단일 로그아웃으로 SAML 사용자 로그아웃

Amazon Cognito는 SAML 2.0 단일 로그아웃(SLO. SLO를 사용하면 애플리케이션에서 사용자 풀에서 로그아웃할 때 자격 SAML 증명 공급자(IdPs)에서 사용자를 로그아웃할 수 있습니다. 이렇게 하면 사용자가 애플리케이션에 다시 로그인하려는 경우 SAML IdP 로 인증해야 합니다. 그렇지 않으면 보안 인증 정보를 제공할 필요 없이 애플리케이션에 전달하는 IdP 또는 사용자 풀 브라우저 쿠키가 있을 수 있습니다.

로그아웃 흐름 을 지원하도록 SAML IdP를 구성하면 Amazon Cognito는 서명된 SAML 로그아웃 요청으로 사용자를 IdP 로 리디렉션합니다. Amazon Cognito는 IdP 메타데이터SingleLogoutServiceURL의 에서 리디렉션 위치를 결정합니다. Amazon Cognito는 사용자 풀 서명 인증서로 로그아웃 요청에 서명합니다.

SAML 세션이 있는 사용자를 사용자 풀 /logout 엔드포인트로 안내하면 Amazon Cognito는 다음 요청을 사용하여 SAML 사용자를 IdP 메타데이터에 지정된 SLO 엔드포인트로 리디렉션합니다.

https://[SingleLogoutService endpoint]?
SAMLRequest=[encoded SAML request]&
RelayState=[RelayState]&
SigAlg=http://www.w3.org/2001/04/xmldsig-more#rsa-sha256&
Signature=[User pool RSA signature]

그런 다음 사용자는 IdP LogoutResponse에서 를 사용하여 saml2/logout 엔드포인트로 돌아갑니다. IdP는 HTTP POST 요청LogoutResponse으로 를 전송해야 합니다. 그런 다음 Amazon Cognito는 초기 로그아웃 요청에서 리디렉션 대상으로 리디렉션합니다.

SAML 공급자가 둘 이상의 LogoutResponse 를 전송할 수 AuthnStatement 있습니다. 이 유형의 응답AuthnStatement에서 sessionIndex 첫 번째 의 는 원래 사용자를 인증한 SAML 응답sessionIndex에서 와 일치해야 합니다. sessionIndex 가 다른 에 있는 경우 AuthnStatement Amazon Cognito는 세션을 인식하지 못하며 사용자는 로그아웃되지 않습니다.