<div dir="ltr">Hi all,<div><br></div><div>I am trying to get SLO to work in 3.2.1 version.</div><div><br></div><div>When I invoke /idp/profile/Logout URL, I see list of my SPs that participate in the session but they are shown with a red cross and logout on them doesn't happen. According to the traffic sniffing results no of them receive any requests from neither browser nor from IDP itself.</div><div><br></div><div>My service providers are spring-security-saml based.</div><div>SP metadata has following entry for SLO</div><div><br></div><div>







<p class=""><font face="monospace, monospace"><span class=""><</span><span class="">md</span><span class="">:</span><span class="">Single</span><span class="">Logout</span><span class="">Service </span><span class="">Binding</span><span class="">=</span><span class="">"urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect"</span><span class=""> </span><span class="">Location</span><span class="">=</span><span class="">"<a href="https://d01app.qwerty.com:443/bridge-web/saml/Single">https://d01app.qwerty.com:443/bridge-web/saml/Single</a></span><span class="">Logout</span><span class="">"</span><span class="">/></span></font></p></div><div>idp.properties look as follows.<br></div><div><br></div><div><div><font face="monospace, monospace">idp.additionalProperties= /conf/ldap.properties, /conf/saml-nameid.properties, /conf/services.properties</font></div><div><font face="monospace, monospace">idp.entityID= <a href="https://d01idp.qwerty.com/idp/shibboleth">https://d01idp.qwerty.com/idp/shibboleth</a></font></div><div><font face="monospace, monospace">idp.scope= <a href="http://qwerty.com">qwerty.com</a></font></div><div><font face="monospace, monospace">idp.sealer.storeResource= %{idp.home}/credentials/sealer.jks</font></div><div><font face="monospace, monospace">idp.sealer.versionResource= %{idp.home}/credentials/sealer.kver</font></div><div><font face="monospace, monospace">idp.sealer.storePassword= secret</font></div><div><font face="monospace, monospace">idp.sealer.keyPassword= secret</font></div><div><font face="monospace, monospace">idp.signing.key=/etc/pki_qwerty/CA/private/ca.key</font></div><div><font face="monospace, monospace">idp.signing.cert=/etc/pki_qwerty/CA/certs/ca.pem</font></div><div><font face="monospace, monospace">idp.encryption.key=/etc/pki_qwerty/CA/private/ca.key</font></div><div><font face="monospace, monospace">idp.encryption.cert=/etc/pki_qwerty/CA/certs/ca.pem</font></div><div><font face="monospace, monospace">idp.encryption.optional = true</font></div><div><font face="monospace, monospace">idp.storage.cleanupInterval = PT30M</font></div><div><font face="monospace, monospace">idp.errors.detailed = true</font></div><div><font face="monospace, monospace">idp.session.enabled = true</font></div><div><font face="monospace, monospace">idp.session.StorageService = shibboleth.JPAStorageService</font></div><div><font face="monospace, monospace">idp.session.slop = P1D</font></div><div><font face="monospace, monospace">idp.session.trackSPSessions = true</font></div><div><font face="monospace, monospace">idp.session.secondaryServiceIndex = true</font></div><div><font face="monospace, monospace">idp.session.defaultSPlifetime = PT8H</font></div><div><font face="monospace, monospace">idp.authn.flows=Password</font></div><div><font face="monospace, monospace">idp.logout.elaboration=true</font></div><div><font face="monospace, monospace">idp.replayCache.StorageService=shibboleth.JPAStorageService</font></div><div><font face="monospace, monospace">idp.artifact.StorageService=shibboleth.JPAStorageService</font></div><div><font face="monospace, monospace">idp.status.accessPolicy=AccessByIPAddress</font></div><div><font face="monospace, monospace">idp.resolvertest.accessPolicy=AccessByIPAddress</font></div><div><font face="monospace, monospace">idp.reload.accessPolicy=AccessByIPAddress</font></div><div><font face="monospace, monospace">idp.ui.fallbackLanguages=en</font></div><div><font face="monospace, monospace">idp.cas.StorageService=shibboleth.JPAStorageService</font></div></div><div><br></div><div><br></div><div>We use shibboleth.JPAStorageService for storing session data - according to the DB contents everything looks fine.</div><div><br></div><div>When /idp/profile/Logout is invoked in logs there are following entries:</div><div><br></div><div><font face="monospace, monospace">2016-02-29 16:10:20,590 - DEBUG [net.shibboleth.idp.session.impl.StorageBackedSessionManager:707] - Performing primary lookup on session ID b7a7b9e0569e0ff02e5a9a80606f966305f8232ed71b22a2daf01eed4572c145<br></font></div><div>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,597 - DEBUG [net.shibboleth.idp.session.impl.StorageBackedIdPSession:607] - Loading SPSession for service sp-app-wss in session b7a7b9e0569e0ff02e5a9a80606f966305f8232ed71b22a2daf01eed4572c145</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,601 - DEBUG [net.shibboleth.idp.session.SPSessionSerializerRegistry:86] - Registry located StorageSerializer of type 'net.shibboleth.idp.saml.session.impl.SAML2SPSessionSerializer' for SPSession type 'class net.shibboleth.idp.saml.session.SAML2SPSession'</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,602 - DEBUG [net.shibboleth.idp.session.impl.StorageBackedIdPSession:607] - Loading SPSession for service sp-app-bridge in session b7a7b9e0569e0ff02e5a9a80606f966305f8232ed71b22a2daf01eed4572c145</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,605 - DEBUG [net.shibboleth.idp.session.SPSessionSerializerRegistry:86] - Registry located StorageSerializer of type 'net.shibboleth.idp.saml.session.impl.SAML2SPSessionSerializer' for SPSession type 'class net.shibboleth.idp.saml.session.SAML2SPSession'</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,607 - DEBUG [net.shibboleth.idp.session.impl.StorageBackedSessionManager:552] - Destroyed session b7a7b9e0569e0ff02e5a9a80606f966305f8232ed71b22a2daf01eed4572c145</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,608 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-wss</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,608 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-wss</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,609 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-wss</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,609 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-wss</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,609 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-wss</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,610 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-wss</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,610 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-wss</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,610 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-wss</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,610 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-wss</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,611 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-wss</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,611 - DEBUG [net.shibboleth.idp.session.impl.PopulateMultiRPContextFromLogoutContext:220] - Profile Action PopulateMultiRPContextFromLogoutContext: SAMLMetadataContext added to RelyingPartyContext for sp-app-wss</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,611 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-bridge</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,612 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-bridge</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,612 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-bridge</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,612 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-bridge</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,613 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-bridge</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,613 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-bridge</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,613 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-bridge</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,613 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-bridge</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,614 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-bridge</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,614 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-bridge</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,614 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-bridge</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,615 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-bridge</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,615 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-bridge</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,615 - DEBUG [org.opensaml.saml.metadata.resolver.impl.AbstractMetadataResolver:334] - Metadata backing store does not contain any EntityDescriptors with the ID: sp-app-bridge</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,615 - DEBUG [net.shibboleth.idp.session.impl.PopulateMultiRPContextFromLogoutContext:220] - Profile Action PopulateMultiRPContextFromLogoutContext: SAMLMetadataContext added to RelyingPartyContext for sp-app-bridge</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,620 - INFO [Shibboleth-Audit.Logout:241] - 20160229T151020Z||||<a href="http://shibboleth.net/ns/profiles/logout||||tuser|||||">http://shibboleth.net/ns/profiles/logout||||tuser|||||</a></font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,962 - DEBUG [net.shibboleth.idp.ui.context.RelyingPartyUIContext:363] - Not a usual scheme, returning name of 'sp-app-wss'</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,962 - DEBUG [net.shibboleth.idp.ui.context.RelyingPartyUIContext:363] - Not a usual scheme, returning name of 'sp-app-wss'</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,962 - DEBUG [net.shibboleth.idp.ui.context.RelyingPartyUIContext:363] - Not a usual scheme, returning name of 'sp-app-bridge'</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:20,962 - DEBUG [net.shibboleth.idp.ui.context.RelyingPartyUIContext:363] - Not a usual scheme, returning name of 'sp-app-bridge'</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:22,949 - DEBUG [net.shibboleth.idp.session.impl.SaveLogoutContext:77] - Profile Action SaveLogoutContext: Saving LogoutContext in HTTP session</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:22,951 - DEBUG [net.shibboleth.idp.ui.context.RelyingPartyUIContext:363] - Not a usual scheme, returning name of 'sp-app-wss'</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:22,952 - DEBUG [net.shibboleth.idp.ui.context.RelyingPartyUIContext:363] - Not a usual scheme, returning name of 'sp-app-wss'</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:22,952 - DEBUG [net.shibboleth.idp.ui.context.RelyingPartyUIContext:363] - Not a usual scheme, returning name of 'sp-app-bridge'</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:22,952 - DEBUG [net.shibboleth.idp.ui.context.RelyingPartyUIContext:363] - Not a usual scheme, returning name of 'sp-app-bridge'</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:27,257 - WARN [net.shibboleth.idp.session.impl.PopulateLogoutPropagationContext:178] - LogoutContext not found in HTTP session. Required state not found: {}</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:27,257 - INFO [Shibboleth-Audit.LogoutPropagation:241] - 20160229T151027Z||||<a href="http://shibboleth.net/ns/profiles/logout-propagation|||||||||">http://shibboleth.net/ns/profiles/logout-propagation|||||||||</a></font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:27,257 - DEBUG [net.shibboleth.idp.profile.impl.RecordResponseComplete:89] - Profile Action RecordResponseComplete: Record response complete</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:27,259 - WARN [net.shibboleth.idp.session.impl.PopulateLogoutPropagationContext:178] - LogoutContext not found in HTTP session. Required state not found: {}</font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:27,259 - INFO [Shibboleth-Audit.LogoutPropagation:241] - 20160229T151027Z||||<a href="http://shibboleth.net/ns/profiles/logout-propagation|||||||||">http://shibboleth.net/ns/profiles/logout-propagation|||||||||</a></font></span></p>
<p class=""><span class=""><font face="monospace, monospace">2016-02-29 16:10:27,260 - DEBUG [net.shibboleth.idp.profile.impl.RecordResponseComplete:89] - Profile Action RecordResponseComplete: Record response complete</font></span></p></div><div><br></div><div>When logout is initiated by SP, only the particular SP gets logged out together with IDP session which gets destroyed. Other SP that participate in the session remains logged in.</div><div><br></div><div>Can you please advise why doesn't it work? </div><div>What can be the issue?</div><div><br></div><div>Thanks,</div><div>Alex</div></div>