ADFS SAML Single Logout

Question

Estou lidando com um aplicativo da Web conectado ao ADFS como uma terceira parte confiável, para integração de logon único com um provedor de declarações de parceiro. É tudo via SAML (não WS Federation). O aplicativo da Web é .NET e usa a extensão WIF SAML. Tudo isso funciona para o SSO.

O que não funciona é o logOUT único para o provedor de declarações. Meu aplicativo por meio da extensão WIF é redirecionado corretamente para o link com a solicitação de logoff do SAML, e o ADFS, por sua vez, é redirecionado para mim em / saml / redirect / sloresponse. Isso é tudo de bom, mas o que nunca acontece é qualquer redirecionamento para o provedor de declarações (provedor de identidade SAML) para fazer logout a partir daí. O provedor de declarações publica um SingleLogoutService em seus metadados SAML e funciona quando o provedor de declarações fala o SAML diretamente com meu aplicativo da Web (sem o ADFS no meio).

Perguntas:

1. O logoff único de SAML de envio é suportado em todos no ADFS? A pesquisa on-line encontrou algumas notas enigmáticas que não são, mas não consigo encontrar uma fonte definitiva.

2. Se não estiver no ADFS 2.0, está no ADFS 2.1? Poderíamos atualizar para o Windows 2012, se necessário.

3. Se não for SAML, o ADFS pode fazer isso usando o WSFederation? As duas pernas precisariam ser FSM, tanto a confiança do provedor de declarações quanto a confiança da parte confiável?

4. Se não for possível, existe alguma solução recomendada? Talvez redirecionar diretamente para o provedor de declarações e enviar uma solicitação de logoff do SAML para o ADFS?

Obrigado!

    

Answer 1

Um pouco atrasado, mas espero que ajude alguém. O NameID tem um papel a desempenhar aqui. Você viu essa citação no "Usando o AD FS 2.0 como o provedor de identidade do SAML 2.0 para o exemplo de provedor de serviços", etapa 3 do readme?

"Note:

· A NameIdentifier claim is not included in the outgoing claim from AD FS by default. This can be added as a Claim transformation rule. This is necessary for logout to perform correctly. "

O IDP do parceiro estava enviando um NameID e seu ADFS estava configurado para enviar um NameID para o RP App? Eu configurei sua mesma configuração onde meu IDP e RP STS são ambos ADFS e isso funciona bem.

Por favor, note que o CTP extensões WIF SAML não é suportado nesta fase. Eu estou supondo que isso não é uma configuração de produção?

O Windows Server 2012 AD FS 2.1 não é necessário para que isso funcione. Apesar de ter alguns recursos extras interessantes vindo na versão 8.1 do servidor que podem influenciar suas decisões de atualização:)