本頁面說明如何透過員工身分聯盟工作階段管理 Identity-Aware Proxy (IAP)。
設定工作團隊集區時，您可以指定 Google Cloud 與 IdP 之間的工作階段持續時間。您可以指定工作階段持續時間，範圍為 15 分鐘至 12 小時。這項設定也是 IAP 工作階段 Cookie 的長度。預設工作階段持續時間為一小時。
工作階段到期時，使用者會重新導向至第三方 IdP 登入。如果第三方 IdP 工作階段仍有效，系統會自動登入。
如要進一步瞭解如何設定工作階段持續時間，請參閱「管理員工身分集區提供者」。
使用 AJAX 要求建立工作階段
使用員工身分聯盟時，您也可以提出 AJAX 要求來建立工作階段。
IAP 仰賴 Cookie 管理使用者工作階段，並透過一連串重新導向，在登入時建立工作階段。如果應用程式使用跨源資源共享 (CORS)，從來源網域向託管 IAP 保護應用程式的目標網域發出 AJAX 要求，則必須先在目標網域上建立 IAP 工作階段。Cookie 無法在來源網域和目標網域之間共用。
在目標網域上建立工作階段後，請設定要求以納入憑證，因為 JavaScript 方法預設不會附加 Cookie：
- 如果是
XMLHttpRequest物件，請將withCredentials屬性設為true。 - 針對
Fetch API，請將credentials選項設為include或same-origin。
如果 AJAX 要求過期或未經驗證，IAP 會傳回 HTTP 401: Unauthorized 狀態碼。如果 AJAX 要求收到 302 狀態碼，而非 401，請新增 X-Requested-With 標頭，並將值設為 "XMLHttpRequest"，表示要求來自 JavaScript。如要在收到 HTTP 401 回應後建立或重新整理工作階段，請為目標網域網址開啟新視窗，並附加 ?gcp-iap-mode=DO_SESSION_REFRESH。