<div dir="ltr"><div>Egobrc,</div><div><br></div><div>The coordinating entity in SAML 2.0 Logout is the IdP, whether front-channel or back-channel.  The goal is to ensure that all sessions associated with the IdP session are cleared, so the IdP orchestrates the process and is intended to be the ultimate landing point.  See 4.4:<br></div><div><br></div><div><a href="https://docs.oasis-open.org/security/saml/v2.0/saml-profiles-2.0-os.pdf">https://docs.oasis-open.org/security/saml/v2.0/saml-profiles-2.0-os.pdf</a></div><div><br></div><div>The RelayState in a response can tell the SP additional information to send back to the IdP to complete logout, but it's up to the IdP to determine the value of the RelayState and to use it when returned.  The SP is not permitted to modify it.  It looks like this coming out of a 3.x IdP(I don't have a 4.x one on hand to look at):</div><div><br></div><div>
<b><span class="gmail-hljs-attribute">RelayState</span></b>: corr:1625500968_47db

</div><div><br></div><div>
<div>After the logout process itself is complete, the 
profile says nothing about what to do or display to the user.  You could
 modify logout.vm at the IdP to (have the option to, or forcibly) finish
 with a JavaScript redirect to a login page after the proceed event is 
called.  That would be the easy way.</div>

</div><div><br></div><div>Take care,</div><div>Nate.<br></div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Mon, Jul 5, 2021 at 3:42 PM <a href="mailto:egobrc@gmail.com">egobrc@gmail.com</a> <<a href="mailto:egobrc@gmail.com">egobrc@gmail.com</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">Hi everybody, I am trying to understand how the SingleLogoutService<br>
works with Http-redirect option<br>
(<a href="https://wiki.shibboleth.net/confluence/display/SP3/SAML+2.0+SingleLogoutService" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/confluence/display/SP3/SAML+2.0+SingleLogoutService</a><br>
) .<br>
<br>
That wiki page states that: If the message is a response, then the SP<br>
completes the logout operation by redirecting to the browser to a<br>
location preserved by relay state, if any, or the globalLogout<br>
template is displayed.<br>
<br>
My question is: is it possible to configure the final redirect<br>
location? E.g. pointing the user to a login page? I did not understand<br>
the statement "redirecting to the browser to a location preserved by<br>
relay state, if any".<br>
<br>
Thanks<br>
-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div>