AzureAD SAML响应

Question

AzureAD是否支持＆＃34; AuthnStatement＆＃34;的 SessionNotOnOrAfter 属性？ SAML响应部分？ 如果没有，我们可以考虑＆＃34;条件＆＃34;的 NotBefore 和 NotOnOrAfter 属性。部分作为有效的会话时间窗口（会话长度）？

Answer 1

是的，NotBefore和NotOnOrAfter属性指定了声明有效的时间间隔。

<Conditions NotBefore="2013-03-18T07:38:15.128Z" NotOnOrAfter="2013-03-18T08:48:15.128Z">
      <AudienceRestriction>
        <Audience>https://www.contoso.com</Audience>
      </AudienceRestriction>
</Conditions>

• NotBefore属性的值等于或稍晚于IssueInstant元素的Assertion属性的值（不到一秒钟）。 Azure AD不考虑其自身与云服务（服务提供商）之间的任何时差，并且此时不添加任何缓冲区。

• NotOnOrAfter属性的值比NotBefore属性的值晚70分钟。

参考：Single Sign-On SAML protocol

Answer 2

到目前为止，AzureAD不支持SessionNotOnOrAfter属性，并且不允许配置从SAML响应派生的会话生存期。 “ NotOnOrAfter”属性不应用于控制会话生存期，因为它具有完全不同的含义和目的。参见NotOnOrAfter in SubjectConfirmationData and Conditions and SessionNotOnOrAfter。