Warum muss ich mich trotz SSO täglich neu anmelden?

Warum muss ich mich täglich neu anmelden?

Die konfigurierte Gültigkeitsdauer des SAML-Authentifizierungstokens hat Einfluss auf die Häufigkeit, mit der sich ein Benutzer am Server neu anmelden muss. Standardmäßig akzeptiert der FTAPI-Server Tokens nur für eine bestimmte Zeitspanne, in der Regel 24 Stunden (1440 Minuten). Nach Ablauf dieser Zeit wird eine erneute Authentifizierung erforderlich.

Ein häufiger Grund für die Notwendigkeit der täglichen Neuanmeldung ist, dass die Token-Lifetime in Ihrem Identity Provider (IdP), wie Microsoft Azure AD, zu kurz eingestellt ist. Falls Ihr IdP eine längere Token-Lifetime definiert, als der FTAPI-Server akzeptiert, so wird der jeweils kleinste Wert angewendet. Der FTAPI-Server lehnt das Token dann ab, weil es die serverseitig konfigurierte maximale Gültigkeitsdauer unterschreitet.

Um die Anmeldefrequenz zu reduzieren, sollte in erster Linie die Token-Lifetime in Ihrem Identity Provider (IdP) entsprechend angepasst werden.

Nachdem Sie die Token-Lifetime in Ihrem Identity Provider (z.B. Microsoft Azure AD) angepasst haben, teilen Sie uns bitte den neuen, gewünschten Wert für die Gültigkeitsdauer über ein Support-Ticket mit. Unser Support-Team nimmt die entsprechende Anpassung an Ihrem FTAPI-Server für Sie vor.

Wichtig: Eine Erhöhung der Token-Lifetime kann sich auf die Sicherheit auswirken. Prüfen Sie, ob eine Anpassung der IdP-Einstellungen eine sicherere Alternative darstellt. 

Anpassung der Token-Lifetime am ADFS-Server
 

Die aktuelle Gültigkeitsdauer (in Minuten) kann über folgenden PowerShell-Befehl ausgelesen werden:
Get-AdfsRelyingPartyTrust -Name "<IHR_SERVER>" | Select -expand TokenLifetime

Der Wert kann über 
Set-AdfsRelyingPartyTrust -TargetName "<IHR_SERVER>" -TokenLifetime <IHR_WERT>
angepasst werden.

Der Serverdienst muss zur Übernahme der geänderten Konfiguration neu gestartet werden.