler, dass die Seite angepasst werden sollte. Löschen Sie die entsprechenden Zeilen, kommentieren Sie sie wie folgt aus oder ersetzen Sie den Text durch einen eigenen: |
| |
| <file html ./views/logout.vm> | <file html ./views/logout.vm> |
| Diese Änderung wird ohne Neustart wirksam. | Diese Änderung wird ohne Neustart wirksam. |
| |
| Testen Sie die Logout-Funktionalität mithilfe des DFN-Test-SP2. Nach dem Login finden Sie unterhalb der Attribute | ===== SLO-Test ===== |
| den "Logout"-Link welcher Sie zum IdP zurückleiten sollte. Dort sollte dann die Erfolgsmeldung über | Testen Sie die Logout-Funktionalität mithilfe des [[https://testsp2.aai.dfn.de/|DFN-Test-SP2]]. Nach dem Login finden Sie unterhalb der Attribute |
| das erfolgte Logout angezeigt werden. | den "Logout"-Link welcher Sie zum IdP zurückleiten sollte. Dort sollte dann die Erfolgsmeldung über das erfolgte Logout angezeigt werden. |
| |
| **Achtung:** Sollte trotz vermeintlich richtiger Konfiguration das Logout nicht funktionieren, bitte in der Apache-Konfiguration prüfen, dass die richtige X-FRAME-OPTION "SAMEORIGIN" gesetzt ist, siehe auch [[de:shibidp3prepare#http_server|HTTP Server]]. | **Achtung:** Sollte trotz vermeintlich richtiger Konfiguration das Logout nicht funktionieren, prüfen Sie bitte, ob in der Apache-Konfiguration die X-FRAME-OPTION "SAMEORIGIN" gesetzt ist, siehe auch [[de:shibidp:prepare-http#vhost-konfiguration|HTTP Server]]. |
| |
| Zu weiteren Konfigurationsmöglichkeiten und Hintergrundinformationen siehe die [[https://wiki.shibboleth.net/confluence/display/IDP30/LogoutConfiguration|Dokumentation im Shibboleth-Wiki]]. | Zu weiteren Konfigurationsmöglichkeiten und Hintergrundinformationen siehe die [[https://shibboleth.atlassian.net/wiki/spaces/IDP5/pages/3199510118/LogoutConfiguration|Dokumentation im Shibboleth-Wiki]]. |
| |
| | ===== Besonderheit IIS-basierter SP ===== |
| **Besonderheit IIS-basierter SP** \\ | FIXME prüfen! |
| IIS liefert beim Logout einen HTTP-Fehler 404 zurück: | IIS liefert beim Logout einen HTTP-Fehler 404 zurück: |
| * Entweder die Konfiguration des IIS anpassen, wie unter https://support.microsoft.com/en-us/kb/942071 beschrieben | * Entweder die Konfiguration des IIS anpassen, wie unter https://support.microsoft.com/en-us/kb/942071 beschrieben |
| Testen Sie nochmal einen Login mithilfe der DFN-Test-SP(s) und überzeugen Sie sich dass Single Logout funktioniert. | Testen Sie nochmal einen Login mithilfe der DFN-Test-SP(s) und überzeugen Sie sich dass Single Logout funktioniert. |
| |
| ** Weiter geht es mit dem [[de:shibidp3sealer|Secret-Key-Management]].** | {{tag>idp4 tutorial slo single-logout}} |