Question

我正在测试Shibboleth SP的SLO功能以及WSO2 Identity Server作为IDP。如果我在服务提供商通过反向通道收到注销消息后很快就尝试登录服务，则会显示标题异常（更多详细信息如下）。

我的问题是，可以通过配置关闭Shibboleth服务提供商的这种行为吗？这类似于可以由SecutiryPolicy规则控制的内容，但我找不到哪个。

测试场景：
配置了WSO2IS ver的实例。 5.1.0，以及Shibboleth SP ver的两个实例。 2.6（Apache 2.4）。 WSO2IS配置为使用Shibboleth的/ SLO / POST绑定点进行单点注销。

访问SP1的安全位置，浏览器重定向到IDP登录，成功登录浏览器后重定向回SP1并显示安全页面。
访问SP2的安全位置，浏览器被重定向到IDP，IDP会立即重定向ID（因为用户已登录），并显示SP2的安全页面。
从SP1退出。通过反向通道的IDP将LogoutRequest发送到SP2。
再次尝试访问（刷新）SP2的安全页面。浏览器被重定向到IDP登录页面。

（到目前为止，一切都按预期工作 - 成功的SLO SP2必须再次登录才能访问受保护的资源。）

输入用户凭据，登录完成（通过交换的saml消息判断），但不显示SP2页面 - 显示Shibboleth异常页面。

我将补充说，查看日志文件并没有向我揭示这个问题。 WSO2IS日志显示没有错误。

shibd.log of SP2
(after first login to SP2)
INFO Shibboleth.SessionCache [5]: new session created: ID (_1cf4bfa247ec917f987d485e32aa102c) IdP (wso2is) Protocol(urn:oasis:names:tc:SAML:2.0:protocol) Address (147...)

(after logout from SP1)
INFO Shibboleth.Logout.SAML2 [1]: processing front channel logout request with no active session
INFO Shibboleth.SessionCache [1]: request to logout sessions from (wso2is) for (user@carbon.super)
INFO Shibboleth.SessionCache [9]: removed session (_1cf4bfa247ec917f987d485e32aa102c)
INFO Shibboleth.Logout.SAML2 [9]: client's session isn't available, skipping front-channel notifications

(than after second login, event tho SAML messages are exchanged with the IDP the same way as the first time, and with no errors, new session is not created)
(at that point shibboleth-www/native.log shows:)

DEBUG Shibboleth.Listener [10379] shib_handler: sending message (default/SAML2/POST)
DEBUG Shibboleth.Listener [10379] shib_handler: send completed, reading response message
ERROR Shibboleth.Listener [10379] shib_handler: remoted message returned an error: A logout message from your identity provider has blocked your login attempt.
ERROR Shibboleth.Apache [10379] shib_handler: A logout message from your identity provider has blocked your login attempt.

注意：我必须补充一点，如果我在经过一段时间后再次尝试访问SP2页面，则会正常显示（与IDP有新的SamlRequest / Response交换）。即使知道这个超时的长度对我有帮助。

opensaml :: FatalProfileException来自您的身份提供者的注销消息已阻止您的登录尝试

0 个答案: