1. ホーム
  2. 質問と答え
  3. Centrify＆Azure IDPが単一ログアウトでLogoutResponseを返さない

Centrify＆Azure IDPが単一ログアウトでLogoutResponseを返さない

2017-01-27 15 views
2

SPとしてSAML対応アプリケーションをMircrosoft Azureに接続し、CentrifyをIDPとして接続しようとしています。 SSO（Single Sign On）は動作するはずですが、完全なシングルログアウトプロセスを達成するにはいくつかの問題があります。Centrify＆Azure IDPが単一ログアウトでLogoutResponseを返さない

ユーザがSPの内部のログアウトボタンをクリックすると、（有効な）ログアウト要求がIDPに送信されます。 IDPセッションは期待通りに終了しますが、ブラウザはSPにリダイレクトされずにログアウト処理が完了します。 LogoutResponseが完全に欠落しているようです。

Centrify
に関するUPDATEニックGambとしてCentrifyから、この時点でCentrifyがこの機能をサポートしていませんが、将来的にそれを実装します（下の彼の答えを参照）述べました。ユーザーがログアウト後にリダイレクトする必要があるサイトのurl_ecoded URL含む - - あなたは「wreply」パラメータを提供する必要がAzureの
に関する

UPDATE

ログアウト要求とを： https://login.microsoftonline.com/common/wsfederation?wa=wsignout1.0&wreply = HTTPS％3A％2F％2Fmyapp.landingpage.com％2F & SAMLRequest = ...

あなたは、あなたALS、Onelogin PHP Toolkitを使用している場合'retrieveParametersFromServer' - 設定を有効にする必要があります。そうしないと、ログアウト応答は常に「署名の検証に失敗しました。ログアウト要求が拒否されました 'というエラーです。

SAMLリクエスト/応答（私は自分自身で証明書情報を取り除くことができました...）：

Centrify //ログイン要求

<samlp:AuthnRequest xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" 
       xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion" 
       ID="ONELOGIN_17b5cbaaa30c8a9edca9935a320b0de3a4088fcc" 
       Version="2.0" 
       ProviderName="MYAPP" 
       IssueInstant="2017-01-27T12:08:52Z" 
       Destination="https://aap1234.my.centrify.com/applogin/appKey/1234567-1234-1234-1234-123456789/customerId/ABC0123" 
       ProtocolBinding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" 
       AssertionConsumerServiceURL="https://myapp.com/acs" 
       > 
<saml:Issuer>https://myapp.com/metadata</saml:Issuer> 
<samlp:NameIDPolicy Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress" 
        AllowCreate="true" 
        /> 
<samlp:RequestedAuthnContext Comparison="exact"> 
    <saml:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</saml:AuthnContextClassRef> 
</samlp:RequestedAuthnContext>

Centrify //ログイン応答

<saml2p:Response ID="_7367bcc4-f4a1-4bf0-b845-ecaf0e7d6b86" 
      InResponseTo="ONELOGIN_17b5cbaaa30c8a9edca9935a320b0de3a4088fcc" 
      Version="2.0" 
      IssueInstant="2017-01-27T12:08:53.978Z" 
      Destination="https://myapp.com/acs" 
      xmlns:saml2p="urn:oasis:names:tc:SAML:2.0:protocol" 
      > 
<Issuer xmlns="urn:oasis:names:tc:SAML:2.0:assertion">https://aap1234.my.centrify.com/1234567-1234-1234-1234-123456789</Issuer> 
<Signature xmlns="http://www.w3.org/2000/09/xmldsig#"> 
    <SignedInfo> 
     <CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" /> 
     <SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1" /> 
     <Reference URI="#_7367bcc4-f4a1-4bf0-b845-ecaf0e7d6b86"> 
      <Transforms> 
       <Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature" /> 
       <Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" /> 
      </Transforms> 
      <DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1" /> 
      <DigestValue>EpN1bP9vKhLUUpyr0Hfnb3lM6gA=</DigestValue> 
     </Reference> 
    </SignedInfo> 
    <SignatureValue>...</SignatureValue> 
    <KeyInfo> 
     <X509Data> 
      <X509Certificate>...</X509Certificate> 
     </X509Data> 
    </KeyInfo> 
</Signature> 
<saml2p:Status> 
    <saml2p:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success" /> 
</saml2p:Status> 
<Assertion Version="2.0" 
      ID="_71ccde7d-6a7b-4b79-a6ed-1f8465b7a835" 
      IssueInstant="2017-01-27T12:08:53.869Z" 
      xmlns="urn:oasis:names:tc:SAML:2.0:assertion" 
      > 
    <Issuer>https://aap1234.my.centrify.com/1234567-1234-1234-1234-123456789</Issuer> 
    <Subject> 
     <NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent">[email protected]</NameID> 
     <SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer"> 
      <SubjectConfirmationData NotOnOrAfter="2017-01-27T13:08:53.869Z" 
            Recipient="https://myapp.com/acs" 
            InResponseTo="ONELOGIN_17b5cbaaa30c8a9edca9935a320b0de3a4088fcc" 
            /> 
     </SubjectConfirmation> 
    </Subject> 
    <Conditions NotBefore="2017-01-27T12:05:53.869Z" 
       NotOnOrAfter="2017-01-27T13:08:53.869Z" 
       > 
     <AudienceRestriction> 
      <Audience>https://myapp.com/metadata</Audience> 
     </AudienceRestriction> 
    </Conditions> 
    <AuthnStatement AuthnInstant="2017-01-27T12:08:53.869Z" 
        SessionIndex="_71ccde7d-6a7b-4b79-a6ed-1f8465b7a835" 
        > 
     <AuthnContext> 
      <AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified</AuthnContextClassRef> 
     </AuthnContext> 
    </AuthnStatement> 
    <AttributeStatement> 
     <Attribute Name="firstname" 
        NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:basic" 
        > 
      <AttributeValue>Firstname</AttributeValue> 
     </Attribute> 
     <Attribute Name="lastname" 
        NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:basic" 
        > 
      <AttributeValue>Lastname</AttributeValue> 
     </Attribute> 
     <Attribute Name="emailaddress" 
        NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:basic" 
        > 
      <AttributeValue>[email protected]</AttributeValue> 
     </Attribute> 
     <Attribute Name="groups" 
        NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:basic" 
        > 
      <AttributeValue>group1,group2</AttributeValue> 
     </Attribute> 
    </AttributeStatement> 
</Assertion>

Centrify //ログアウト要求

<samlp:LogoutRequest xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" 
       xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion" 
       ID="ONELOGIN_dc16bcf1e9a5de948d336fbca93d4a5718b56f3d" 
       Version="2.0" 
       IssueInstant="2017-01-27T12:10:12Z" 
       Destination="https://aap1234.my.centrify.com/applogout" 
       > 
<saml:Issuer>https://myapp.com/metadata</saml:Issuer> 
<saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">[email protected]</saml:NameID> 
<samlp:SessionIndex>_71ccde7d-6a7b-4b79-a6ed-1f8465b7a835</samlp:SessionIndex>

マイクロソフトのAzure //ログイン要求

<samlp:AuthnRequest xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" 
       xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion" 
       ID="ONELOGIN_40becfa9c4dc2697c9778b7b598399fbc55cef98" 
       Version="2.0" 
       ProviderName="MYAPP" 
       IssueInstant="2017-01-27T12:31:26Z" 
       Destination="https://login.microsoftonline.com/1234567-1234-1234-1234-123456789/saml2" 
       ProtocolBinding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" 
       AssertionConsumerServiceURL="https://myapp.com/acs" 
       > 
<saml:Issuer>https://myapp.com/metadata</saml:Issuer> 
<samlp:NameIDPolicy Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent" 
        AllowCreate="true" 
        /> 
<samlp:RequestedAuthnContext Comparison="exact"> 
    <saml:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</saml:AuthnContextClassRef> 
</samlp:RequestedAuthnContext>

マイクロソフトのAzure //ログイン応答

<samlp:Response ID="_4221c6ce-51b5-48df-b33e-5c601bbc22ad" 
      Version="2.0" 
      IssueInstant="2017-01-27T12:31:27.170Z" 
      Destination="https://myapp.com/acs" 
      InResponseTo="ONELOGIN_40becfa9c4dc2697c9778b7b598399fbc55cef98" 
      xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" 
      > 
<Issuer xmlns="urn:oasis:names:tc:SAML:2.0:assertion">https://sts.windows.net/1234567-1234-1234-1234-123456789/</Issuer> 
<samlp:Status> 
    <samlp:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success" /> 
</samlp:Status> 
<Assertion ID="_ad52e38a-5f8f-4a60-9b3b-d904afd9b82e" 
      IssueInstant="2017-01-27T12:31:27.170Z" 
      Version="2.0" 
      xmlns="urn:oasis:names:tc:SAML:2.0:assertion" 
      > 
    <Issuer>https://sts.windows.net/1234567-1234-1234-1234-123456789/</Issuer> 
    <ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#"> 
     <ds:SignedInfo> 
      <ds:CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" /> 
      <ds:SignatureMethod Algorithm="http://www.w3.org/2001/04/xmldsig-more#rsa-sha256" /> 
      <ds:Reference URI="#_ad52e38a-5f8f-4a60-9b3b-d904afd9b82e"> 
       <ds:Transforms> 
        <ds:Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature" /> 
        <ds:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" /> 
       </ds:Transforms> 
       <ds:DigestMethod Algorithm="http://www.w3.org/2001/04/xmlenc#sha256" /> 
       <ds:DigestValue>mv1wKPg7iHLzZ5cNnu8oYX0/YvZqGsxKHsUc0umZVYw=</ds:DigestValue> 
      </ds:Reference> 
     </ds:SignedInfo> 
     <ds:SignatureValue>...</ds:SignatureValue> 
     <KeyInfo xmlns="http://www.w3.org/2000/09/xmldsig#"> 
      <X509Data> 
       <X509Certificate>...</X509Certificate> 
      </X509Data> 
     </KeyInfo> 
    </ds:Signature> 
    <Subject> 
     <NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent">jMPrg5XmAUzfnoCKSAXJGJMDZ8Hdj_bRU2YY6-Ozugg</NameID> 
     <SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer"> 
      <SubjectConfirmationData InResponseTo="ONELOGIN_40becfa9c4dc2697c9778b7b598399fbc55cef98" 
            NotOnOrAfter="2017-01-27T12:36:27.170Z" 
            Recipient="https://myapp.com/acs" 
            /> 
     </SubjectConfirmation> 
    </Subject> 
    <Conditions NotBefore="2017-01-27T12:26:27.154Z" 
       NotOnOrAfter="2017-01-27T13:26:27.154Z" 
       > 
     <AudienceRestriction> 
      <Audience>https://myapp.com/metadata</Audience> 
     </AudienceRestriction> 
    </Conditions> 
    <AttributeStatement> 
     <Attribute Name="http://schemas.microsoft.com/identity/claims/tenantid"> 
      <AttributeValue>1234567-1234-1234-1234-123456789</AttributeValue> 
     </Attribute> 
     <Attribute Name="http://schemas.microsoft.com/identity/claims/objectidentifier"> 
      <AttributeValue>12345-123-123-1234-12345678</AttributeValue> 
     </Attribute> 
     <Attribute Name="http://schemas.microsoft.com/identity/claims/identityprovider"> 
      <AttributeValue>live.com</AttributeValue> 
     </Attribute> 
     <Attribute Name="firstname"> 
      <AttributeValue>Firstname</AttributeValue> 
     </Attribute> 
     <Attribute Name="lastname"> 
      <AttributeValue>Lastname</AttributeValue> 
     </Attribute> 
     <Attribute Name="emailaddress"> 
      <AttributeValue>[email protected]</AttributeValue> 
     </Attribute> 
    </AttributeStatement> 
    <AuthnStatement AuthnInstant="2017-01-27T11:09:28.000Z" 
        SessionIndex="_ad52e38a-5f8f-4a60-9b3b-d904afd9b82e" 
        > 
     <AuthnContext> 
      <AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</AuthnContextClassRef> 
     </AuthnContext> 
    </AuthnStatement> 
</Assertion>

マイクロソフトのAzure //ログアウト要求

<samlp:LogoutRequest xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" 
       xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion" 
       ID="ONELOGIN_a90edfe3da4eb07dd1e2a52df7d4cb5385cbd6c8" 
       Version="2.0" 
       IssueInstant="2017-01-27T12:32:05Z" 
       Destination="https://login.microsoftonline.com/common/wsfederation?wa=wsignout1.0" 
       > 
<saml:Issuer>https://myapp.com/metadata</saml:Issuer> 
<saml:NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent">jMPrg5XmAUzfnoCKSAXJGJMDZ8Hdj_bRU2YY6-Ozugg</saml:NameID> 
<samlp:SessionIndex>_ad52e38a-5f8f-4a60-9b3b-d904afd9b82e</samlp:SessionIndex>

サインアウト要求が追加GETパラメータを使用して送信されます。 のRelayState < =のシングルログアウトURLを指していますSP wa < = "wsignout1.0"に設定

私は3番目のIDP（Onelogin）に対してSP構成をテストしましたが、ここではSPのログアウトが期待通りに機能します。ユーザーはIDPセッションからログアウトしてから、LogoutResponseを使用してSPにリダイレクトされます。ここでの唯一の違いは、Onelogin App設定でSP Logout URLを明示的に設定できることです。

AzureまたはCentrifyでSPログアウトURLを定義するオプションはありますか？ 何か不足していますか？

ありがとうございます！

出典

2017-01-27 highbelt

答えて

関連する問題

 関連する問題