Dies ist eine alte Version des Dokuments!
Logout und SLO
Damit SLO am IdP funktioniert muss der Default-Session-Storage (Sessions werden in Browser-Cookies auf dem Client abgelegt) umgestellt werden auf „JPAStorageService“, d.h. auf das Speichern der Session-Informationen in einer lokalen Datenbank. Die Einrichtung dieser DB ist in diesem Wiki beschrieben unter Storage und Persistent Identifier)
Nachdem der JPAStorageService eingerichtet ist, kann SLO im IdP aktiviert werden:
- /opt/shibboleth-idp/conf/idp.properties
# Set to "shibboleth.StorageService" for server-side storage of user sessions idp.session.StorageService = shibboleth.JPAStorageService # Track information about SPs logged into idp.session.trackSPSessions = true # Support lookup by SP for SAML logout idp.session.secondaryServiceIndex = true
Zu weiteren Konfigurationsmöglichkeiten und Hintergrundinformationen siehe die Dokumentation im Shibboleth-Wiki.
Achtung: Sollte trotz vermeintlich richtiger Konfiguration das Logout nicht funktionieren bitte in der Apache-Konfiguration prüfen, dass die richtige X-FRAME-OPTION „SAMEORIGIN“ gesetzt ist, siehe auch HTTP Server.
Besonderheit IIS-basierter SP
IIS liefert beim Logout einen HTTP-Fehler 404 zurück:
- Entweder die Konfiguration des IIS anpassen, wie unter https://support.microsoft.com/en-us/kb/942071 beschrieben
- In der Metadatenverwaltung beim IdP das HTTP-Redirect Binding für Single Logout entfernen (SSPCPP-637)