/
Ограничение продолжительности сессии пользователя

Ограничение продолжительности сессии пользователя

Оглавление раздела

 

Общая информация

 

Цель разработки

Цель разработки – дать возможность администраторам ограничивать продолжительность сессии пользователя.

Хорошо, но для чего?

Один из примеров использования – решение задачи несанкционированного доступа к платформе через учётную запись другого пользователя.

Допустим, что одним устройством пользуется несколько сотрудников компании. Сотрудник А. совершил вход на портал, а затем ушёл от устройства, не выйдя с портала. Сотрудник Б. начал работу с устройством, открыл страницу портала и увидел, что портал доступен от лица другого пользователя. Если бы ограничение продолжительности сессии было задано и сотрудник Б. открыл портал после того, как время истекло, он бы не смог использовать портал под чужой учётной записью – система потребовала бы пройти авторизацию.

Обратите внимание, ограничение сессии – функционал, который использовать необязательно. Если у вас нет задач, которые бы решались подобной мерой, возможно лучше оставить всё как есть.

Краткое описание механики

Работа ограничения продолжительности сессии обеспечена взаимодействием нескольких механизмов:

  1. Механизм определения бездействия пользователя в веб-портале

  2. Механизм определения бездействия пользователя в приложении

  3. Механизм проверки истечения времени пользовательской сессии

Администратор задаёт настройку ограничения. Пользователь использует систему со своего устройства.
Пользователь перестаёт использовать систему. Проходит время.
Пользователь возобновляет работу с системой.
Система сравнивает настройку администратора с фактическим временем отсутствия пользователя.
Если время без активности больше указанного в настройках, система требует от пользователя пройти процедуру авторизации.

Если пользователь использует систему с разных устройств, то log out происходит только на том устройстве, где время без активности больше указанного в настройках.

Ограничение сессии пользователя по умолчанию

По умолчанию механизм ограничения сессии не включен.

Продолжительность сессии пользователя зависит от выбора пользователя при авторизации и типа авторизации.

Авторизация по логину и паролю

Продолжительность сессии пользователей, авторизованных на портале по логину и паролю не ограничена.

Okta

Продолжительность сессии пользователей, авторизованных на портале с помощью Okta, – 24 часа.

https://motivitydigital.atlassian.net/wiki/spaces/Documentation/pages/2154659918/Okta#%D0%96%D0%B8%D0%B7%D0%BD%D0%B5%D0%BD%D0%BD%D1%8B%D0%B9-%D1%86%D0%B8%D0%BA%D0%BB-%D1%81%D0%B5%D1%81%D1%81%D0%B8%D0%B8-%D0%BF%D0%BE%D0%BB%D1%8C%D0%B7%D0%BE%D0%B2%D0%B0%D1%82%D0%B5%D0%BB%D1%8F

Настройка ограничения в Административной части

 

Как настроить ограничение сессии

Детали настройки описаны в разделе Авторизация пользователей | Блок “Время сессии пользователя (в минутах)”

Как настроить ограничение сессии

Детали настройки описаны в разделе Авторизация пользователей | Блок “Срок сессии пользователя с доверенного устройства в минутах”

Описание механики “Log out при бездействии“

 

Как работает механизм определения бездействия пользователя в веб-портале

Активность пользователя – это фокус пользователя на вкладке с открытым порталом.
Фокус на вкладке определяется как состояние, при котором браузер каждые 30 секунд посылает запросы сессии к системе.
Если пользователь ушёл из вкладки, система перестаёт получать такие запросы.

О последствиях действий пользователя в браузере

  1. Обновление страницы – продлевает сессию пользователя

  2. Удаление coockie – мгновенный log out

  3. Очистка кэша – не влияет, если при очистке не удаляются coockie. (см. п. 2)

  4. Возврат во вкладку с порталом – в этот момент браузер отправляет запрос к системе

    1. Поэтому после превышения установленного ограничения сессии возврат пользователя вызывает отправку запроса, проверку и мгновенный log out пользователя.

Как работает механизм определения бездействия пользователя в приложении

Активность пользователя в приложении определяется как фокус и действия пользователя на активном экране приложения. Если пользователь активен, происходит отправка запросов с токеном каждые 30 секунд.
Активность приложения определяется как состояние, при котором между 30-секундными запросами произошло действие: касание или изменение размера экрана.

Как работает механизм проверки истечения времени пользовательской сессии

Сессии пользователя на разных устройствах – это разные сессии.

При новой активности пользователя на портале или в приложении система проводит сравнение даты и времени последней активности, текущего значение даты и времени и ограничения сессии, установленное в панели администрирования.

Если дата последней активности меньше разности текущей даты и ограничения сессии, то происходит log out пользователя.

Если дата текущей активности больше или равна разности текущей даты и ограничения сессии, сессия продолжается без авторизации пользователя.

Устройства пользователя

Под устройствами пользователя понимаются разные браузеры, режим инкогнито в том же браузере, разные приложения, установленные на разные мобильные устройства.