5 piliers de la gestion des API

Transcription

1 5 piliers de la gestion des API

2 Introduction : Gestion de la nouvelle entreprise ouverte Les nouvelles opportunités de l économie des API Dans tous les secteurs d activité, les frontières de l entreprise traditionnelle s estompent au fur et à mesure que les organisations proposent leurs données sur site et les fonctionnalités de leurs applications à leurs partenaires, sur le Web, via des applications mobiles, des équipements intelligents et le Cloud. Les API (interfaces de programmation d applications) forment la base de cette nouvelle entreprise ouverte en permettant aux organisations de réutiliser leurs sources d informations existantes au-delà de leurs limites. Publier des API sécurisées et bien gérées Les API permettent aux entreprises de réaffecter leurs systèmes IT, d ajouter de la valeur aux offres existantes et d obtenir de nouvelles sources de revenus. Il n est toutefois pas surprenant que la possibilité d accès à des systèmes sur site via des API implique aussi toute une série de nouveaux défis en matière de sécurité et de gestion. Pour aider les entreprises à répondre à ces défis, divers processus et technologies ont vu le jour ces dernières années sous la notion de «gestion des API». Les solutions de gestion des API visent à permettre aux organisations, même les plus sensibilisées en matière de sécurité, d autoriser les organisations partenaires, les développeurs tiers, les applications mobiles et les services Cloud à accéder à leurs informations, sans nuire à la sécurité des données ou aux performances des systèmes back-end. Les solutions complètes de gestion des API fournissent également des fonctionnalités pour gérer les développeurs qui conçoivent des applications tirant parti des API d entreprise. 02

3 Présentation : 5 piliers de la gestion des API Proposez les données et fonctionnalités de l entreprise dans des formats adaptés aux API Convertissez les services d applications sur site complexes en API RESTFul ergonomiques pour les développeurs. Protégez les informations exposées via les API pour éviter toute utilisation abusive Veillez à ce que les systèmes d entreprise soient protégés contre le piratage et les attaques au niveau des messages. Garantissez un accès sécurisé et transparent pour les identités valides Déployez un contrôle d accès solide, une fédération des identités et des fonctionnalités de connexion via les réseaux sociaux. Optimisez les performances du système et gérez le cycle de vie des API Assurez la disponibilité des systèmes back-end pour les API, les applications et les utilisateurs finaux. Accueillez, fidélisez, formez et gérez les développeurs Donnez aux développeurs les ressources dont ils ont besoin pour créer des applications qui apportent une valeur ajoutée réelle. 03

4 Proposez les données et fonctionnalités de l entreprise dans des formats adaptés aux API Convertissez les services d applications sur site complexes en API RESTFul ergonomiques pour les développeurs. QUOI? POURQUOI? COMMENT? Les applications et les données d entreprise intègrent généralement un ensemble complexe de normes, protocoles, langages de programmation et formats de fichiers. La première étape de la gestion des API consiste à présenter ces diverses informations dans un format que les développeurs peuvent comprendre et exploiter. En règle générale, cette étape consiste à publier des interfaces de programmation d application utilisant le protocole REST («API RESTful»). Les systèmes sur site se basent habituellement sur des services d applications proposés dans des formats propriétaires trop «verbeux» pour fonctionner efficacement via le Web ou des applications mobiles. Les services d applications associés au style SOA (Service Oriented Architecture, Architecture orientée service) courant emploient généralement le protocole SOAP, tandis que les développeurs Web et mobiles utilisent REST. En l absence d API fournies dans un format que les développeurs internes et tiers peuvent facilement exploiter, la création de nouvelles applications qui apportent une véritable valeur ajoutée devient plus complexe. Les solutions de gestion des API les plus efficaces comportent des fonctionnalités permettant de présenter les services d entreprise existants sous forme d API RESTful. En général, cela implique l utilisation d une passerelle SOA ou d API pour convertir automatiquement les données des services SOAP en API RESTful. Pour être véritablement efficace, la passerelle doit permettre de composer des API RESTful à partir de combinaisons de plusieurs services d applications existants. Pour en savoir plus : API Tech Talk : «Simplifying REST Adaptation». 04

5 Protégez les informations exposées via les API pour éviter toute utilisation abusive Veillez à ce que les systèmes d entreprise soient protégés contre le piratage et les attaques au niveau des messages. QUOI? POURQUOI? COMMENT? La mise à disposition d informations d entreprise en vue de leur utilisation dans de nouvelles applications les expose aux mêmes menaces que celles qui affectent le Web (par ex., des virus ou des attaques DoS). En outre, les API entraînent toute une série de nouveaux défis sur le plan de la sécurité qui dépassent de loin les difficultés habituelles rencontrées par les entreprises sur le Web. Ainsi, la fonction la plus essentielle de la gestion des API est probablement la création d une couche de sécurité qui empêche les pirates d accéder, d exploiter ou d attaquer les systèmes exposés. Les API sont des fenêtres sur les applications et les données, et risquent de laisser les pirates entrevoir les rouages internes des systèmes d entreprise et de leur offrir une voie d accès à ces systèmes. Elles augmentent dès lors le risque que des utilisateurs volent des données confidentielles, piratent des interfaces publiques à des fins malveillantes ou bloquent des systèmes critiques. Les solutions de sécurité en ligne classiques conçues pour le Web ne couvrent pas toutes les menaces potentielles créées par la publication d API. Une sécurité spécifique doit donc être mise en place. La principale fonction d une passerelle d API du type mentionné ci-dessus est sans doute d inspecter et de filtrer l ensemble du trafic API pour identifier et neutraliser les menaces courantes ou émergentes. Pour être efficace, la passerelle doit être conçue et certifiée pour le traitement des menaces spécifiques aux API au niveau des messages, telles que l injection de code SQL, les attaques par déni de service (DoS) et les virus. La fonctionnalité de sécurité de la passerelle et les profils de menace doivent pouvoir être mis à jour facilement, afin de pouvoir répondre à de nouveaux types de menaces dès leur émergence. En savoir plus : Livre blanc : «Protecting Your APIs Against Attack & Hijack». 05

6 Garantissez un accès sécurisé et transparent pour les identités valides Déployez un contrôle d accès solide, une fédération des identités et des fonctionnalités de connexion via les réseaux sociaux. QUOI? POURQUOI? COMMENT? Toute entreprise désireuse de protéger totalement ses API contre les attaques doit fournir aux développeurs une structure leur permettant de contrôler la façon dont les utilisateurs accèdent aux ressources de l entreprise via ces API. Ce cadre doit offrir un juste équilibre entre la sécurité back-end et l expérience utilisateur en tirant parti de normes de gestion des identités et des accès (IAM) telles qu OAuth. Idéalement, cette infrastructure doit pouvoir utiliser l infrastructure IAM existante et permettre aux utilisateurs finaux d obtenir un accès via le système d authentification unique de l entreprise ou des identifiants de réseaux sociaux. Le contrôle d accès est la pierre angulaire de la sécurité des API ; le tout est d empêcher les utilisateurs non autorisés d obtenir des niveaux d accès inappropriés aux ressources de l entreprise. La norme OAuth est particulièrement utile à cet égard, car elle permet aux éditeurs d implémenter des niveaux de sécurité adéquats et des identités fédérées à partir de systèmes IAM et de comptes de réseaux sociaux existants. L utilisation de l infrastructure IAM existante permet également de réduire les coûts et les délais de mise en œuvre, ainsi que de faciliter la gestion à long terme en évitant la création de silos d identités. Une passerelle d API doit offrir des fonctionnalités prêtes à l emploi pour la création d une infrastructure de contrôle des accès centrée sur les API à l aide de normes clés et des ressources existantes. La passerelle doit pouvoir s intégrer sans problème aux systèmes IAM de pointe tels que CA Single Sign-On, Oracle Access Manager, Microsoft Active Directory et IBM Tivoli. Elle doit également intégrer des modèles configurables pour la mise en œuvre du contrôle d accès, de l authentification unique et de la connexion via les réseaux sociaux dans le cadre de situations d utilisation type, reposant sur le protocole OAuth et d autres normes essentielles. En savoir plus : ebook : «5 conseils essentiels concernant OAuth pour le contrôle d accès aux API». 06

7 Optimisez les performances du système et gérez le cycle de vie des API Assurez la disponibilité des systèmes back-end pour les API, les applications et les utilisateurs finaux. QUOI? POURQUOI? COMMENT? Le trafic des API doit être géré efficacement pour que les applications basées sur ces dernières fonctionnent de manière cohérente et que les performances des systèmes back-end ne soient pas compromises. Les données provenant des systèmes back-end doivent être fournies dans un format léger, optimisées pour les schémas d utilisation et filtrées adéquatement. Pour la viabilité à long terme des applications, il est également nécessaire de gérer soigneusement le cycle de vie des API au fil des phases de développement, de test et de production. L introduction d applications Web et mobiles qui tirent parti des systèmes back-end peut entraîner une hausse soudaine du trafic informatique pouvant se traduire par des pannes et des périodes d indisponibilité. Il est essentiel d optimiser le flux de trafic des API, afin d assurer une expérience satisfaisante et cohérente pour les développeurs, les utilisateurs d applications basées sur les API et les utilisateurs internes. La gestion du cycle de vie des API est crucial pour garantir que les applications existantes ne rencontreront aucune défaillance lors de la mise à jour des API, des clients et des systèmes d exploitation. Une passerelle d API doit offrir des fonctionnalités prêtes à l emploi pour la création d une infrastructure de contrôle des accès centrée sur les API à l aide de normes clés et des ressources existantes. La passerelle doit pouvoir s intégrer sans problème aux systèmes IAM de pointe tels que CA Single Sign-On, Oracle Access Manager, Microsoft Active Directory et IBM Tivoli. Elle doit également inclure des modèles configurables pour l implémentation du contrôle d accès, de l authentification unique et de la connexion via les réseaux sociaux dans des cas d utilisation courants, sur la base d OAuth et d autres normes clés. 07

8 Accueillez, fidélisez, formez et gérez les développeurs Donnez aux développeurs les ressources dont ils ont besoin pour créer des applications qui apportent une valeur réelle. QUOI? POURQUOI? COMMENT? La véritable valeur des API d une entreprise provient principalement des développeurs à l origine de la conception des applications Web et mobiles ou des nouveaux systèmes d entreprise utilisant ces API. Il est essentiel de fournir aux développeurs les outils et le matériel dont ils ont besoin pour découvrir, tester et concevoir des applications en fonction des API de l entreprise. Ces développeurs peuvent être des employés, des partenaires, des sous-traitants ou des développeurs indépendants expérimentés. Chaque groupe nécessite un ensemble de ressources particulier ciblé en fonction de ses besoins. Les développeurs sont au cœur de toute stratégie de publication d API. Pour les éditeurs d API, les développeurs doivent créer des applications facilement utilisables et exploitables par les employés, les partenaires et les clients. Pour inciter les développeurs à créer des applications qui apportent une véritable valeur ajoutée, l éditeur doit attirer des talents et leur offrir les outils nécessaires pour tirer parti des API. Plus les outils fournis par l éditeur d API sont conviviaux et interactifs, plus les applications créées par ces développeurs seront utiles. Le moyen le plus efficace pour intéresser et former les développeurs, qu ils soient internes ou externes, est un portail en ligne interactif et personnalisé. Ce portail vise à simplifier la tâche des développeurs pour s inscrire aux API et accéder à la documentation interactive, aux exemples d applications et de codes, aux outils de test et aux forums de discussion. Les solutions de gestion des API efficaces comprennent des fonctionnalités simplifiant la conception d un portail complet pour les développeurs et préintégré à la passerelle d API. 08

9 Conclusion : Déploiement d une solution complète de gestion des API À l heure où les technologies Web, mobiles et Cloud deviennent essentielles à l économie actuelle, les API se profilent comme des éléments fondamentaux pour les entreprises innovantes. Pour tirer parti de la valeur des API et éviter les pièges liés à l exposition des systèmes d entreprise, il est crucial de déployer une technologie qui facilite et simplifie les principaux processus de gestion des API : composition des services, sécurité, optimisation des performances, gestion du cycle de vie et recrutement de développeurs. CA API Management Suite offre tous les composants requis pour une gestion des API efficace à l échelle de l entreprise, notamment un éventail de passerelles d API conçues pour simplifier tous les principaux processus de sécurité et de gestion des API. La suite de gestion de CA Technologies inclut également un portail API pour le recrutement et la gestion des développeurs, ainsi qu un toolkit OAuth pour assurer une gestion des accès sécurisée basée sur des normes pour les API d entreprise. En outre, la suite de gestion de CA Technologies offre les avantages suivants : Déploiements sur site, Cloud ou hybrides Sécurité des données et des applications de niveau militaire Analyse de l utilisation des API Gestion opérationnelle y compris sur des Clouds et des data centers distribués Adaptation des applications et gestion de l interface grâce à une connectivité SOA avancée 09

10 À propos de CA API Management Suite L économie des API est en pleine explosion, les appareils mobiles envahissent le lieu de travail et les grandes entreprises migrent leur infrastructure IT essentielle vers le Cloud. Un tel contexte nécessite une technologie permettant une connexion sécurisée avec les développeurs externes, les applications mobiles et les services Cloud. CA Technologies est à la pointe de ce marché en pleine effervescence. Grâce aux produits de passerelle de pointe de CA Technologies, les entreprises peuvent partager leurs données avec les clients, les applications mobiles et les services Cloud. Fournis sous forme d appliances réseau matérielles, d appliances virtuelles ou de logiciels, nos produits aident les grandes entreprises à s ouvrir au Web, aux réseaux mobiles et au Cloud, sans compromettre la sécurité ou les performances. En février 2013, CA API Gateway a été reconnue comme leader de la gestion des API par la société d analyse Forrester Research, dans son rapport intitulé «The Forrester Wave: API Management Platforms». 1 CA API Management Suite est un composant essentiel des solutions que CA Technologies propose aux entreprises pour sécuriser et gérer des environnements informatiques complexes afin de prendre en charge des processus métier agiles. Pour en savoir plus, rendez-vous sur ca.com/fr/api. 1 Forrester Research, Inc., «The Forrester Wave: API Management Platforms», T1 2013, 5 février 2013 CA Technologies (NASDAQ : CA) crée des logiciels qui alimentent la transformation des entreprises et leur permettent de saisir toutes les opportunités de l économie des applications. Le logiciel est au cœur de chaque activité et de chaque industrie. De la planification au développement, en passant par la gestion et la sécurité, CA Technologies collabore avec des entreprises partout dans le monde afin de transformer la façon dont nous vivons, interagissons et communiquons, dans les environnements mobiles, de Cloud public et privé, distribués et mainframe. Pour en savoir plus, rendez-vous sur ca.com/fr. Copyright 2014 CA. Tous droits réservés. Tous les noms et marques déposées, dénominations commerciales, ainsi que tous les logos référencés dans le présent document demeurent la propriété de leurs détenteurs respectifs. Ce document est uniquement fourni à titre d information. CA décline toute responsabilité quant à l exactitude ou l exhaustivité des informations qu il contient. Dans les limites permises par la loi applicable, CA fournit le présent document «tel quel», sans garantie d aucune sorte, expresse ou tacite, notamment concernant la qualité marchande, l adéquation à un besoin particulier ou l absence de contrefaçon. En aucun cas, CA ne pourra être tenu pour responsable en cas de perte ou de dommage, direct ou indirect, résultant de l utilisation de ce document, notamment la perte de profits, l interruption de l activité professionnelle, la perte de clientèle ou la perte de données, et ce même dans l hypothèse où CA aurait été expressément informé de la survenance possible de tels dommages. Les informations et résultats illustrés ici reposent sur l expérience de l intervenant dans l utilisation des logiciels cités, dans une multitude d environnements (qu il s agisse ou non d environnements de production). Les performances passées de ces logiciels dans ces environnements ne constituent pas nécessairement une indication de leurs performances futures dans des environnements identiques, similaires ou différents. CS