如何禁用Azure Active Directory单点登出？解决.NET Core应用登出时连带退出其他Azure AD关联应用的问题

首先，这个问题的核心在于Azure AD的全局登出和应用本地登出的差异，以及不同浏览器对第三方Cookie的处理策略区别。Chrome能正常保留其他应用会话，是因为它对Azure AD的会话Cookie处理更宽松，而Firefox默认的第三方Cookie限制会触发全局会话清除。

下面是几个可行的解决步骤：

1. 确认Azure AD应用的登出URL配置正确 #

在Azure门户的你的应用注册中，找到认证 > 前端/移动和桌面应用，检查登出回调URL是否设置为应用自身的地址（比如https://yourapp.com/signout-callback-oidc）。这个URL必须和你.NET应用中配置的SignedOutCallbackPath完全一致，确保登出后只会回到你的应用，不会触发Azure AD的全局登出流程。

2. 自定义.NET Core的登出逻辑，避免全局登出 #

默认的/MicrosoftIdentity/Account/SignOut可能会触发全局登出，你可以在控制器中自定义登出方法，明确只清除当前应用的认证会话：

public async Task<IActionResult> SignOut()
{
    // 仅清除当前应用的本地认证Cookie，不触发Azure AD全局登出
    await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
    // 跳转到自定义登出后的页面
    return RedirectToAction("Index", "Home");
}

如果仍然需要和Azure AD交互但只想做本地登出，也可以修改OpenIdConnect的配置，拦截全局登出的跳转：

services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApp(options =>
    {
        Configuration.Bind("AzureAd", options);
        // 禁用全局登出跳转，只清除本地会话
        options.Events.OnRedirectToIdentityProviderForSignOut = context =>
        {
            context.HandleResponse();
            return Task.CompletedTask;
        };
    });

3. 调整Firefox的第三方Cookie与SameSite设置 #

Firefox默认会严格限制第三方Cookie，而Azure AD的会话Cookie属于第三方（相对于你的应用），这可能导致登出时Firefox清除所有关联的Azure AD会话。你可以：

• 临时测试：打开Firefox的about:preferences#privacy，将增强跟踪保护设置为标准，或者临时允许你的应用和Azure AD的Cookie。
• 长期配置：在.NET Core中调整Cookie的SameSite属性（确保应用使用HTTPS）：

services.Configure<CookiePolicyOptions>(options =>
{
    // 根据需求选择Lax或None，None需要搭配Secure属性
    options.MinimumSameSitePolicy = SameSiteMode.Lax;
    // options.MinimumSameSitePolicy = SameSiteMode.None;
    // options.Secure = CookieSecurePolicy.Always;
});

同时可以联系Azure AD租户管理员，确认应用的会话Cookie SameSite属性配置是否正确。

4. 隔离浏览器会话 #

如果上述配置无效，可以尝试在Firefox中使用容器标签页，将你的应用和Outlook放在不同的容器中，这样两者的会话Cookie会被完全隔离，登出操作就不会互相影响了。

最后，如果以上方法都无效 #

可能是Firefox特定版本与Azure AD的交互存在兼容性问题，这时候可以：

• 更新Firefox到最新版本，看看是否修复了Cookie处理的相关问题。
• 联系微软支持，提交你捕获的网络日志（特别是那个Outlook登出请求的触发来源），他们会给出针对性的排查或修复方案。

内容的提问来源于stack exchange，提问作者SGhimire