Приступ преко APM портала: чија је сесија апликације?
Пет провера за одлуку о објављивању кроз BIG-IP Portal Access: обухват ресурса, сесија backend-а, два тајмера, значење одјаве и границе преписивања.
Објављивање интранет апликације кроз BIG-IP APM Portal Access је одлука о сесијама, а не о копирању виртуелног сервера. Портал пушта корисника унутра, rewrite профил задржава одабране захтеве на путу gateway-а, а апликација и даље има сопствену сесију. Пет провера раздваја дизајн који се понаша предвидиво од оног у ком help desk о timeout-има сазнаје корисник по корисник. Прођите их редом и зауставите се на првој која није тачна.
Провера 1: ресурс је објављен, а не само повезан
Ознака на webtop-у доказује да корисник види ставку. Не доказује да је апликација објављена. Пронађите access профил, rewrite профил и виртуелни сервер који их спаја, па потврдите да додела ресурса показује на апликацију коју мислите. Ако било који од та три недостаје или је недоследан, остатак листе нема смисла.
Случај половичне објаве изгледа здраво на улазној тачки. Виртуелни сервер носи access профил, док је rewrite профил ограничен на други resource URI, па се ставка на webtop-у појави и прва страница се учита, а затим захтеви подпута напуштају пут gateway-а и долазе до backend-а директно. Зрцална слика је ресурс додељен погрешној апликацији: ознака се отвара и отвара нешто што нико није одобрио.
Провера 2: сесија backend-а је засебно стање
Backend може захтевати сопствену аутентификацију чак и када APM корисника сматра пријављеним. Подржана SSO интеграција успоставља тај однос уместо вас, али прихватање пријаве на портал не чини да свака апликација прихвата исте акредитиве или исти session cookie. Ако SSO није конфигуриран за ресурс, апликација ће тражити сопствену пријаву унутар већ аутентификованог портала.
Искључивање SSO-а ради промене видљивог упита чест је и лош пречица: мења дизајн аутентификације без дирања животног циклуса који је упит произвео. Уместо тога одлучите треба ли се пријава на backend уопште појављивати, и ако треба, учините је изричитим делом објављеног тока.
Провера 3: постоје два сата и нису исти сат
Access профил APM-а носи inactivity timeout и максимални животни век сесије. Апликација носи сопствени idle timer и истек cookie-ја. Продужење портала не продужује сесију апликације, а скраћење сесије апликације не одјављује корисника са портала.
| Timer | Owner | What it ends |
|---|---|---|
| Inactivity timeout | APM access profile | the portal session after idle time |
| Maximum lifetime | APM access profile | the portal session regardless of activity |
| Application cookie | Backend application | the application session inside a live portal |
Класичан позив подршци произлази из неусклађеног пара: портал је још ваљан, сесија апликације није, а корисник види образац за пријаву који као да противречи порталу. То је исправно понашање, не квар, а решење је одабрати који сат за ову апликацију треба први да истекне.
Провера 4: одјава има дефинисан обухват
Запишите шта треба да заврши дугме за одјаву апликације: само ту апликацију, целу APM сесију или ширу сесију даваоца идентитета. Access профил подржава листу logout URI-јева са необавезним кашњењем, и тако одјава апликације завршава портал сесију када је то захтев. Без тога одјава апликације оставља портал живим, а следећи захтев може корисника тихо поново пријавити.
Узмите у обзир учинак на друге ресурсе у истом порталу. Ако одјава из једне апликације заврши сесију за шест других, корисници ће то назвати бугом, осим ако понашање није претходно договорено са власником апликације. Затварање картице и повратак на webtop нису доказ да је нешто завршило.
Провера 5: апликација преживљава преписивање
Portal Access преписује одабрани веб садржај, а преписивање има ивице. Савремене клијентске функције, позадински радници, токови преноса и федеративна пријава могу пасти изван домета одређеног издања. Матрица компатибилности по верзијама компаније F5 документ је који треба прочитати пре обавезе, јер су ограничења специфична за издање.
Тестирајте токове који су важни, а не одредишну страницу: пријавите се, прођите сваку потребну функцију, пренесите ако апликација преноси, пустите предвиђену сесију да истекне и следите сваки пут одјаве. Страница која се једном прикаже није доказ да апликација ради.
Када се потребни ток не може преписати, пређите на документовани дизајн федерације, обрнутог proxy-ја или мрежног приступа. Браузерски портал од кога се тражи да се понаша као општи тунел проћи ће демо и пасти на ревизији.