会话超时后 Azure AD B2C 注销

Posted 2023-02-19

【中文标题】会话超时后 Azure AD B2C 注销

【英文标题】：Azure AD B2C logout after session timeout

【发布时间】：2018-08-10 13:49:34

【问题描述】：

情况

我有一个使用 Azure AD B2C 作为身份验证的 Web 应用程序。我们使用 OWIN OpenIdConnect 来处理这个过程。会话超时设置为 15 分钟（web.config 中的 sessionState 和我们的 AzureADB2C 登录策略），我们在策略级别的策略中启用了 SSO。会话设置为滚动。 OWIN CookieAuthentication 也使用 15m 滑动到期。

Web 应用程序分为多个部分（虚拟文件夹），但都共享同一个 Azure AD B2C 实例。但是，每个人在 AD 中都有自己的应用程序注册。 （这些基本上是国家，所以我们有 www.site.com/nl 和 www.site.com/de 例如）这是为了确保当您登录时，您也被正确引导回您所在的国家/地区。此外，这使我们能够在需要时将一个国家/地区链接到不同的 AD 实例。

问题

当用户登录应用程序，然后在他/她的会话中注销时，登录过程会正常运行而不会出现问题，并且在尝试再次登录时，他/她会被要求再次登录。这没关系，符合预期。

但是，当用户登录并让他/她的会话到期时，我们会显示一个弹出窗口，询问您是要继续（链接到登录页面）还是退出（链接到注销页面）。在这两种情况下，用户都不需要提供他/她的凭据，这不是我们想要的行为（因为这意味着如果有人打开他们的帐户并且发生超时，任何人仍然可以登录到该帐户而无需提供凭据）

观察

如果用户在会话超时后点击注销页面，则会调用与用户在其会话期间注销时完全相同的 URL https://login.microsoftonline.com/myazuread.onmicrosoft.com/oauth2/v2.0/logout?p=b2c_1_mypolicyname&post_logout_redirect_uri=https%3a%2f%2fwww.site.com%2fbe&x-client-SKU=ID_NET&x-client-ver=1.0.40306.1554。但是，我在此调用中看到 Azure 端有 2 种不同的行为。

A) 当会话未过期时，此调用首先调用 https://login.microsoftonline.com/my-azure-ad-guid/oauth2/logout，然后重定向到我的重定向 uri。

B) 当会话过期时，此调用直接重定向到我的重定向 uri，而不会在情况 A 中传递 uri。

情况 A 和 B 之间有 1 个 cookie 差异，称为 x-ms-cpim-sso:myazuread.onmicrosoft.com/b2c_1_mypolicyname 它只存在于情况 A 中，这让我相信这会导致不同的行为。但是，这是 login.microsoftonline.com 域上的 Microsoft cookie，因此我无法控制或影响它。

当登录在会话超时后初始化时，我看到调用通过包含一个与我的任何应用程序都不匹配的客户端 ID：https://login.microsoftonline.com/myazuread.onmicrosoft.com/oauth2/authorize?client_id=bb2a2e3a-c5e7-4f0a-88e0-8e01fd3fc1f4&redirect_uri=https%3a%2f%2flogin.microsoftonline.com%2fte%2fmyazuread.onmicrosoft.com%2foauth2%2fauthresp&response_type=id_token&scope=email+openid&response_mode=query&nonce=nonce&nux=1&nca=1&domain_hint=myazuread.onmicrosoft.com&mkt=en-US&lc=1033&state=StateProperties 这为我引出了一个问题，这个应用程序是什么以及为什么会这样在我的身份验证流程中使用导致我的用户不需要重新身份验证？

问题： 如何确保用户在每次会话超时后都需要进行身份验证？

【问题讨论】：

这里有两个问题：1）SSO超时，2）注销。最好把它们分成两部分。对于 SSO 超时——在 Azure AD B2C 门户中设置的会话超时是什么，其中会话设置为策略级别并滚动？

我只有 1 个问题：如何确保用户在会话超时后需要重新进行身份验证，请告诉我您看到的其他问题。至于设置：令牌生命周期：15mins/14days/Bounded/90days 会话行为：15mins/Rolling/Policy/No

这是注册或登录政策还是只是登录政策？

这是一个仅登录策略

【参考方案1】：

2020 年 4 月 9 日更新： 以下信息已弃用。请注意微软的通知：

在预览期间听取了客户的意见后，我们在 Azure AD 条件访问中实施了authentication session management capabilities。您可以使用此新功能通过设置登录频率来配置刷新令牌生命周期。 2020 年 5 月 30 日之后，新租户将无法使用可配置令牌生命周期策略来配置会话和刷新令牌。弃用将在几个月后发生，这意味着我们将停止尊重现有会话并刷新令牌策略。您仍然可以在弃用后配置访问令牌的生命周期。

我相信现在可以使用“用户登录频率”设置，这要归功于“浏览器会话的持久性”现在已正确完成。遗憾的是，我无法对此进行测试，因此如果有人可以确认，请在此问题的新答案中描述您是如何成功解决此问题的，我将更改答案并将此消息指向您的答案。

旧信息：

因此，在与 Microsoft 支持团队合作数周后，我们终于有了一个最终的答案和明确的解决方案：

您正在使用登录策略。由于遗留原因，当您调用 /authorize 端点以获取“登录策略”时，您首先点击 Azure AD B2C 服务，然后立即重新路由到 Azure AD 服务。然后，用户名/密码字段实际上由 Azure AD 服务（而不是 Azure AD B2C）显示。输入有效的用户名/密码后，Azure AD 出于 SSO 原因在客户端计算机上存储一个 cookie，将客户端重定向回 Azure AD B2C，然后生成一个令牌并将 B2C 令牌返回给应用程序，同时存储它自己的出于 SSO 原因的 cookie。换句话说，Azure AD B2C 联合到 Azure AD 进行登录，Azure AD 和 Azure AD B2C 都有自己的 cookie 来维护 SSO。

现在，当您调用注销 Azure AD B2C 或 Azure AD B2C 的会话到期时，Azure AD B2C 会关闭会话，即删除 cookie。但是，它不会删除 Azure AD cookie。这意味着当您再次登录时，Azure AD B2C 会识别出您尚未登录，并调用 Azure AD。由于 Azure AD 已植入 cookie 或 Azure AD 的会话未过期，因此它是用户的 SSO，用户无需再次输入用户名/密码（这正是您不希望的行为）。

若要立即解决此问题，请在调用 Azure AD B2C 的注销终结点后调用 Azure AD 的注销终结点。 Azure AD 的注销终结点与 Azure AD B2C 的注销终结点相同，但 URL 中没有策略。对于会话到期，您还需要limit the session timeout for Azure AD。

我们正在制定一项不依赖于 Azure AD 的登录策略（当前为私人预览版）。我们还在研究修复原始登录策略的行为。

我的问题的解决方案确实是使用规定令牌生命周期的策略来限制 Azure AD 本身的会话超时。这是我设置的策略，即租户上的所有会话一般都过期 15 分钟（这是我们的愿望，如果您只想为特定应用程序设置此策略，请阅读文章）

Connect-AzureAD
New-AzureADPolicy -Definition @('"TokenLifetimePolicy":"Version":1, "MaxAgeSessionSingleFactor":"0.00:15:00","MaxAgeSessionMultiFactor":"0.00:15:00"') -DisplayName "TokenLifetimeDefaultPolicy" -IsOrganizationDefault $true -Type "TokenLifetimePolicy"
Disconnect-AzureAD

感谢微软支持。

【讨论】：

此解决方案不再有效，请参阅您链接到的页面顶部的重要说明：docs.microsoft.com/en-us/azure/active-directory/develop/…。目前，我不知道新的解决方案是什么，如果有的话。

感谢您的通知。我会更新答案。如果我能很好地理解docs.microsoft.com/en-us/azure/active-directory/…，那么也许今天可以利用它加上将docs.microsoft.com/en-us/azure/active-directory/… 缩短到15 分钟......遗憾的是我不再为这家公司工作，所以我无法检验这个假设。

【参考方案2】：

目的是在闲置 15 分钟后设置闲置用户的会话超时。 我们在本地 IIS 上运行了两个 Web 应用程序（它应该/必须在 ms azure 云中表现相同）

No.1 MVC Web 应用程序（这里我们需要在 15 分钟后发生非活动用户的超时）

No.2 MVC rest api

我们要做的是创建一个新策略并分配给一个服务主体对象。

请使用下面提到的步骤 1-6。

1.下载最新的 Azure AD PowerShell 模块公共预览版。

2.运行 Connect 命令以登录到您的 Azure AD 管理员帐户。每次启动新会话时运行此命令。 连接-AzureAD -确认

创建新策略 New-AzureADPolicy -Definition @('"TokenLifetimePolicy":"Version":1, "AccessTokenLifetime":"00:15:00","MaxInactiveTime":"00:15:00","MaxAgeSingleFactor":"01 :00:00", "MaxAgeSessionSingleFactor":"01:00:00"') -DisplayName "KBTokenLifetimePolicy" -IsOrganizationDefault $true -Type "TokenLifetimePolicy"

4.找到所需的 Azure AD B2C - 应用程序（服务主体对象）ObjectId 获取 AzureADServicePrincipal -Filter "DisplayName eq 'MultitenentPortal'" ObjectId AppId 显示名称

---

5.列出策略并获取 KBTokenLifetimePolicy 策略的 ObjectId 获取 AzureADPolicy Id DisplayName 类型 IsOrganizationDefault – ----------- ---- ---------

6.向 Web Azure AD B2C - 应用程序（服务主体对象）添加策略： 添加-AzureADServicePrincipalPolicy -Id -RefObjectId

结果：到目前为止，应用程序没有超时。在 15 分钟的非活动期后，它仍会继续在页面之间导航并显示来自 api 的数据。