Azure AD B2C强制登出联合外部IdP：可行性、机制与配置问询

问题1：B2C尝试从联合身份提供商登出具体指什么？它如何实现登出操作？是否会使用联合SAML/OIDC元数据URL中提供的SingleLogoutService？还是需要在B2C/自定义策略侧进行额外配置？ #

• 具体含义：Azure AD B2C在失效自身会话后，会主动向联合身份提供商（IdP）发起登出请求，尝试终止用户在该IdP上的会话，避免用户后续无需验证即可通过该IdP快速登录B2C应用。
• 实现方式：
  • SAML协议IdP：B2C会直接调用IdP元数据URL中定义的SingleLogoutService地址，发起标准SAML单点登出请求。
  • OIDC协议IdP：B2C遵循OIDC的RP-Initiated Logout规范，调用IdP元数据中end_session_endpoint字段指定的登出端点。
• 配置要求：
  • SAML类型IdP：需确保IdP元数据正确暴露SingleLogoutService，同时在IdP侧将B2C的登出回调地址（格式为https://<你的B2C域名>/oauth2/v2.0/logout）加入信任列表；B2C自定义策略需正确引用该元数据。
  • OIDC类型IdP：若元数据未自动包含登出端点，需在自定义策略的IdP配置中手动指定EndSessionEndpoint，同时在IdP侧将B2C的登出回调地址设为合法的post-logout重定向URI。

问题2：我已按照B2C文档将Salesforce和Auth0添加到自定义策略的联合身份提供商中。登出时，基于Cookie的Azure AD B2C会话已失效，但再次选择这些联合IdP登录时，无需输入凭据即可重新认证，说明IdP会话未被失效。请问是否有办法强制从联合IdP登出？ #

要强制这些IdP的会话失效，需针对不同IdP做针对性配置：

针对Salesforce #

• SAML集成场景：
  1. 确认Salesforce的SAML元数据包含有效的SingleLogoutService，且B2C自定义策略已正确加载该元数据。
  2. 在Salesforce的SAML单点登出设置中，将B2C的登出回调地址添加到“已授权的重定向URI”列表。
• OIDC集成场景：
  1. 在Salesforce的OIDC应用配置中，确认end_session_endpoint配置正确，并将B2C的登出回调地址加入“登出后重定向URI”。
  2. 在B2C自定义策略的Salesforce OIDC配置中，确保EndSessionEndpoint参数已正确设置（可从Salesforce OIDC元数据获取）。

针对Auth0（OIDC协议） #

1. 在Auth0的应用设置里，将B2C的登出回调地址添加到“Allowed Logout URLs”列表。
2. 在B2C自定义策略的Auth0配置中，明确指定EndSessionEndpoint（通常为https://<你的Auth0域名>/v2/logout），且登出请求需携带client_id和returnTo参数指向B2C的回调地址。
3. 注意：Auth0登出必须指定returnTo，否则可能无法正确重定向回B2C，导致会话未完全失效。

另外需要说明：部分商业/社交IdP存在会话隔离设计，即使完成单点登出流程，用户在IdP自身平台的全局会话（比如已登录IdP管理后台）可能不会被终止，这属于IdP自身限制，无法通过B2C强制改变。

内容的提问来源于stack exchange，提问作者Mleszek