APM-portaali juurdepääs: kellele kuulub rakenduse sessioon?
Viis kontrolli BIG-IP Portal Accessi avaldamisotsuse jaoks: ressursi ulatus, backend-sessioon, kaks taimerit, väljalogimise tähendus ja ümberkirjutamise piirid.
Intraneti rakenduse avaldamine BIG-IP APM Portal Accessi kaudu on otsus sessioonide kohta, mitte virtuaalserveri kopeerimise kohta. Portaal laseb kasutaja sisse, ümberkirjutamisprofiil hoiab valitud päringud lüüsi teel ja rakendusel on endiselt oma sessioon. Viis kontrolli eristavad etteaimatavalt käituvat disaini sellest, kus tugiteenus saab timeoutidest teada kasutaja kaupa. Käige need järjekorras läbi ja peatuge esimesel, mis ei kehti.
Kontroll 1: ressurss on avaldatud, mitte ainult lingitud
Webtopi järjehoidja tõestab, et kasutaja näeb kirjet. See ei tõesta, et rakendus on avaldatud. Otsige juurdepääsuprofiil, ümberkirjutamisprofiil ja virtuaalserver, mis need ühendab, ning kinnitage, et ressursi määramine osutab rakendusele, mida te arvate. Kui üks neist kolmest puudub või on vastuoluline, on ülejäänud loend mõttetu.
Poolavaldatud juhtum näeb sisenemispunktis terve välja. Virtuaalserver kannab juurdepääsuprofiili, samal ajal kui ümberkirjutamisprofiil on piiratud teise ressursi URI-ga, nii et webtopi kirje ilmub ja esimene leht laaditakse, seejärel lahkuvad alamtee päringud lüüsi teelt ja jõuavad backendini otse. Peegelpilt on ressurss, mis on määratud vale rakendusele: järjehoidja avaneb ja avab midagi, mida keegi ei kinnitanud.
Kontroll 2: backend-sessioon on eraldi olek
Backend võib nõuda oma autentimist ka siis, kui APM peab kasutajat sisse logituks. Toetatud SSO-integratsioon loob selle seose teie eest, kuid portaali sisselogimise aktsepteerimine ei pane iga rakendust aktsepteerima samu mandaate või sama sessiooniküpsist. Kui SSO pole ressursi jaoks seadistatud, küsib rakendus oma sisselogimist juba autenditud portaali sees.
SSO väljalülitamine nähtava viiba muutmiseks on levinud ja halb otsetee: see muudab autentimise disaini puutumata elutsüklit, mis viiba tekitas. Otsustage selle asemel, kas backend-sisselogimine peaks üldse ilmuma, ja kui peaks, tehke sellest avaldatud voo selgesõnaline osa.
Kontroll 3: on kaks kella ja need ei ole sama kell
APM-i juurdepääsuprofiil kannab tegevusetuse timeouti ja sessiooni maksimaalset eluiga. Rakendus kannab oma tühikäigu taimerit ja küpsise aegumist. Portaali taimeri suurendamine ei pikenda rakenduse sessiooni ja rakenduse sessiooni lühendamine ei logi kasutajat portaalist välja.
| Timer | Owner | What it ends |
|---|---|---|
| Inactivity timeout | APM access profile | the portal session after idle time |
| Maximum lifetime | APM access profile | the portal session regardless of activity |
| Application cookie | Backend application | the application session inside a live portal |
Klassikaline tugikõne tuleneb sobimatust paarist: portaal on veel kehtiv, rakenduse sessioon ei ole, ja kasutaja näeb sisselogimisvormi, mis näib portaalile vastu rääkivat. See on õige käitumine, mitte rike, ja lahendus on valida, milline kell peaks selle rakenduse jaoks esimesena lõppema.
Kontroll 4: väljalogimisel on määratud ulatus
Kirjutage üles, mida rakenduse väljalogimisnupp peaks lõpetama: ainult see rakendus, kogu APM-sessioon või laiem identiteedipakkuja sessioon. Juurdepääsuprofiil toetab väljalogimise URI-de loendit valikulise viivitusega ja nii panete rakenduse väljalogimise portaali sessiooni lõpetama, kui see on nõue. Ilma selleta jätab rakenduse väljalogimine portaali elama ja järgnev päring võib kasutaja vaikselt uuesti sisse logida.
Arvestage mõju teistele ressurssidele samas portaalis. Kui ühest rakendusest väljalogimine lõpetab sessiooni kuuel teisel, nimetavad kasutajad seda veaks, kui käitumine pole eelnevalt rakenduse omanikuga kokku lepitud. Vahekaardi sulgemine ja webtopi naasmine ei tõesta, et midagi lõppes.
Kontroll 5: rakendus elab ümberkirjutamise üle
Portal Access kirjutab ümber valitud veebisisu ja ümberkirjutamisel on servad. Kaasaegsed kliendipoolsed funktsioonid, taustatöötajad, üleslaadimisvood ja föderatiivne sisselogimine võivad jääda väljapoole seda, mida antud versioon käsitleb. F5 versioonipõhine ühilduvusmaatriks on dokument, mida tuleb enne kohustumist lugeda, sest piirid on versioonipõhised.
Testige vooge, mis loevad, mitte maandumislehte: logige sisse, liikuge igas vajalikus funktsioonis, laadige üles, kui rakendus seda teeb, laske kavandatud sessioonil aeguda ja järgige iga väljalogimise teed. Leht, mis kuvatakse korra, ei ole tõestus, et rakendus töötab.
Kui vajalikku voogu ei saa ümber kirjutada, liikuge dokumenteeritud föderatsiooni-, pöördproksi- või võrguühenduse disaini juurde. Brauseriportaal, millelt nõutakse üldise tunnelina käitumist, läbib demo ja kukub auditil läbi.