spring oauth2 sso 에서 모든 클라이언트를 로그아웃 시킬 수 있나요? (통합 로그아웃)

Question

안녕하세요. 요즘은 아침부터 불가마 같은 더위가 기승 이네요요번에 회사에서 진행중인 프로젝트에서 SSO 서버를 담당하게 되었습니다. 제가 이전까지는 앱 개발 담당 이여서 서버 개발은 아직 낮설고 어려운 점이 많습니다. 그래서 도움을 요청드리려 합니다. 현재 Spring Boot Oauth2 를 이용해서 SIngle Sign On 서버를 개발하여 통합로그인 기능까지는 구현이 되었습니다. aaa에서 로그인하면 bbb와 ccc는 자동으로 로그인이 됩니다.aaa.co.kr 는 SSO 서버의 client1 입니다.bbb.co.kr 는 SSO 서버의 client2 입니다.ccc.co.kr 는 SSO 서버의 client3 입니다. [ SSO서버 ] ㅜ---------------|---------------ㅜ[ aaa.co.kr ] [ bbb.co.kr ] [ccc.co.kr] 통합로그인 기능이 구현되면 당연히 통합 로그아웃 기능도 구현될거라 생각했는데 실제로는 로그아웃 한 사이트와 SSO 서버 이외의 다른 예를 들면 aaa.co.kr 에서 로그아웃 하면 다른 bbb.co.kr , ccc.co.kr 은 자동 로그 아웃이 되지 않았습니다.통합 로그인과 통합 로그아웃 기능을 구현해야 어떻게 해야할 지 도움 부탁드립니다. 읽어 주셔서 감사합니다.

더미 · Answer

어떻게 구현하신지가 더 신기합니다...sso에서 로그아웃이 되면전부 로그아웃이 될수밖에 없습니다만

빵상 · Answer

a,b,c에서 로그인 했을경우 해당 계정에서 a,b,c에 발급된 토큰을 가지고 있어야할거 같습니다. 디비가되었건 메모리가되었건, a에서 로그아웃을 하려면 토큰을 sso 서버에 전송해서 로그아웃할 시에a,b,c 중 아무곳이나 로그아웃 요청이 들어왔을 경우 select id from user where a_token &#61; ' 토큰' or 블라블라해서 있는 경우 토큰을 날려줘야 할것 같습니다. 이런경우는 로그아웃시에 해당 토큰이 들어왔을 경우 이 토큰이 Oauth2 에서 제공하는 기본 해쉬값을 통과하냐 못하냐의 기본 로직말고 필터를 추가하여 이 토큰이 현재 sso서버에서 유효한 토큰인지를 확인하는 rest api 가 추가되어 각a,b,c에서 sso 서버로 이 토큰이 지금 유효한 토큰인지를 판단하는 로직이 추가되어야 할 것 같습니다.

조개발 · Answer

http://www.nextree.co.kr/oauth-2reul-iyonghan-sso-hwangyeong-gucug-2-2/ 여기에 설명이 잘되어있네요 참고하세요~

appkoon · Answer

&#64;더미 저도 그럴줄 알았는데 sso사이트와 aaa.co.kr 와 bbb.co.kr 에 로그인 되어있을 경우aaa.co.kr 에서 로그아웃 하면 sso 사이트는 로그아웃 되지만 bbb.co.kr 은 로그아웃 되지 않았습니다. 이점이 특이 사항이라 aaa.co.kr 과 bbb.co.kr 를 동일하게 client1로 하였음에도 결과가 동일했습니다. &#64; 빵상 &#64;조개발알려주신 방법으로 시도 해보겠습니다. 답변 감사합니다.

더미 · Answer

구현을 하다가 마셨군요...

appkoon · Answer

&#64; 더미네 그렇더라구요 ㅎㅎ 통합로그아웃 기능은 로그인 컨트롤러에서 개별 클라이언트의 로그인 쿠키를 지우는 방법으로해결하였습니다. 답변 달아주신 분들께 다시한번 감사드립니다.

spring oauth2 sso 에서 모든 클라이언트를 로그아웃 시킬 수 있나요? (통합 로그아웃)

6개의 답변

#sign 목록