<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">2016-10-16 16:44 GMT+02:00 Peter Schober <span dir="ltr"><<a href="mailto:peter.schober@univie.ac.at" target="_blank">peter.schober@univie.ac.at</a>></span>:<blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">Not without changing identity at the IDP (or picking another IDP), so<br>
as Scott said, logout and/or user-switching at the IDP would need to<br>
be involved.</blockquote><div><br></div><div>I set the Apache ErrorDocument with a custom page which redirects the browser to the sp local logout page; the redirect url includes, in the query string, the <font face="monospace, monospace">return </font>parameter pointing to the location the user was trying to access, and it looks like this:</div><div><br></div><div><i><a href="https://my.sp.url/Shibboleth">https://my.sp.url/Shibboleth</a>.<wbr>sso/Logout?redirect=https://<wbr>my.sp.url/admin</i><br><br></div><div>However, this works if only the local logout is enabled: when global logout is enabled, redirecting to that url will also involve the idp and the sp cannot get the UI control back.<br></div><div>Since my sp must provide both logouts, is it possible to have a url that performs local logout only?</div><div>My current sp logout config: </div><div><font face="monospace, monospace"><Logout>SAML2 Local</Logout></font><br></div><div><font face="monospace, monospace"><br></font></div><div>Do I need to explicitly set two different LogoutInitiators?</div><div><br></div><div>Thanks again</div></div></div></div>