<div dir="ltr"><div>Hello,</div><div><br></div><div>We have been trying to track down the source of an occasional problem with logout (SLO) our users have been experiencing. We are in control of SP (Shibboleth 3.0.4). The IDP is provided by a 3rd party, from the single log they shared with us it seems they are running a Shibboleth IDP installation.</div><div><br></div><div>The problem: once upon a time, the IDP responds with error to logout request, with a message like this one:</div><div><br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div><?xml version="1.0" encoding="UTF-8"?><br><saml2p:LogoutResponse Destination="<a href="https://sphost/Shibboleth.sso/SLO/Redirect">https://sphost/Shibboleth.sso/SLO/Redirect</a>" ID="_63106a412c2c364428ace98ba64690a1" InResponseTo="_7dd4481280a368f9e620b9a95ba4b207" IssueInstant="2019-09-16T12:23:40.328Z" Version="2.0" xmlns:saml2p="urn:oasis:names:tc:SAML:2.0:protocol"> <br></div></blockquote><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div><saml2:Issuer xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion"><a href="https://idphost/idp1">https://idphost/idp1</a></saml2:Issuer><br><saml2p:Status><br><div style="margin-left:40px"><saml2p:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Responder"/><br></div><div style="margin-left:40px"><saml2p:StatusMessage>An error occurred.</saml2p:StatusMessage><br></div></saml2p:Status><br></saml2p:LogoutResponse></div></blockquote><div><br></div><div>The log from IDP says the following:</div><div><br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div>
<span style="background-color:rgb(240,240,240)" lang="fi"><div>
<div style="margin:0px"><font size="3" face="Times New Roman,serif"><span style="font-size:12pt"><font size="2" face="Arial,sans-serif" color="#3A3A3A"><span style="font-size:10.5pt">2020-11-19 11:42:14,061 - INFO [net.shibboleth.idp.saml.saml2.profile.impl.ProcessLogoutRequest:402]
- Profile Action ProcessLogoutRequest: No active session(s) found matching LogoutRequest</span></font></span></font></div></div></span></div></blockquote><div><br></div><div>We have confirmed with testing that the problem is not directly tied to session timeout of either SP or IDP. Sometimes it happens to users who try to logout couple minutes after the login. In general we haven't been able to find a way to reliably reproduce it. Most of the time, the SLO works as expected.</div><div><br></div><div>Anyone any ideas what might be causing this / where to look at the SP side? And what we can do to improve user experience? I would love to provide a custom error page for this case, but since the response does not contain any details to identify this particular issue, hiding all errors from "logout" processes via SP error handling seems like a bad idea.</div><div><br></div><div>Thanks,</div><div>Jakub D.<br></div></div>