ページ履歴

ログアウト処理は，ローカルログアウトとグローバルログアウトに大別できます．前者は，SPのセッションを削除するもので，IdPや他のSPのログ アウトとは連動しません．後者は，IdPとしてもログアウト処理を施し，全てのSPからログアウトする，すなわち，シングルログアウト（Single ログアウト処理は，ローカルログアウトとグローバルログアウトに大別できます．前者は，SPのセッションを削除するもので，IdPや他のSPのログアウトとは連動しません．後者は，IdPとしてもログアウト処理を施し，全てのSPからログアウトする，すなわち，シングルログアウト（Single Log Out : SLO）を意味します．

ここでは，ローカルログアウトの設定方法について説明します（現在シボレスでは，IdP側においてグローバルログアウト機能が提供されていません）．
※Shibboleth IdPバージョン2.4ではSLOの一部（前半部分、つまりSPのログアウトをトリガーとしてIdPのほうでもログアウトする）のための機能が追加される予定です。Stay 4には、SLOの一部（前半部分、つまりSPのログアウトをトリガーとしてIdPのほうでもログアウトする）のための機能が追加されました。Stay tuned.

...

アプリケーション側の設定

ログアウトボタンが押され，アプリケーション側のログアウト処理を終えた後に，Shibboleth.sso/Logoutにリダイレクトし，SP のLogoutInitiatorを動作させます．returnパラメータを設定することで，ログアウト後のリダイレクト先を指定できます．

例:

https://attrviewer20.gakunin.nii.ac.jp/Shibboleth.sso/Logout?return=http...

...

...

shibboleth2.xmlの設定

下記のようにtype=”SAML2”のLogoutInitiatorをコメントアウトすることで，IdP側で対応していないグローバルログアウ トを実行させない設定にします．type”SAML2”のLogoutInitiatorをコメントアウトすることで，IdP側で対応していないグローバルログアウトを実行させない設定にします．type=”Local”がローカルログアウトのための処理を実行し，当該SPに関するログインセッションを削除します． アプリケーション側で，Shibboleth”Local”がローカルログアウトのための処理を実行し，当該SPに関するログインセッションを削除します．アプリケーション側で，Shibboleth.sso/Logoutへのリダイレクト時にreturnパラメータが設定されていない場合 は，localLogoutLogoutへのリダイレクト時にreturnパラメータが設定されていない場合は，localLogout.htmlが表示されます． 

             <!-- LogoutInitiators enable SP-initiated local or global/single logout of sessions. -->
            <LogoutInitiator type="Chaining" Location="/Logout" relayState="cookie">
                <!--  
                <LogoutInitiator type="SAML2" template="bindingTemplate.html"/>
                --> 
                <LogoutInitiator type="Local"/>
            </LogoutInitiator>

...

参考：https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPLogoutInitiator
関連するQ&A：https://lists.internet2.edu/sympa/arc/shibboleth-users/2011-01/msg00155.html（shibboleth-usersメーリングリスト内）  [Shib-Users] Questions about the Logout initiator redirect（Shibboleth Usersメーリングリスト内）