同一Entra ID账户下SAML Issuer唯一性问题及解决方案咨询

现象原因 #

「Append application ID to issuer」选项的设计范围仅覆盖SAML认证登录流程的响应，登出流程不适用，原因有两点：

1. 登出流程的租户级设计：Entra ID的SAML登出逻辑是围绕租户全局会话构建的，登出操作本质是终止用户在整个租户下的会话，而非单个应用，因此Issuer固定使用租户级标识符，不会追加应用ID。
2. 协议灵活性：SAML 2.0协议并未强制要求登出响应的Issuer必须包含应用标识，Entra ID的实现遵循了这一灵活性，同时保持登出流程的统一性。

替代解决方案 #

• 通过InResponseTo字段匹配：发起登出请求时，记录请求的ID字段与对应应用的映射关系；收到登出响应后，用响应里的InResponseTo值反向匹配到具体应用。
• 配置应用专属登出回调路径：为每个应用设置不同的登出回调URL（比如/app1/saml/logout、/app2/saml/logout），直接通过回调路径识别应用，无需依赖Issuer字段。
• 利用RelayState传递应用标识：发起登出请求时，在RelayState参数中嵌入应用ID；Entra ID会在登出响应中原样返回该参数，通过它即可识别对应应用。
• 关联会话索引与应用：登录时从SAML断言的SessionIndex字段获取值并绑定到对应应用，部分场景下登出响应会携带会话相关信息，可通过该索引匹配应用。

内容的提问来源于stack exchange，提问作者Liviu