APM portalo prieiga: kam priklauso programos sesija?
Penki patikrinimai sprendimui dėl publikavimo su BIG-IP Portal Access: ištekliaus apimtis, backend sesija, du laikmačiai, atsijungimo prasmė ir perrašymo ribos.
Intraneto programos publikavimas per BIG-IP APM Portal Access yra sprendimas dėl sesijų, o ne dėl virtualaus serverio kopijavimo. Portalas įleidžia vartotoją, perrašymo profilis palaiko pasirinktas užklausas tinklo vartų kelyje, o programa vis dar turi savo sesiją. Penki patikrinimai atskiria projektą, kuris elgiasi nuspėjamai, nuo to, kuriame pagalbos tarnyba apie skirtus laikus sužino vartotojas po vartotojo. Atlikite juos iš eilės ir sustokite prie pirmojo, kuris netinka.
1 patikrinimas: išteklius paskelbtas, o ne tik susietas
Žymė webtop aplinkoje įrodo, kad vartotojas mato įrašą. Ji neįrodo, kad programa paskelbta. Raskite prieigos profilį, perrašymo profilį ir virtualų serverį, kuris juos sujungia, tada patvirtinkite, kad ištekliaus priskyrimas nurodo tą programą, kurią galvojate. Jei vieno iš trijų trūksta arba jie nesuderinami, likęs sąrašas beprasmis.
Iš dalies paskelbtas atvejis atrodo sveikas įėjimo taške. Virtualus serveris turi prieigos profilį, o perrašymo profilis apribotas kitu ištekliaus URI, todėl webtop įrašas atsiranda ir pirmas puslapis įkeliamas, po to pakelio užklausos palieka vartų kelią ir pasiekia backend tiesiogiai. Veidrodinis vaizdas yra išteklius, priskirtas neteisingai programai: žymė atsidaro ir atidaro tai, ko niekas nepatvirtino.
2 patikrinimas: backend sesija yra atskira būsena
Backend gali reikalauti savo autentifikacijos net tada, kai APM laiko vartotoją prisijungusiu. Palaikoma SSO integracija nustato tą ryšį už jus, bet portalo prisijungimo priėmimas nepadaro, kad kiekviena programa priimtų tuos pačius prisijungimo duomenis ar tą patį sesijos slapuką. Jei SSO nesukonfigūruotas ištekliui, programa paprašys savo prisijungimo jau autentifikuotame portale.
SSO išjungimas norint pakeisti matomą raginimą yra paplitęs ir blogas trumpasis kelias: jis keičia autentifikacijos dizainą neliesdamas gyvavimo ciklo, kuris sukūrė raginimą. Nuspręskite vietoj to, ar backend prisijungimas apskritai turi būti rodomas, o jei turi, padarykite jį aiškia paskelbto srauto dalimi.
3 patikrinimas: yra du laikrodžiai, ir jie nėra tas pats laikrodis
APM prieigos profilis turi neveiklumo skirtą laiką ir maksimalią sesijos trukmę. Programa turi savo tuščiosios eigos laikmatį ir slapuko galiojimo pabaigą. Portalo laikmačio didinimas nepratęsia programos sesijos, o programos sesijos trumpinimas neatjungia vartotojo nuo portalo.
| Timer | Owner | What it ends |
|---|---|---|
| Inactivity timeout | APM access profile | the portal session after idle time |
| Maximum lifetime | APM access profile | the portal session regardless of activity |
| Application cookie | Backend application | the application session inside a live portal |
Klasikinis skambutis į pagalbos tarnybą kyla iš nesuderintos poros: portalas dar galioja, programos sesija ne, o vartotojas mato prisijungimo formą, kuri tarsi prieštarauja portalui. Tai teisingas elgesys, o ne gedimas, ir sprendimas yra pasirinkti, kuris laikrodis šiai programai turi baigtis pirmas.
4 patikrinimas: atsijungimas turi apibrėžtą apimtį
Užrašykite, ką programos atsijungimo mygtukas turi užbaigti: tik tą programą, visą APM sesiją ar platesnę tapatybės teikėjo sesiją. Prieigos profilis palaiko atsijungimo URI sąrašą su pasirenkamu vėlavimu, ir taip padarote, kad programos atsijungimas užbaigtų portalo sesiją, kai to reikalaujama. Be to, programos atsijungimas palieka portalą gyvą, o vėlesnė užklausa gali tyliai vėl prijungti vartotoją.
Atsižvelkite į poveikį kitiems to paties portalo ištekliams. Jei atsijungimas nuo vienos programos užbaigia šešių kitų sesiją, vartotojai tai pavadins klaida, nebent elgesys buvo iš anksto suderintas su programos savininku. Skirtuko uždarymas ir grįžimas į webtop nėra įrodymas, kad kažkas baigėsi.
5 patikrinimas: programa išgyvena perrašymą
Portal Access perrašo pasirinktą žiniatinklio turinį, o perrašymas turi kraštus. Šiuolaikinės kliento funkcijos, fono procesai, įkėlimo srautai ir federacinis prisijungimas gali atsidurti už to, ką apdoroja konkreti versija. F5 versijomis pagrįsta suderinamumo matrica yra dokumentas, kurį reikia perskaityti prieš įsipareigojant, nes ribos priklauso nuo versijos.
Testuokite svarbius srautus, o ne nukreipimo puslapį: prisijunkite, pereikite kiekvieną reikiamą funkciją, įkelkite, jei programa įkelia, leiskite numatytai sesijai pasibaigti ir sekite kiekvieną atsijungimo kelią. Vieną kartą atvaizduotas puslapis nėra įrodymas, kad programa veikia.
Kai reikiamo srauto negalima perrašyti, pereikite prie dokumentuoto federacijos, atvirkštinio proxy ar tinklo prieigos dizaino. Naršyklės portalas, kurio prašoma elgtis kaip bendro tunelio, praeis demonstraciją ir nepavyks audito metu.