Prístup cez portál APM: komu patrí relácia aplikácie?
Päť kontrol pre rozhodnutie o publikovaní cez BIG-IP Portal Access: rozsah prostriedku, relácia backendu, dva časovače, význam odhlásenia a limity prepisovania.
Publikovať intranetovú aplikáciu cez BIG-IP APM Portal Access je rozhodnutie o reláciách, nie o kopírovaní virtuálneho servera. Portál vpustí používateľa, profil prepisovania udrží vybrané požiadavky na ceste brány a aplikácia si stále drží vlastnú reláciu. Päť kontrol oddeľuje návrh, ktorý sa správa predvídateľne, od toho, kde sa help desk o časových limitoch dozvedá používateľ po používateľovi. Prejdite ich v poradí a zastavte sa pri prvej, ktorá neplatí.
Kontrola 1: prostriedok je publikovaný, nie len prepojený
Záložka na webtope dokazuje, že používateľ vidí položku. Nedokazuje, že aplikácia je publikovaná. Nájdite access profil, rewrite profil a virtuálny server, ktorý ich spája, potom potvrďte, že priradenie prostriedku ukazuje na aplikáciu, ktorú máte na mysli. Ak niektorý z tých troch chýba alebo je nekonzistentný, zvyšok zoznamu nemá zmysel.
Prípad napoly publikovanej aplikácie vyzerá na vstupnom bode zdravo. Virtuálny server nesie access profil, zatiaľ čo rewrite profil je obmedzený na iné resource URI, takže položka na webtope sa objaví a prvá stránka sa načíta, potom požiadavky podcesty opustia cestu brány a dosiahnu backend priamo. Zrkadlovým obrazom je prostriedok priradený nesprávnej aplikácii: záložka sa otvorí a otvorí niečo, čo nikto neschválil.
Kontrola 2: relácia backendu je samostatný stav
Backend môže vyžadovať vlastnú autentifikáciu, aj keď APM považuje používateľa za prihláseného. Podporovaná integrácia SSO tento vzťah vytvorí za vás, ale prijatie prihlásenia do portálu neznamená, že každá aplikácia prijme rovnaké prihlasovacie údaje alebo rovnakú session cookie. Ak pre prostriedok nie je SSO nakonfigurované, aplikácia si vyžiada vlastné prihlásenie v už autentifikovanom portáli.
Vypnutie SSO kvôli zmene viditeľnej výzvy je častá a zlá skratka: mení návrh autentifikácie bez toho, aby sa dotklo životného cyklu, ktorý výzvu vytvoril. Rozhodnite namiesto toho, či sa prihlásenie do backendu má vôbec objavovať, a ak áno, urobte z neho výslovnú súčasť publikovaného toku.
Kontrola 3: existujú dvoje hodiny a nie sú to tie isté hodiny
Access profil APM nesie inactivity timeout a maximálnu životnosť relácie. Aplikácia nesie vlastný idle timer a vypršanie cookie. Predĺženie časovača portálu nepredĺži reláciu aplikácie a skrátenie relácie aplikácie neodhlási používateľa z portálu.
| Timer | Owner | What it ends |
|---|---|---|
| Inactivity timeout | APM access profile | the portal session after idle time |
| Maximum lifetime | APM access profile | the portal session regardless of activity |
| Application cookie | Backend application | the application session inside a live portal |
Klasické volanie podpory vzniká z nezhody: portál je stále platný, relácia aplikácie nie, a používateľ vidí prihlasovací formulár, ktorý portálu zdanlivo odporuje. To je správne správanie, nie porucha, a riešením je vybrať, ktoré hodiny majú pre túto aplikáciu vypršať prvé.
Kontrola 4: odhlásenie má definovaný rozsah
Zapíšte, čo má tlačidlo odhlásenia v aplikácii ukončiť: len túto aplikáciu, celú reláciu APM alebo širšiu reláciu poskytovateľa identity. Access profil podporuje zoznam logout URI s voliteľným oneskorením, a tak zabezpečíte, že odhlásenie z aplikácie ukončí reláciu portálu, keď je to požiadavka. Bez toho odhlásenie z aplikácie nechá portál živý a nasledujúca požiadavka môže používateľa ticho prihlásiť späť.
Zohľadnite dopad na ostatné prostriedky v tom istom portáli. Ak odhlásenie z jednej aplikácie ukončí reláciu šiestim ďalším, používatelia to nazvú chybou, ak sa na správaní vopred nedohodli s vlastníkom aplikácie. Zatvorenie karty a návrat na webtop nie sú dôkazom, že niečo skončilo.
Kontrola 5: aplikácia prežije prepisovanie
Portal Access prepisuje vybraný webový obsah a prepisovanie má hrany. Moderné klientske funkcie, procesy na pozadí, toky nahrávania a federované prihlásenie sa môžu dostať mimo toho, čo dané vydanie zvládne. Matica kompatibility podľa verzií od F5 je dokument, ktorý si treba prečítať pred záväzkom, pretože limity sú špecifické pre vydanie.
Testujte toky, na ktorých záleží, nie vstupnú stránku: prihláste sa, prejdite každú požadovanú funkciu, nahrajte súbory, ak aplikácia nahráva, nechajte zamýšľanú reláciu vypršať a prejdite všetky cesty odhlásenia. Stránka, ktorá sa raz vykreslí, nie je dôkazom, že aplikácia funguje.
Keď požadovaný tok nemožno prepísať, prejdite k dokumentovanému návrhu federácie, reverzného proxy alebo sieťového prístupu. Prehliadačový portál, od ktorého sa žiada, aby sa správal ako všeobecný tunel, prejde demom a zlyhá pri audite.