SAML シングルログアウトの設定 (Salesforce がサービスプロバイダーの場合)

SAML SLO を設定する前に、次の情報を確認してください。

• ID プロバイダーが複数のセッションインデックスパラメーターを送信した場合は、Salesforce は最初に受信したもののみを保存します。セッションインデックスパラメーターは、512 文字を超えることはできません。
• カスタムログアウト URL と ID プロバイダーの SLO URL を設定できます。Salesforce がサービスプロバイダーであり、ログアウト要求を開始した場合、ID プロバイダーはログアウト応答を投稿して、ユーザーを Salesforce にリダイレクトして戻すことができます。このシナリオでは、Salesforce はログアウト時にユーザーをカスタム URL に転送します。ID プロバイダーがログアウト応答でユーザーを Salesforce に戻さない場合、ID プロバイダーは SLO リダイレクト URL をログアウト時に決定します。
• 一部の ID プロバイダーは、サービスプロバイダーから開始されるログアウトに対応していません。この場合、設定のステップ 6 に進みます。ID プロバイダーからログアウトすると、ユーザーは Salesforce からログアウトされます。ただし、Salesforce からログアウトしても、必ずしも ID プロバイダーセッションからログアウトされるわけではありません。
• 現在、Salesforce では、フロントチャネル SLO のみがサポートされています。つまり、SLO リダイレクトは、同じブラウザーで実行する必要があります。異なるブラウザー全体での SLO はサポートされていません。

SAML SLO を設定する前に、次の情報を収集して準備します。

• ID プロバイダーから発行者 URL を取得する。この URL は、SAML ID プロバイダーを一意に識別します。Salesforce に送られてくる SAML アサーションは、SAML アサーションの <saml:Issuer> 属性でこの値に完全に一致する必要があります。
• ID プロバイダーから署名を検証するための証明書を取得して保存する。
• ID プロバイダーから SLO URL を取得する。