Comment implémenter le flux de déconnexion SAML pour mon application qui utilise un groupe d'utilisateurs Cognito ?

Résolution

Prérequis :

• Créez un groupe d'utilisateurs Cognito.
• Créez un client d'application pour un groupe d'utilisateurs.
•  Configurez votre IdP SAML dans votre groupe d'utilisateurs.

Activer la déconnexion SAML dans votre IdP SAML

Procédez comme suit :

1. Console Amazon Cognito.
2. Dans le volet de navigation, choisissez Groupes d'utilisateurs, puis sélectionnez votre groupe d'utilisateurs.
3. Choisissez Fournisseurs sociaux et externes, puis choisissez votre IdP SAML.
4. Dans les paramètres de configuration de votre IdP SAML, sélectionnez Ajouter un flux de déconnexion et Signer les demandes SAML adressées à ce fournisseur. Enregistrez ensuite la configuration.
5. Choisissez Afficher le certificat de signature.
6. Choisissez Télécharger au format .crt.
7. Choisissez Fermer.

Configurer votre IdP externe pour activer la déconnexion

Pour configurer la déconnexion unique dans votre application Cognito, consultez la documentation de votre IdP pour activer la déconnexion unique dans votre application SAML.

Lorsque vous configurez votre application, procédez comme suit :

1. Téléchargez le fichier .crt depuis votre groupe d'utilisateurs Cognito en tant que certificat de signature dans la configuration de l'application SAML de votre IdP.
2. Activez la déconnexion unique dans la configuration de votre IdP.
   Remarque : Votre IdP peut faire référence à la déconnexion unique en tant que déconnexion unique (SLO).
3. Pour la configuration de votre IdP, utilisez les valeurs suivantes :
   Pour l'URL de déconnexion unique, saisissez https://YourDomain.auth.Region.amazoncognito.com/saml2/logout.
   Pour l'émetteur du fournisseur de services (SP), saisissez urn:amazon:cognito:sp:YourUserPoolID.
   Remarque : Remplacez YourDomain, Region et YourUserPoolID par vos valeurs. Votre IdP doit envoyer la réponse de déconnexion SAML sous la forme d'une requête HTTP POST. Cognito redirige ensuite l'utilisateur vers l'URL de déconnexion de la requête initiale.

Tester la déconnexion unique

Envoyez une requête GET au point de terminaison /logout Cognito. Assurez-vous d'inclure les paramètres client_id et logout_uri dans la requête.

Exemple d'URL de déconnexion :

https://YourDomain.auth.Region.amazoncognito.com/logout?client_id=YourAppClientID&logout_uri=YourAllowedSignOutURL

Remarque : Pour les applications personnalisées, vous devez supprimer les jetons ou les informations de session stockés localement du navigateur de l'utilisateur, tels que LocalStorage et SessionStorage. L'URL de déconnexion de Cognito efface le cookie Cognito uniquement pour les applications qui utilisent l'interface utilisateur gérée.

Informations connexes

Déconnexion des utilisateurs SAML à l'aide d'une déconnexion unique