Punto de conexión Logout

El punto de conexión /logout es un punto de conexión de redirección. Cierra la sesión del usuario y lo redirige a una URL de cierre de sesión autorizada para el cliente de la aplicación o al /login punto final. Los parámetros disponibles en una solicitud GET al punto de conexión /logout se adaptan a los casos de uso de la interfaz de usuario alojada en Amazon Cognito.

Para redirigir al usuario a la interfaz de usuario alojada para volver a iniciar sesión, agregue un parámetro redirect_uri a la solicitud. Una solicitud logout con un parámetro redirect_uri también debe incluir parámetros para la solicitud posterior a Punto de conexión Login, como client_id, response_type y scope.

El punto de conexión es una aplicación web frontend para sesiones de usuario interactivas con sus clientes. Su aplicación debe invocar este y otros puntos de conexión de la interfaz de usuario alojada en los navegadores de sus usuarios.

Para redirigir al usuario a la página que elija, agregue las URL de cierre de sesión permitidas al cliente de la aplicación. En las solicitudes de los usuarios al punto de conexión logout, agregue logout_uri y los parámetros client_id. Si el valor de logout_uri es una de las URL de cierre de sesión permitidas para el cliente de la aplicación, Amazon Cognito redirige a los usuarios a esa URL.

Con el cierre de sesión único (SLO) para SAML 2.0, Amazon IdPs Cognito redirige primero al usuario al punto de enlace de SLO que definió en la configuración de su IdP. Una vez que su IdP redirija al usuario de nuevo a, Amazon saml2/logout Cognito responde con una redirección más hacia o desde su solicitud. redirect_uri logout_uri Para obtener más información, consulte Flujo de cierre de sesión de SAML.

El punto de cierre de sesión no cierra la sesión de los usuarios en OIDC ni en los proveedores de identidad social (). IdPs Para cerrar la sesión de los usuarios con un IdP externo, diríjalos a la página de cierre de sesión de ese proveedor.

GET /logout

El punto de enlace /logout solo admite HTTPS GET. Normalmente, el cliente de grupo de usuarios realiza esta solicitud a través del navegador del sistema. El navegador suele ser la pestaña Chrome personalizada en Android o el controlador de vista de Safari en iOS.

Parámetros de solicitud

client_id

El ID de cliente de aplicación de su aplicación. Para obtener un ID de cliente de aplicación, debe registrar la aplicación en el grupo de usuarios. Para obtener más información, consulte Clientes de aplicación de grupo de usuarios.

Obligatorio.

logout_uri

Redirija al usuario a una página de cierre de sesión personalizada con un parámetro logout_uri. Establecer su valor en la URL de cierre de sesión del cliente de aplicación donde quiere redirigir al usuario después de que se cierre la sesión. Use logout_uri solo con un parámetro client_id. Para obtener más información, consulte Clientes de aplicación de grupo de usuarios.

También puede utilizar el parámetro logout_uri para redirigir al usuario a la página de inicio de sesión de otro cliente de la aplicación. Establezca la página de inicio de sesión para el otro cliente de aplicación como Allowed callback URL (URL de devolución de llamada permitida) en el cliente de aplicación. En su solicitud al punto de conexión /logout, establezca el valor del parámetro logout_uri en la página de inicio de sesión codificada en URL.

Amazon Cognito exige un parámetro logout_uri o redirect_uri en la solicitud al punto de conexión /logout. Un parámetro logout_uri redirige al usuario a otro sitio web. Si los parámetros tanto logout_uri como redirect_uri se incluyen en su solicitud para el punto de conexión /logout, Amazon Cognito utilizará exclusivamente el parámetro logout_uri, anulando el parámetro redirect_uri.

redirect_uri

Redirija al usuario a la página de inicio de sesión para autenticarse con un parámetro redirect_uri. Establecer su valor en la URL de devolución de llamada permitida del cliente de aplicación donde quiere redirigir al usuario después de que se inicie sesión de nuevo. Añada los parámetros client_id, scope, state y response_type que quiera pasar a su punto de conexión /login.

Amazon Cognito exige un parámetro logout_uri o redirect_uri en la solicitud al punto de conexión /logout. Para redirigir al usuario al /login punto final para volver a autenticarse y pasar los tokens a la aplicación, añade un parámetro redirect_uri. Si se incluyen los parámetros logout_uri y redirect_uri en la solicitud al punto de conexión, /logout Amazon Cognito anula el parámetro redirect_uri y procesa el parámetro logout_uri exclusivamente.

response_type

La respuesta de OAuth 2.0 que desea recibir de Amazon Cognito después de que el usuario inicie sesión. code y token son los valores válidos para el parámetro response_type.

Necesario si utiliza un parámetro redirect_uri.

estado

Cuando la aplicación añade un parámetro de estado a una solicitud, Amazon Cognito devuelve su valor a la aplicación cuando el /oauth2/logout punto final redirige al usuario.

Agregue este valor a sus solicitudes de protección contra ataques CSRF.

No se puede establecer el valor de un parámetro state a una cadena JSON codificada en URL. Para pasar una cadena que coincida con este formato a un state parámetro, codifique la cadena en base64 y, a continuación, decodifíquela en su aplicación.

Se recomienda encarecidamente usarlo si se utiliza un parámetro redirect_uri.

scope

Los ámbitos de OAuth 2.0 que desea solicitar a Amazon Cognito después de cerrar sesión con un parámetro redirect_uri. Amazon Cognito redirige a su usuario al punto de conexión /login con el parámetro scope en la solicitud al punto de conexión /logout.

Necesario si se utiliza un parámetro redirect_uri. Si no se incluye un parámetro scope, Amazon Cognito redirige al usuario al punto de conexión /login con un parámetro scope. Cuando Amazon Cognito redirige al usuario y se rellena automáticamente scope, el parámetro incluye todos los ámbitos autorizados para su cliente de aplicación.

Ejemplos de solicitudes

Ejemplo: cerrar sesión y redirigir al usuario al cliente

A excepción de logout_uri yclient_id, todos los parámetros de consulta posibles para este punto final se transfieren aAutorizar punto de conexión. Amazon Cognito redirige las sesiones de usuario a la URL con el valor delogout_uri, ignorando todos los demás parámetros de solicitud, cuando las solicitudes incluyen logout_uri y client_id. Esta URL debe ser una URL de cierre de sesión autorizada para el cliente de aplicaciones.

El siguiente es un ejemplo de solicitud de cierre de sesión y redireccionamiento a https://www.example.com/welcome.

GET https://mydomain.auth.us-east-1.amazoncognito.com/logout?
  client_id=1example23456789&
  logout_uri=https%3A%2F%2Fwww.example.com%2Fwelcome

Ejemplo: cerrar sesión y solicitar al usuario que inicie sesión como otro usuario

Cuando las solicitudes omiten logout_uri, pero proporcionan los parámetros que componen una solicitud con el formato correcto al punto de conexión autorizado, Amazon Cognito redirige a los usuarios al inicio de sesión de la UI alojada. El punto de conexión de cierre de sesión anexa los parámetros de la solicitud original al destino de redireccionamiento. El parámetro redirect_uri de una solicitud al punto de conexión de cierre de sesión no es una URL de cierre de sesión, sino una URL de inicio de sesión por la que se quiere pasar al punto de conexión de autorización.

El siguiente es un ejemplo de solicitud que cierra la sesión de un usuario, lo redirige a la página de inicio de sesión y le proporciona un código de autorización https://www.example.com después de iniciar sesión.

GET https://mydomain.auth.us-east-1.amazoncognito.com/logout?
  response_type=code&
  client_id=1example23456789&
  redirect_uri=https%3A%2F%2Fwww.example.com&
  state=example-state-value&
  nonce=example-nonce-value&
  scope=openid+profile+aws.cognito.signin.user.admin