Identity as a Service:Lanjutan: Single logout (SLO)

Panggil titik akhir SLO

Untuk memulai logout, hentikan terlebih dahulu sesi pengguna di aplikasi Anda, lalu alihkan pengguna ke logout endpoint aplikasi yang disediakan oleh IDaaS.

Administrator dapat menemukan logout endpoint di bagian Application Settings pada tab Application Details > Sign-In > Single Sign-on.

URL logout endpoint memiliki format https://{instance domain name}.aliyunidaas.com/login/app/{application ID}/oauth2/logout dan akan mengeluarkan pengguna dari sesi login utama IDaaS.

Mengalihkan pengguna ke titik akhir ini akan memulai permintaan SLO. Karena IDaaS tidak dapat memverifikasi sumber permintaan pada tahap ini, sistem akan meminta pengguna untuk mengonfirmasi aksi logout tersebut.

Jika terdapat sesi login aktif di IDaaS, IDaaS akan meminta pengguna mengonfirmasi aksi dengan mengklik Log Out.

Jika pengguna mengonfirmasi aksi tersebut atau tidak ada sesi login aktif di IDaaS, IDaaS akan menampilkan pesan Logged out.

Pengalihan otomatis setelah logout

Untuk mengalihkan pengguna kembali ke aplikasi Anda setelah logout—alih-alih menampilkan halaman "Logged out" IDaaS—konfigurasikan logout callback URL. Tentukan URL ini dengan menggunakan parameter post_logout_redirect_uri.

Administrator harus membuka menu Applications > Manage > Sign-on > Single Sign-on, temukan pengaturan Logout Redirect URIs, lalu masukkan URL callback lengkap untuk aplikasi tersebut.

Bidang Logout Redirect URIs berfungsi sebagai daftar izin (allowlist), dan Anda dapat menambahkan hingga lima URL. Saat logout dimulai, nilai post_logout_redirect_uri yang dikirim ke titik akhir SLO harus termasuk dalam daftar izin ini.

Pengaturan Logout Callback URLs terletak di bagian Advanced Settings. Pada halaman konfigurasi Single Sign-on, Anda harus mengklik Show Advanced Settings untuk membuka bagian tersebut sebelum dapat menemukan dan mengonfigurasi pengaturan ini.

Setelah menyimpan konfigurasi, Anda dapat mengirimkan parameter post_logout_redirect_uri ke titik akhir SLO untuk mengaktifkan pengalihan setelah logout.

Logout otomatis

Untuk pengalaman pengguna yang mulus, Anda dapat melewati langkah konfirmasi manual agar pengguna langsung dikeluarkan dan dialihkan secara otomatis. Untuk mengaktifkan fitur ini, Anda harus mengonfigurasi logout callback URLs seperti yang dijelaskan sebelumnya dan mengirimkan satu parameter tambahan ke titik akhir SLO: id_token_hint.

Titik akhir logout SLO mendukung parameter berikut:

Parameter	Wajib	Deskripsi
id_token_hint	Tidak	Diperlukan untuk mengaktifkan logout otomatis. Parameter ini memverifikasi validitas permintaan. Kirimkan id_token yang dikeluarkan oleh IDaaS selama SSO dan sesuai dengan sesi terbaru, artinya memiliki session ID yang cocok. Catatan Jika klaim sid (session ID) dalam id_token tidak sesuai dengan sesi terbaru untuk aplikasi di IDaaS, pengguna harus mengonfirmasi logout secara manual. Konfirmasi manual tidak diperlukan meskipun id_token telah kedaluwarsa, selama token tersebut sesuai dengan sesi terbaru. Ini merupakan tindakan keamanan yang ditetapkan dalam spesifikasi OIDC untuk mencegah serangan logout jahat.
post_logout_redirect_uri	Tidak	Diperlukan untuk mengaktifkan pengalihan otomatis setelah logout. URL callback HTTPS tempat IDaaS mengalihkan pengguna setelah SLO selesai. URL ini harus dikonfigurasi di pengaturan aplikasi di IDaaS.
state	Tidak	String acak. Jika pengalihan otomatis dikonfigurasi, IDaaS akan mengembalikan nilai ini ke aplikasi sebagai parameter callback. Digunakan untuk validasi keamanan.

Contoh berikut menunjukkan permintaan ke titik akhir SLO:

GET https://example.aliyunidaas.com/login/app/<application_id>/oauth2/logout
	?id_token_hint=${id_token}
	&post_logout_redirect_uri=${post_logout_redirect_uri}
	&state=${state} 

Alur kerja SLO

Referensi

• OpenID Connect RP-Initiated Logout 1.0