SSO会话超时工作不正确

Question

我正在尝试使用WSO IS 5.1.0配置会话超时。
我有一个服务提供商，其会话超时时间为10分钟。
我已在WSO2中使用“ 居民身份提供者”部分的“ 管理”控制台将SSO sesison时间戳配置为10分钟。

我不知道为什么，但是全局配置（ <IS_HOME>/repository/conf/identity/identity.xml file under the <TimeConfig> element ）不起作用。

本地会话超时后，用户将重定向到SSO登录页面，因此全局会话似乎无效。 但是，如果您再次在浏览器中键入应用程序URL，则用户将被重定向到登录页面，自动重新进行身份验证，并重定向到最后访问的页面。 为什么用户第一次进入SSO登录页面，然后又进入？ 预期的行为是，全局会话过期后，不应重新认证用户。

因此，方案是：
-用户转到服务提供商的主页，并重定向到SSO登录页面
-用户在SSO登录页面上登录
-经过一段时间的SSO会话到期；
-服务提供商的会话也将到期-用户转到某些服务提供商的页面，并将其重定向到SSO登录页面（似乎此时已以某种方式重新创建了SSO会话）
-用户再次尝试转到服务提供商的页面，他被神奇地重新激活（因为重新创建了会话）。

如果您至少对此流程发表了意见，我将不胜感激，现在确定我是否了解它的工作原理

Answer 1

我使用WSO2 IS 5.1.0版本进行了相同的测试，并且存在您所提到的问题。 在审阅过程中，我注意到这也是由于IDENTITY-4537中有关时间戳计算逻辑的问题引起的。 在即将发布的WSO2 IS 5.2.0中已修复此问题。

Answer 2

从管理控制台可以<IS_HOME>/repository/conf/identity/identity.xml文件中的会话超时全局配置。

一旦从管理控制台配置了会话超时，该会话超时将应用于已登录的租户，并且优先于全局配置。

因此，在全新的IS 5.1.0包中，如果您以“ admin”用户身份登录管理控制台，并且已配置“居民身份提供者”的“空闲会话超时” ，则您已将会话超时更改为被标识为“ carbon.super”的超级租户。

因此，当在此租户中配置的服务提供商参与该租户的用户的经过身份验证的会话时，会话超时将是您刚刚配置的值。

理想情况下，这意味着在IS 5.1.0中，我们不能为每个服务提供者配置超出身份提供者的会话时间。 每个租户只能更改它。 此外，在管理控制台的“居民身份提供者”中配置的“空闲会话超时”表示为最终用户创建的已验证会话的会话超时，该最终用户通过某种身份验证协议（SAML， OpenID，OpenIDConnect等）。 这与管理控制台登录会话不同。

对于您使用的两个术语“本地会话超时 ”和“全局会话超时” ，我不太清楚。 但希望以上我的解释对您有所帮助。

有关如何在WSO2 IS 5.1.0中管理SSO会话的更多信息，请参考[1]。

[1] http://malithiedirisinghe.blogspot.com/2016/01/how-to-manage-authenticated-session-in.html