单点登录问题：Microsoft 365未提示选择账号

问题核心 #

当浏览器仅登录单个MS 365账号时，退出应用后重新发起SSO请求，Azure AD会直接复用现有会话自动登录旧账号，无法触发账号切换或凭据输入提示。

解决方案 #

1. 授权URL添加prompt=select_account参数 #

在你的Cognito授权URL中追加prompt=select_account参数，强制Azure AD显示账号选择界面，无论当前浏览器登录账号数量：

https://<my_custom_domain>.auth.us-east-1.amazoncognito.com/oauth2/authorize?identity_provider=<IdP_Name>&redirect_uri=<Callback_url_passed_in_Cognito>&response_type=TOKEN&client_id=<Client_Id>&scope=aws.cognito.signin.user.admin%20email%20openid%20profile&state=transit&prompt=select_account

• 若需要强制用户重新输入凭据（而非选择账号），可将参数值改为prompt=login，但select_account更适配切换账号的场景。

2. 完善应用退出流程，清理双端会话 #

仅清理Cognito会话不足以清除Azure AD在浏览器中的缓存会话，需同时触发Azure AD登出：

1. 先调用Cognito的登出端点，清理SP端会话；
2. 跳转至Azure AD的登出URL，清理IdP端会话：

https://login.microsoftonline.com/<Azure_AD_Tenant_ID>/oauth2/v2.0/logout?post_logout_redirect_uri=<Your_App_Logout_Redirect>

• 替换<Azure_AD_Tenant_ID>为你的Azure AD租户ID，<Your_App_Logout_Redirect>为应用退出后跳转的页面（需在Azure AD中配置为合法登出回调地址）。

3. 检查Cognito IdP配置 #

确认Cognito中Azure AD的SAML配置：

• 确保未启用任何自动登录相关的自定义设置；
• 验证SAML响应中的SessionIndex和NameID参数能被Cognito正确识别，确保登出时能正确触发IdP会话失效。

内容的提问来源于stack exchange，提问作者Harsh Kanakhara