Tek Oturum Kapatma (Single Logout - SLO), bir uygulamanın genel bir oturum kapatma işlemi başlatmasına olanak tanır. Bir kullanıcı IDaaS tek oturum açma (SSO) üzerinden giriş yaptığında, uygulama IDaaS'teki kullanıcının ana oturumunu da sonlandıran bir oturum kapatma isteği gönderebilir. IDaaS bu özelliği OIDC SLO standardına dayalı olarak uygular. Bu özellik yalnızca kendi geliştirdiğiniz uygulamalar ve OIDC tabanlı uygulamalar için kullanılabilir.
SLO, kimlik federasyonu için bir oturum yönetimi mekanizmasıdır. Uygulamanızın ana oturumu yoksaymasını ve her giriş denemesinde kimlik doğrulama gerektirmesini sağlamak için yetkilendirme uç noktasında prompt parametresini kullanın.
SLO uç noktasını çağırma
Oturum kapatma işlemini başlatmak için önce kullanıcının uygulamanızdaki oturumunu sonlandırın, ardından kullanıcıyı IDaaS tarafından sağlanan uygulamanın logout endpoint adresine yönlendirin.
Yönetici, oturum kapatma uç noktasını Application Details > Sign-In > Single Sign-on sekmesindeki Application Settings bölümünde bulabilir.
Oturum kapatma uç noktası URL'si https://{instance domain name}.aliyunidaas.com/login/app/{application ID}/oauth2/logout biçimindedir ve kullanıcıyı IDaaS ana oturumundan çıkarır.
Bir kullanıcıyı bu uç noktaya yönlendirmek bir SLO isteği başlatır. IDaaS bu aşamada isteğin kaynağını doğrulayamadığından, kullanıcıdan oturum kapatma eylemini onaylamasını ister.
Bu manuel onay adımını atlayabilirsiniz. Daha fazla bilgi için aşağıdaki bölümlere bakın.
Aktif bir IDaaS oturumu varsa, IDaaS kullanıcıdan Log Out seçeneğine tıklayarak eylemi onaylamasını ister.
Kullanıcı eylemi onaylarsa veya aktif bir IDaaS oturumu yoksa, IDaaS bir Logged out mesajı görüntüler.
Oturum kapatma sonrası otomatik yönlendirme
Kullanıcıları IDaaS "Logged out" sayfası yerine oturum kapatma sonrasında uygulamanıza yönlendirmek için bir oturum kapatma geri arama URL'si yapılandırın. Bu URL'yi post_logout_redirect_uri parametresi ile iletin.
Yöneticinin Applications > Manage > Sign-on > Single Sign-on yolunu izleyerek Logout Redirect URIs ayarını bulması ve uygulama için tam geri arama URL'sini girmesi gerekir.
Logout Redirect URIs alanı bir izin listesi olarak çalışır ve en fazla beş URL ekleyebilirsiniz. Bir oturum kapatma işlemi başlatıldığında, SLO uç noktasına iletilen post_logout_redirect_uri değeri bu izin listesinde yer almalıdır.
Logout Callback URLs ayarı Advanced Settings bölümünde bulunur. Single Sign-on yapılandırma sayfasında, bölümü genişletmek ve bu ayara erişmek için Show Advanced Settings seçeneğine tıklayın.
Yapılandırmayı kaydettikten sonra, oturum kapatma sonrası yönlendirmeyi etkinleştirmek için SLO uç noktasına post_logout_redirect_uri parametresini iletin.
Otomatik oturum kapatma
Manuel onay adımını atlayabilir ve kullanıcının oturumunu otomatik olarak kapatabilirsiniz. Otomatik oturum kapatmayı etkinleştirmek için daha önce açıklandığı gibi oturum kapatma geri arama URL'lerini yapılandırın ve SLO uç noktasına ek bir parametre iletin: id_token_hint.
SLO oturum kapatma uç noktası aşağıdaki parametreleri destekler:
|
Parametre |
Gerekli |
Açıklama |
|
id_token_hint |
Hayır |
Otomatik oturum kapatmayı etkinleştirmek için gereklidir. Bu parametre, isteğin geçerliliğini doğrular. SSO sırasında IDaaS tarafından verilen ve en son oturuma karşılık gelen (yani eşleşen bir oturum kimliğine sahip olan) Not
Bu, kötü amaçlı oturum kapatma saldırılarını önlemek amacıyla OIDC teknik özelliklerinde tanımlanan bir güvenlik önlemidir. |
|
post_logout_redirect_uri |
Hayır |
Oturum kapatma sonrası otomatik yönlendirmeyi etkinleştirmek için gereklidir. SLO tamamlandıktan sonra IDaaS'in kullanıcıyı yönlendireceği HTTPS geri arama URL'si. Bu URL, IDaaS'teki uygulama ayarlarında yapılandırılmalıdır. |
|
state |
Hayır |
Rastgele bir dize. Otomatik yönlendirme yapılandırılmışsa, IDaaS bu değeri uygulamaya geri arama parametresi olarak döndürür. Güvenlik doğrulaması için kullanılır. |
SLO uç noktasına örnek istek:
GET https://example.aliyunidaas.com/login/app/<application_id>/oauth2/logout
?id_token_hint=${id_token}
&post_logout_redirect_uri=${post_logout_redirect_uri}
&state=${state} SLO iş akışı
IDaaS'teki SLO özelliği şu anda aşağıdaki sınırlamalara sahiptir:
Yalnızca OIDC SLO uygulanmıştır. SAML SLO henüz desteklenmemektedir.
Yalnızca SP tarafından başlatılan SLO uygulanmıştır. Diğer OIDC SLO modları henüz desteklenmemektedir.
Yalnızca IDaaS ana oturumu sonlandırılır. Diğer oturum açmış uygulamalar etkilenmez. Bu, genel SLO'nun uygulanmadığı anlamına gelir.