openam - J2EE Agent 如何联系 OpenAm？

Question

我在域 1 中安装了 OpenAM，并且我的应用程序在域 2 中受 J2EE 代理保护，我的问题是，一旦我在身份验证后访问我的应用程序，代理是否会通过网络联系 openam（用于授权），每次点击我在我的应用程序上做，如果答案是肯定的，那么如果我的代理和 openam 位于地理上分开的两个域中会对性能产生什么影响，如果答案是否定的，代理如何使对我的应用程序的访问无效，什么时候admin 使来自 openAm 主页的用户会话无效。

Answer 1

默认情况下，OpenAM 和 J2EE 策略代理以通知模式进行通信，因此 OpenAM 将通知（检查配置属性中的 notificationUrl 字段）代理以了解任何注销事件。现在，正如@warren-strange 所提到的，J2EE 策略代理会定期向 OpenAM 服务器发送请求，这样它就能够知道 Token 是否存在并且有效。

Answer 2

代理需要与 OpenAM 进行通信以做出授权决策，但它会缓存结果决策，以便后续评估是本地的。

OpenAM 可以回调容器中的代理（这就是 agentapp.war 的用途）。这可用于通知代理用户会话不再有效。例如，如果他们退出 OpenAM，或者他们的会话过期。

性能影响将非常小。OpenAM 支持拥有数千万用户的安装 - 因此除非您的站点非常大，否则这不会成为问题。

您通常希望尽可能将代理本地化到同一数据中心的 OpenAM 流量。如果您有多个区域，您可能希望在这些区域中拥有 OpenAM 实例。如果需要，它们可以配置为相互故障转移。