› › ›

API аннулирования SAML

Отправляет сообщение SAML LogoutRequest в Elasticsearch для обработки.

Этот API предназначен для использования сторонними веб-приложениями, отличными от Kibana. Если вы используете Kibana, см. Настройка единого входа SAML.

Запрос

POST /_security/saml/invalidate

Описание

Запрос на выход происходит от IdP SAML во время инициированного IdP единого выхода. Веб-приложение может использовать этот API для обработки запроса LogoutRequest в Elasticsearch. После успешной проверки запроса Elasticsearch аннулирует токен доступа и токен обновления, соответствующие конкретному принципалу SAML, и предоставляет URL, содержащий сообщение SAML LogoutResponse, чтобы пользователь мог вернуться в IdP.

Elasticsearch предоставляет все необходимые функции SAML через API SAML. Эти API используются внутри Kibana для обеспечения аутентификации на основе SAML, но также могут использоваться другими сторонними веб-приложениями или другими клиентами. Также см. API аутентификации SAML, API подготовки аутентификации SAML, API выхода SAML и API завершения выхода SAML.

Тело запроса

acs: (Необязательно, строка) URL Assertion Consumer Service, соответствующий URL домена SAML в Elasticsearch, который должен использоваться. Вы должны указать либо этот параметр, либо параметр realm.
query_string: (Обязательно, строка) Часть запроса URL, к которому пользователь был перенаправлен IdP SAML для инициирования единого выхода. Этот запрос должен содержать один параметр с именем SAMLRequest, который содержит сжатый и закодированный в Base64 запрос на выход SAML. Если IdP SAML подписал запрос на выход, URL должен содержать два дополнительных параметра с именами SigAlg и Signature, которые содержат алгоритм, используемый для подписи, и значение подписи. Для того, чтобы Elasticsearch смог проверить подпись IdP, значение поля query_string должно точно совпадать со строкой, предоставленной браузером. Приложение-клиент не должно пытаться анализировать или обрабатывать строку каким-либо образом.
queryString: [7.14.0] Устарел в 7.14.0. Используйте query_string вместо него См. query_string.
realm: (Необязательно, строка) Имя домена SAML в Elasticsearch. Вы должны указать либо этот параметр, либо параметр acs.

Тело ответа

invalidated: (целое число) Количество токенов, которые были аннулированы в рамках данного выхода.
realm: (строка) Имя домена SAML в Elasticsearch, который аутентифицировал пользователя.
redirect: (строка) Ответ SAML на выход в качестве параметра для перенаправления пользователя обратно в IdP SAML.

Примеры

В следующем примере аннулируются все токены для домена saml1, относящиеся к пользователю, который идентифицирован в запросе на выход SAML:

POST /_security/saml/invalidate
{
  "query_string" : "SAMLRequest=nZFda4MwFIb%2FiuS%2BmviRpqFaClKQdbvo2g12M2KMraCJ9cRR9utnW4Wyi13sMie873MeznJ1aWrnS3VQGR0j4mLkKC1NUeljjA77zYyhVbIE0dR%2By7fmaHq7U%2BdegXWGpAZ%2B%2F4pR32luBFTAtWgUcCv56%2Fp5y30X87Yz1khTIycdgpUW9kY7WdsC9zxoXTvMvWuVV98YyMnSGH2SYE5pwALBIr9QKiwDGpW0oGVUznGeMyJZKFkQ4jBf5HnhUymjIhzCAL3KNFihbYx8TBYzzGaY7EnIyZwHzCWMfiDnbRIftkSjJr%2BFu0e9v%2B0EgOquRiiZjKpiVFp6j50T4WXoyNJ%2FEWC9fdqc1t%2F1%2B2F3aUpjzhPiXpqMz1%2FHSn4A&SigAlg=http%3A%2F%2Fwww.w3.org%2F2001%2F04%2Fxmldsig-more%23rsa-sha256&Signature=MsAYz2NFdovMG2mXf6TSpu5vlQQyEJAg%2B4KCwBqJTmrb3yGXKUtIgvjqf88eCAK32v3eN8vupjPC8LglYmke1ZnjK0%2FKxzkvSjTVA7mMQe2AQdKbkyC038zzRq%2FYHcjFDE%2Bz0qISwSHZY2NyLePmwU7SexEXnIz37jKC6NMEhus%3D",
  "realm" : "saml1"
}

{
  "redirect" : "https://my-idp.org/logout/SAMLResponse=....",
  "invalidated" : 2,
  "realm" : "saml1"
}

© 2023-2025 Elasticsearch
As of September 2024, Elasticsearch is available under a choice of three licenses: the Server Side Public License (SSPL), the Elastic License, or the AGPLv3 (OSI approved).
Elasticsearch and the Elasticsearch logo are trademarks of Elasticsearch B.V., registered in the U.S. and in other countries.
https://www.elastic.co/guide/en/elasticsearch/reference/7.17/security-api-saml-invalidate.html