Akses Portal APM: siapa yang memiliki sesi aplikasi?
Lima pemeriksaan untuk keputusan publikasi dengan BIG-IP Portal Access: cakupan resource, sesi backend, dua timer, arti logout, dan batas rewriting.
Menerbitkan aplikasi intranet melalui BIG-IP APM Portal Access adalah keputusan tentang sesi, bukan tentang menyalin virtual server. Portal mengizinkan pengguna masuk, profil rewrite menjaga permintaan terpilih tetap di jalur gateway, dan aplikasi tetap memiliki sesinya sendiri. Lima pemeriksaan memisahkan desain yang berperilaku dapat diprediksi dari desain di mana meja bantuan mengetahui timeout satu pengguna demi satu. Kerjakan berurutan dan berhenti pada yang pertama tidak benar.
Pemeriksaan 1: resource diterbitkan, bukan sekadar ditautkan
Bookmark di webtop membuktikan bahwa pengguna melihat entri. Itu tidak membuktikan aplikasi diterbitkan. Cari access profile, rewrite profile, dan virtual server yang menggabungkan keduanya, lalu pastikan penetapan resource menunjuk ke aplikasi yang Anda maksud. Jika salah satu dari ketiganya hilang atau tidak konsisten, sisa daftar ini tidak berguna.
Kasus setengah terbit tampak sehat di titik masuk. Virtual server membawa access profile sementara rewrite profile dibatasi ke URI resource lain, sehingga entri webtop muncul dan halaman pertama dimuat, lalu permintaan sub-path meninggalkan jalur gateway dan mencapai backend secara langsung. Cerminnya adalah resource yang ditetapkan ke aplikasi yang salah: bookmark terbuka, dan membuka sesuatu yang tidak disetujui siapa pun.
Pemeriksaan 2: sesi backend adalah keadaan terpisah
Backend dapat menuntut autentikasinya sendiri bahkan ketika APM menganggap pengguna sudah masuk. Integrasi SSO yang didukung membangun hubungan itu untuk Anda, tetapi menerima login portal tidak membuat setiap aplikasi menerima kredensial yang sama atau cookie sesi yang sama. Jika SSO tidak dikonfigurasi untuk resource, aplikasi akan meminta login sendiri di dalam portal yang sudah terautentikasi.
Menonaktifkan SSO untuk mengubah prompt yang terlihat adalah jalan pintas yang umum dan buruk: itu mengubah desain autentikasi tanpa menyentuh siklus hidup yang menghasilkan prompt. Putuskan sebaliknya apakah login backend harus muncul sama sekali, dan jika harus, jadikan itu bagian eksplisit dari alur yang diterbitkan.
Pemeriksaan 3: ada dua jam, dan keduanya bukan jam yang sama
Access profile APM membawa timeout ketidakaktifan dan masa hidup sesi maksimum. Aplikasi membawa timer idle dan kedaluwarsa cookie sendiri. Menaikkan timer portal tidak memperpanjang sesi aplikasi, dan memperpendek sesi aplikasi tidak mengeluarkan pengguna dari portal.
| Timer | Owner | What it ends |
|---|---|---|
| Inactivity timeout | APM access profile | the portal session after idle time |
| Maximum lifetime | APM access profile | the portal session regardless of activity |
| Application cookie | Backend application | the application session inside a live portal |
Panggilan dukungan klasik muncul dari pasangan yang tidak cocok: portal masih valid, sesi aplikasi tidak, dan pengguna melihat formulir login yang tampak bertentangan dengan portal. Itu perilaku yang benar, bukan gangguan, dan solusinya adalah memilih jam mana yang harus kedaluwarsa lebih dulu untuk aplikasi ini.
Pemeriksaan 4: logout memiliki cakupan yang jelas
Tuliskan apa yang harus diakhiri tombol keluar aplikasi: hanya aplikasi itu, seluruh sesi APM, atau sesi penyedia identitas yang lebih luas. Access profile mendukung daftar URI logout dengan penundaan opsional, dan begitulah Anda membuat logout aplikasi mengakhiri sesi portal bila itu yang disyaratkan. Tanpa itu, logout aplikasi membiarkan portal hidup, dan permintaan berikutnya dapat memasukkan pengguna kembali secara diam-diam.
Perhitungkan dampaknya pada resource lain di portal yang sama. Jika logout dari satu aplikasi mengakhiri sesi enam lainnya, pengguna akan menyebutnya bug kecuali perilaku itu telah disepakati dengan pemilik aplikasi lebih dulu. Menutup tab dan kembali ke webtop bukan bukti bahwa sesuatu telah berakhir.
Pemeriksaan 5: aplikasi bertahan dari rewriting
Portal Access menulis ulang konten web terpilih, dan rewriting punya batas. Fitur sisi klien modern, worker latar belakang, alur unggah, dan login federasi dapat berada di luar apa yang ditangani rilis tertentu. matriks kompatibilitas per versi dari F5 adalah dokumen yang harus dibaca sebelum berkomitmen, karena batasnya bergantung pada rilis.
Uji alur yang penting, bukan halaman pendaratan: masuk, telusuri setiap fungsi yang diperlukan, unggah jika aplikasi mengunggah, biarkan sesi yang dimaksud kedaluwarsa, dan ikuti setiap jalur logout. Halaman yang tampil sekali bukan bukti aplikasi berfungsi.
Ketika alur yang diperlukan tidak dapat ditulis ulang, beralihlah ke desain federasi, reverse proxy, atau akses jaringan yang terdokumentasi. Portal browser yang diminta berperilaku seperti tunnel umum akan lolos demo dan gagal dalam audit.