Session-Monitor
Ein Audit-Log beantwortet „wer hat was gemacht”. Der Session-Monitor beantwortet die andere Frage: wer ist gerade drin. Das ist die Ansicht, die man braucht, wenn ein Konto auffällig wird, wenn nach einem Passwortwechsel noch alte Anmeldungen offen sein könnten, oder wenn schlicht die Frage im Raum steht, ob außer einem selbst noch jemand am System arbeitet.
Zu finden im Admin-Panel unter Sitzungen.
Was die Tabelle zeigt
Abschnitt betitelt „Was die Tabelle zeigt“| Spalte | Bedeutung |
|---|---|
| Benutzer | Anmeldename; die eigene Sitzung ist markiert |
| Rolle | Rolle in dieser Organisation |
| Adresse | Adresse, unter der die Anmeldung am Server ankam |
| Programm | Browser und Betriebssystem, aus dem User-Agent verkürzt (der vollständige String steht im Tooltip) |
| Knoten | welcher Anwendungsknoten die Anmeldung angenommen hat |
| Angemeldet | wie lange die Anmeldung schon besteht |
| Letzte Aktivität | wann zuletzt eine Anfrage kam |
| Läuft ab | Ende der Sitzung, wenn nichts mehr passiert |
Die Liste frischt sich alle 20 Sekunden auf; das Suchfeld filtert über Benutzer, Adresse, Knoten und Programm.
Der Token steht nicht darin
Abschnitt betitelt „Der Token steht nicht darin“Jede Zeile trägt einen Fingerabdruck statt des Sitzungstokens: ein kurzer, nicht umkehrbarer Wert, der bei derselben Sitzung immer gleich aussieht.
Das ist kein Detail, sondern der Grund für die Bauweise. Der Sitzungstoken ist der Ausweis: Wer ihn hat, ist der angemeldete Benutzer. Eine Übersicht, die ihn ausgibt, wäre eine Liste übernehmbarer Anmeldungen — und zwar auch für jemanden, der nur zuschauen darf. Der Fingerabdruck leistet, wozu die Anzeige da ist (zwei Sitzungen auseinanderhalten, eine über die Zeit wiedererkennen), ohne das zu ermöglichen.
Grenzen
Abschnitt betitelt „Grenzen“Nur die eigene Organisation. Gefiltert wird auf dem Server, bevor die Antwort das Haus verlässt — nicht in der Oberfläche. Die Sicht über mehrere Organisationen hinweg gibt es nur im Operator-Panel der Cloud-Variante, und das ist bewusst eine andere Befugnis.
Ein gemeinsamer Sitzungsspeicher ist Voraussetzung. Die Ansicht braucht
Valkey (DNSE_VALKEY_ADDR). Ohne ihn hält jeder Prozess seine Sitzungen für
sich; die Seite meldet dann, dass sie nicht auflisten kann. Das ist
ehrlicher als eine leere Tabelle: es gibt Sitzungen, sie sind nur nicht
einsehbar.
Die Adressspalte ist so gut wie der Reverse Proxy. Angezeigt wird, was am
Knoten ankommt. Überschreibt der Proxy X-Forwarded-For mit $remote_addr,
statt ihn mit $proxy_add_x_forwarded_for anzuhängen, steht hier die Adresse
des vorherigen Sprungs. Und steht DNSE_TRUSTED_PROXIES auf 0.0.0.0/0,
glaubt die Anwendung jedem gesetzten Header — dann ist die Spalte ein
Hinweis, kein Beweis.
Beenden gehört nicht dazu. Die Ansicht zeigt, sie greift nicht ein. Um eine Anmeldung zu beenden, setzen Sie das Passwort des Benutzers zurück.