Pristup preko APM portala: kome pripada sesija aplikacije?
Pet provjera za odluku o objavi kroz BIG-IP Portal Access: opseg resursa, backend sesija, dva timera, značenje odjave i granice prepisivanja.
Objava intranet aplikacije kroz BIG-IP APM Portal Access odluka je o sesijama, ne o kopiranju virtualnog servera. Portal prima korisnika, rewrite profil zadržava odabrane zahtjeve na putu gatewaya, a aplikacija i dalje posjeduje vlastitu sesiju. Pet provjera razdvaja dizajn koji se ponaša predvidljivo od onog u kojem help desk o timeoutima saznaje korisnik po korisnik. Prođite ih redom i zaustavite se na prvoj koja nije tačna.
Provjera 1: resurs je objavljen, a ne samo povezan
Oznaka na webtopu dokazuje da korisnik vidi stavku. Ne dokazuje da je aplikacija objavljena. Potražite access profil, rewrite profil i virtualni server koji ih spaja, pa potvrdite da dodjela resursa pokazuje na aplikaciju koju mislite. Ako bilo ko od ta tri nedostaje ili je nedosljedan, ostatak liste nema smisla.
Slučaj polovične objave izgleda zdravo na ulaznoj točki. Virtualni server nosi access profil, dok je rewrite profil ograničen na drugi resource URI, pa se stavka na webtopu pojavi i prva stranica se učita, a zatim zahtjevi podputanje napuštaju put gatewaya i dolaze do backenda izravno. Zrcalna slika je resurs dodijeljen pogrešnoj aplikaciji: oznaka se otvara i otvara nešto što nitko nije odobrio.
Provjera 2: backend sesija je zasebno stanje
Backend može zahtijevati vlastitu autentifikaciju čak i kada APM korisnika smatra prijavljenim. Podržana SSO integracija uspostavlja taj odnos umjesto vas, ali prihvaćanje prijave na portal ne čini da svaka aplikacija prihvaća iste vjerodajnice ili isti session cookie. Ako SSO nije konfiguriran za resurs, aplikacija će tražiti vlastitu prijavu unutar već autentificiranog portala.
Isključivanje SSO-a radi promjene vidljivog upita čest je i loš prečac: mijenja dizajn autentifikacije bez diranja životnog ciklusa koji je upit proizveo. Umjesto toga odlučite treba li se backend prijava uopće pojavljivati, i ako treba, učinite je izričitim dijelom objavljenog toka.
Provjera 3: postoje dva sata i nisu isti sat
Access profil APM-a nosi inactivity timeout i maksimalni životni vijek sesije. Aplikacija nosi vlastiti idle timer i istek cookieja. Produljenje portala ne produljuje sesiju aplikacije, a skraćenje sesije aplikacije ne odjavljuje korisnika s portala.
| Timer | Owner | What it ends |
|---|---|---|
| Inactivity timeout | APM access profile | the portal session after idle time |
| Maximum lifetime | APM access profile | the portal session regardless of activity |
| Application cookie | Backend application | the application session inside a live portal |
Klasičan poziv podršci proizlazi iz neusklađenog para: portal je još valjan, sesija aplikacije nije, a korisnik vidi obrazac za prijavu koji kao da proturječi portalu. To je ispravno ponašanje, ne kvar, a rješenje je odabrati koji sat za ovu aplikaciju treba prvi isteći.
Provjera 4: odjava ima definiran opseg
Zapišite što gumb za odjavu aplikacije treba završiti: samo tu aplikaciju, cijelu APM sesiju ili širu sesiju davatelja identiteta. Access profil podržava popis logout URI-ja s neobveznim kašnjenjem, i tako odjava aplikacije završava portal sesiju kada je to zahtjev. Bez toga odjava aplikacije ostavlja portal živim, a sljedeći zahtjev može korisnika tiho ponovno prijaviti.
Uzmite u obzir učinak na druge resurse u istom portalu. Ako odjava iz jedne aplikacije završi sesiju za šest drugih, korisnici će to nazvati bugom, osim ako ponašanje nije prethodno dogovoreno s vlasnikom aplikacije. Zatvaranje kartice i povratak na webtop nisu dokaz da je išta završilo.
Provjera 5: aplikacija preživljava prepisivanje
Portal Access prepisuje odabrani web sadržaj, a prepisivanje ima rubove. Suvremene klijentske značajke, pozadinski radnici, tokovi prijenosa i federirana prijava mogu pasti izvan dosega određenog izdanja. matrica kompatibilnosti po verzijama tvrtke F5 dokument je koji treba pročitati prije obveze, jer su ograničenja specifična za izdanje.
Testirajte tokove koji su važni, a ne odredišnu stranicu: prijavite se, prođite svaku potrebnu funkciju, prenesite ako aplikacija prenosi, pustite predviđenu sesiju da istekne i slijedite svaki put odjave. Stranica koja se jednom prikaže nije dokaz da aplikacija radi.
Kada se potrebni tok ne može prepisati, prijeđite na dokumentirani dizajn federacije, obrnutog proxyja ili mrežnog pristupa. Browserski portal od kojeg se traži da se ponaša kao opći tunel proći će demo i pasti na reviziji.