如何实现仅从特定Azure AD企业应用SSO登出而非微软账号全局登出？

问题分析 #

当前登出逻辑会向Azure AD发送SAML注销请求，触发微软账号全局登出；同时Azure AD的活跃会话会导致用户再次访问时自动登录，无需选择账号。我们需要实现两个目标：

• 仅注销当前应用的会话，不影响用户其他微软应用的登录状态
• 登出后再次访问时，强制用户重新选择微软账号登录

1. 修改登出逻辑（避免全局登出） #

调整登出代码，仅清除本地应用的会话Cookie，不向Azure AD发送SAML注销请求，这样就不会触发全局登出：

[HttpPost("Logout")]
[ValidateAntiForgeryToken]
public async Task<IActionResult> Logout()
{
    if (!User.Identity.IsAuthenticated)
    {
        return Redirect(Url.Content("~/"));
    }

    // 仅清除本地应用的会话，不触发Azure AD全局注销
    await new Saml2LogoutRequest(config, User).DeleteSession(HttpContext);
    
    // 重定向到登录页，确保下次访问需重新认证
    return RedirectToAction("Login");
}

2. 修改登录逻辑（强制重新选号） #

在SAML认证请求中添加ForceAuthn=true参数，强制Azure AD忽略用户现有会话，要求重新选择账号登录：

[Route("Login")]
public IActionResult Login(string returnUrl = null)
{
    var binding = new Saml2RedirectBinding();
    binding.SetRelayStateQuery(new Dictionary<string, string> 
    { { relayStateReturnUrl, returnUrl ?? Url.Content("~/") } });

    var authnRequest = new Saml2AuthnRequest(config);
    // 强制Azure AD重新认证，用户必须选择账号
    authnRequest.ForceAuthn = true;
    
    return binding.Bind(authnRequest).ToActionResult();
}

3. Azure AD配置验证 #

检查企业应用的SAML配置（对应你提供的截图），确保：

• 用户注销URL可留空（因为我们不向Azure AD发送注销请求）
• 确认SAML签名、证书等配置保持原有正常状态即可

效果说明 #

• 执行登出后，仅当前应用的会话被清除，用户其他微软应用（如Outlook、Teams）仍保持登录状态
• 再次访问应用时，会跳转到Azure AD的账号选择页面，用户必须重新选择账号完成认证

内容的提问来源于stack exchange，提问作者Dhruv Patel