SAML 注销流程

亚马逊 Cognito 支持 SAML 2.0 单点注销。当您将 SAML IdP 配置为支持注销流程时，Amazon Cognito 会将您的用户通过已签名的 SAML 注销请求重定向到您的 IdP。Amazon Cognito 根据你的 IdP 元数据中的SingleLogoutService网址确定重定向位置。Amazon Cognito 使用您的用户池签名证书签署退出请求。

当您将具有 SAML 会话的用户定向到您的用户池/saml2/logout终端节点时，Amazon Cognito 会通过以下请求将您的 SAML 用户重定向到他们的 IdP 注销终端节点。

https://[SingleLogoutService endpoint]?
SAMLRequest=[encoded SAML request]&
RelayState=[RelayState]&
SigAlg=http://www.w3.org/2001/04/xmldsig-more#rsa-sha256&
Signature=[User pool RSA signature]

然后，您的用户使用他们的 IdP 返回LogoutResponse到您的saml2/logout终端节点。Amazon Cognito 将他们从最初的退出请求重定向到重定向目的地。

您的 SAML 提供商可能会发送LogoutResponse包含多个内容AuthnStatement的。此类响应sessionIndexAuthnStatement中的第一个必须与最初对用户进行身份验证的 SAML 响应sessionIndex中的相匹配。如果sessionIndex是其他会话AuthnStatement，Amazon Cognito 将无法识别该会话，您的用户也不会被注销。