./Config/core.phpを下記のようにすると
ブラウザの保存するクッキーは有効期限0で、ブラウザを終了すればなくなります。
一方データベースに保存するセッション情報は15分でなくなるので、
15分アクセスしなければ再度ログインが必要になります。
(正確にはデータベースのセッション情報の有効期限が15分)
./Config/core.php Configure::write('Session', array( 'defaults' => 'database', 'cookie' => sid', 'cookieTimeout' => '0', 'timeout' => '15', 'checkAgent' => 'true' ));
はじめtimeoutを0にする設定しかしていませんでした。
すると、サーバー側(データベース)のセッション有効期限も0となり、
想定どおりの動きをしてくれませんでした。
かな~りはまった・・・