Azure AD SAML 响应

Question

AzureAD 是否支持 SAML 响应中 "AuthnStatement" 部分的 SessionNotOnOrAfter 属性？如果不是，我们是否可以将 NotBefore 和 NotOnOrAfter 属性视为 "Conditions" 部分的有效会话时间 window（会话长度）？

Answer 1

是的，NotBefore 和 NotOnOrAfter 属性指定断言有效的时间间隔。

<Conditions NotBefore="2013-03-18T07:38:15.128Z" NotOnOrAfter="2013-03-18T08:48:15.128Z">
      <AudienceRestriction>
        <Audience>https://www.contoso.com</Audience>
      </AudienceRestriction>
</Conditions>

NotBefore 属性的值等于或稍晚（小于一秒）Assertion 元素的 IssueInstant 属性的值. Azure AD不考虑自身与云服务（服务提供商）之间的任何时间差，也不对这个时间添加任何缓冲。
NotOnOrAfter 属性的值比 NotBefore 属性的值晚 70 分钟。

参考：Single Sign-On SAML protocol

Answer 2

截至今天，AzureAD 不支持 SessionNotOnOrAfter 属性，并且不允许配置从 SAML 响应派生的会话生命周期。 "NotOnOrAfter" 属性不应用于控制会话生命周期，因为它具有完全不同的含义和用途。参见。

Azure AD SAML 响应

AzureAD SAML response

saml

assertion

azure-active-directory