사용자가 로그 아웃 할 때 Windows Identity Foundation의 SecurityTokenService에 일부 논리를 구현해야합니까?

Question

WIF's STS에서 파생 된 자체 SecurityTokenService를 구현하고 있습니다. Cancel 메서드를 강제적으로 구현해야합니까?

기본적으로 Windows Identity Foundation's SecurityTokenService은 this article에 명시된대로 호출 당 인스턴스화됩니다. 명시 적으로 아무 것도 캐시하지 않거나 비슷한 작업을 수행하면 취소 방법을 구현하여 처리해야 할 사항이 있습니까? STS 또는 WIF는 백그라운드에서 사용자가 로그 아웃 할 때 처리해야하는 작업을 수행합니까 (Cancel 메서드가 호출 됨)? 예 : 내가 토큰을 캐싱했다면 사용자가 로그 아웃 할 때 Cancel 메서드의 캐시에서 제거해야합니다.

Answer 1

귀하의 구현에 달려 있습니다. STS가 Validate 메서드를 구현하지 않으면 취소를 구현할 필요가 없습니다.

유효성 검사의 목적은받는 사람이 만료 기간 내에있는 토큰이 취소 (아마도 취소를 통해)되었는지 여부를 STS에 확인할 수 있다는 것입니다.

FWIW, AD FS가 취소 및 유효성 검사를 지원하지 않는다고 생각합니다. 실제로 사용되는 아키텍처는 거의 없습니다.

사용자가 AD FS에서 로그 아웃하면 AD FS 서버와의 세션이 취소된다는 점에 유의하십시오. 그러나 AD FS에서 발급 한 모든 토큰은 여전히 ​​신뢰 당사자에 의해 승인됩니다.