APM-portaalin käyttöoikeus: kenen hallussa sovelluksen istunto on?
Viisi tarkistusta BIG-IP Portal Access -julkaisupäätökseen: resurssin laajuus, backend-istunto, kaksi ajastinta, uloskirjautumisen merkitys ja uudelleenkirjoituksen rajat.
Intranet-sovelluksen julkaiseminen BIG-IP APM Portal Accessin kautta on päätös istunnoista, ei virtuaalipalvelimen kopioimisesta. Portaali päästää käyttäjän sisään, uudelleenkirjoitusprofiili pitää valitut pyynnöt yhdyskäytävän polulla ja sovelluksella on edelleen oma istuntonsa. Viisi tarkistusta erottaa ennustettavasti käyttäytyvän suunnittelun siitä, jossa tukipalvelu oppii aikakatkaisuista käyttäjä kerrallaan. Käy ne läpi järjestyksessä ja pysähdy ensimmäiseen, joka ei pidä paikkaansa.
Tarkistus 1: resurssi on julkaistu, ei vain linkitetty
Webtopin kirjanmerkki todistaa, että käyttäjä näkee merkinnän. Se ei todista, että sovellus on julkaistu. Etsi käyttöoikeusprofiili, uudelleenkirjoitusprofiili ja virtuaalipalvelin, joka yhdistää ne, ja varmista sitten, että resurssin kohdistus osoittaa sovellukseen, jota tarkoitat. Jos jokin kolmesta puuttuu tai on ristiriitainen, loppu lista on merkityksetön.
Osittain julkaistu tapaus näyttää terveeltä sisäänkäynnillä. Virtuaalipalvelin kantaa käyttöoikeusprofiilia, kun taas uudelleenkirjoitusprofiili on rajattu toiseen resurssin URIin, joten webtop-merkintä ilmestyy ja ensimmäinen sivu latautuu, sitten alipolun pyynnöt jättävät yhdyskäytävän polun ja saavuttavat backendin suoraan. Peilikuva on väärälle sovellukselle kohdistettu resurssi: kirjanmerkki avautuu, ja se avaa jotain, mitä kukaan ei hyväksynyt.
Tarkistus 2: backend-istunto on erillinen tila
Backend voi vaatia oman tunnistautumisensa, vaikka APM pitää käyttäjää kirjautuneena. Tuettu SSO-integraatio luo tämän suhteen puolestasi, mutta portaalin kirjautumisen hyväksyminen ei saa jokaista sovellusta hyväksymään samoja tunnistetietoja tai samaa istuntoevästettä. Jos SSO:ta ei ole määritetty resurssille, sovellus pyytää oman kirjautumisensa jo tunnistetun portaalin sisällä.
SSO:n poistaminen käytöstä näkyvän kehotteen muuttamiseksi on yleinen ja huono oikotie: se muuttaa tunnistautumisen suunnittelua koskematta elinkaareen, joka kehotteen tuotti. Päätä sen sijaan, pitäisikö backend-kirjautumisen ylipäätään näkyä, ja jos pitäisi, tee siitä julkaistun kulun eksplisiittinen osa.
Tarkistus 3: kelloja on kaksi, eivätkä ne ole sama kello
APM:n käyttöoikeusprofiili kantaa toimettomuuden aikakatkaisun ja istunnon enimmäiseliniän. Sovellus kantaa oman joutoajastimensa ja evästeen vanhenemisen. Portaalin ajastimen kasvattaminen ei pidennä sovelluksen istuntoa, eikä sovelluksen istunnon lyhentäminen kirjaa käyttäjää ulos portaalista.
| Timer | Owner | What it ends |
|---|---|---|
| Inactivity timeout | APM access profile | the portal session after idle time |
| Maximum lifetime | APM access profile | the portal session regardless of activity |
| Application cookie | Backend application | the application session inside a live portal |
Klassinen tukipuhelu syntyy parista, joka ei sovi yhteen: portaali on vielä voimassa, sovelluksen istunto ei, ja käyttäjä näkee kirjautumislomakkeen, joka näyttää olevan ristiriidassa portaalin kanssa. Se on oikeaa käyttäytymistä, ei vika, ja ratkaisu on valita, kumman kellon pitäisi tälle sovellukselle päättyä ensin.
Tarkistus 4: uloskirjautumisella on määritetty laajuus
Kirjoita muistiin, mitä sovelluksen uloskirjautumispainikkeen pitäisi päättää: vain se sovellus, koko APM-istunto vai laajempi identiteetintarjoajan istunto. Käyttöoikeusprofiili tukee uloskirjautumisen URI-luetteloa valinnaisella viiveellä, ja näin saat sovelluksen uloskirjautumisen päättämään portaalin istunnon, kun se on vaatimus. Ilman sitä sovelluksen uloskirjautuminen jättää portaalin eloon, ja seuraava pyyntö voi kirjata käyttäjän hiljaa takaisin sisään.
Ota huomioon vaikutus saman portaalin muihin resursseihin. Jos yhdestä sovelluksesta uloskirjautuminen päättää kuuden muun istunnon, käyttäjät kutsuvat sitä viaksi, ellei käyttäytymisestä ole sovittu etukäteen sovelluksen omistajan kanssa. Välilehden sulkeminen ja webtopiin palaaminen eivät todista, että mikään päättyi.
Tarkistus 5: sovellus selviää uudelleenkirjoituksesta
Portal Access kirjoittaa uudelleen valittua verkkosisältöä, ja uudelleenkirjoituksella on reunansa. Nykyaikaiset selainpuolen ominaisuudet, taustatyöntekijät, latausvirrat ja federoitu kirjautuminen voivat jäädä sen ulkopuolelle, mitä tietty versio käsittelee. F5:n versiokohtainen yhteensopivuusmatriisi on asiakirja, joka kannattaa lukea ennen sitoutumista, koska rajat riippuvat versiosta.
Testaa tärkeitä kulkuja, älä aloitussivua: kirjaudu sisään, käy läpi jokainen vaadittu toiminto, lataa jos sovellus lataa, anna aiottu istunnon vanhentua ja seuraa jokaista uloskirjautumispolkua. Sivu, joka renderöityy kerran, ei ole todiste siitä, että sovellus toimii.
Kun vaadittua kulkua ei voi kirjoittaa uudelleen, siirry dokumentoituun federaatio-, käänteisproxy- tai verkkoyhteyssuunnitteluun. Selainportaali, jota pyydetään käyttäytymään yleisenä tunnelina, läpäisee demon ja epäonnistuu auditoinnissa.