Die 5 Säulen des APIManagements

Transkript

1 Die 5 Säulen des APIManagements

2 Einführung: Managen des neuen offenen Unternehmens Die Chancen der API-orientierten Wirtschaft In dem Maße, in dem Unternehmen ihre On-Premise-Daten und -Anwendungsfunktionen für Partnerunternehmen, das Internet, mobile Anwendungen, intelligente Geräte und die Cloud zugänglich machen, verschwimmen branchenübergreifend die Grenzen des traditionellen Unternehmens. Die Grundlage dieses neuen, offenen Unternehmens sind APIs (Anwendungsprogrammierschnittstellen), denn damit können Unternehmen die vorhandenen Informationen unternehmensübergreifend für mehrere Zwecke auf einmal nutzen. Die Probleme der sicheren, überschaubaren API-Bereitstellung lösen Mithilfe von APIs lassen sich IT-Systeme unkompliziert einer neuen Verwendung zuordnen, bestehende Angebote um Mehrwert erweitern und neue Umsatzquellen erschließen. Es dürfte jedoch wenig überraschen, dass es auch eine Reihe neuer Probleme bei Security und Management mit sich bringt, wenn On-Premise-Systeme mit APIs zugänglich gemacht werden. Der Begriff API-Management bezeichnet eine Reihe von Prozessen und Technologien, die in den letzten Jahren entwickelt wurden, um Unternehmen bei der Lösung dieser Probleme zu unterstützen. Lösungen für das API-Management zielen darauf ab, dass auch Unternehmen mit höchsten Security-Ansprüchen Partnerunternehmen, Drittanbietern im Entwicklungsbereich, mobilen Anwendungen und Cloud-Services ihre Informationen unkompliziert zugänglich machen können, ohne dass dadurch der Datenschutz oder die Performance der Back-End-Systeme geschmälert werden. Komplettlösungen für das API-Management umfassen auch Funktionen für das Management der Entwickler von Anwendungen, die auf Unternehmens-APIs basieren. 02

3 Überblick: Die 5 Säulen des API-Managements Unternehmensdaten und -funktionen in API-geeigneten Formaten verfügbar machen Komplexe On-Premise-Anwendungsservices in entwicklerfreundliche RESTful-APIs umwandeln Über APIs verfügbar gemachte Informationen vor Missbrauch schützen Unternehmenssysteme vor Message-Level-Angriffen und Hijacking schützen Sicheren und nahtlosen Zugriff für gültige Identitäten zulassen Funktionen für strenge Access Control, Identity Federation und Anmeldung über soziale Medien bereitstellen Systemperformance optimieren und API-Lebenszyklus verwalten Die Verfügbarkeit von Back-End-Systemen für APIs, Anwendungen und End User aufrechterhalten Entwickler einbinden, onboarden, schulen und managen Entwicklern die Ressourcen bereitstellen, die sie zur Entwicklung von Anwendungen mit echtem Nutzen benötigen 03

4 Unternehmensdaten und -funktionen in API-geeigneten Formaten verfügbar machen Komplexe On-Premise-Anwendungsservices in entwicklerfreundliche RESTful-APIs umwandeln WAS WARUM WIE Unternehmensdaten und -anwendungen bilden meist ein komplexes Konglomerat aus Standards, Protokollen, Sprachen und Dateiformaten. Die erste Stufe des API-Managements besteht darin, diese heterogenen Informationen in einem Format bereitzustellen, das für Entwickler verständlich und nutzbar ist. Üblicherweise impliziert dies, Anwendungsprogrammierschnittstellen mit REST-Protokoll bereitzustellen ( RESTful-APIs ). On-Premise-Systeme hängen üblicherweise von Anwendungsservices in proprietären Formaten ab, die zu umständlich sind, um effizient über das Internet oder mobile Anwendungen zu funktionieren. Anwendungsservices für die verbreitete SOA (Service Oriented Architecture) verwenden meist das SOAP-Protokoll, während Internetund Mobilentwickler mit REST arbeiten. Werden APIs nicht in einem Format bereitgestellt, das interne Entwickler und Drittanbieter direkt verwenden können, erschwert dies erheblich die Entwicklung wirklich nutzbringender neuer Anwendungen. Effektive Lösungen für das API- Management umfassen Funktionen für die Bereitstellung von Legacy- Unternehmensservices als RESTful-APIs. Dafür wird meist ein SOA- oder API-Gateway verwendet, das die Daten der SOAP-basierten Dienste automatisch in RESTful-APIs umwandelt. Um wirklich effektiv zu sein, muss das Gateway die effiziente Erstellung von RESTful-APIs aus Mash-ups mehrerer bestehender Anwendungsservices ermöglichen. Weitere Informationen: API Tech Talk: Simplifying REST Adaptation. 04

5 Über APIs verfügbar gemachte Informationen vor Missbrauch schützen Unternehmenssysteme vor Message-Level-Angriffen und Hijacking schützen WAS WARUM WIE Öffnen Unternehmen ihre Informationen für die Verwendung in neuen Anwendungen, setzen sie ihre Assets vielen allgemeinen Security-Bedrohungen im Internet aus (z. B. Viren, DoS-Angriffe). APIs bringen außerdem eine Reihe besonderer neuer Security- Bedrohungen mit sich, die die bisherigen Probleme mit dem Internet übersteigen. Die wichtigste Funktion beim API- Management ist die Erstellung einer Security-Ebene, die verhindert, dass Hacker auf die verfügbar gemachten Systeme zugreifen und diese missbrauchen oder angreifen können. APIs sind Fenster zu Anwendungen und Daten, die Hacker potenziell Einblick in das Innenleben von Unternehmenssystemen und Zugang dazu verschaffen können. Damit erhalten Hacker die Möglichkeit, vertrauliche Daten zu entwenden, öffentliche Schnittstellen zu unlauteren Zwecken zu hijacken oder geschäftskritische Systeme außer Betrieb zu setzen. Konventionelle Online-Security- Lösungen für das Internet beugen nicht allen potenziellen Gefahren vor, die durch die API-Bereitstellung entstehen. Daher müssen für APIs eigene Security- Verfahren eingeführt werden. Die wichtigste Aufgabe des erwähnten API-Gateways ist die Prüfung und Filterung des gesamten API- Datenverkehrs, damit bestehende und neue Bedrohungen erkannt und unschädlich gemacht werden. Ein wirklich effektives Gateway ist für besondere Message-Level-API- Bedrohungen wie SQL Injection, Denialof-Service-Angriffe und Viren konzipiert und zertifiziert. Die Security-Funktionen des Gateways und die Gefahrenprofile müssen sich unkompliziert aktualisieren lassen, damit neue Gefahrenarten sofort bei Auftreten bekämpft werden können. Weitere Informationen: White Paper: Schutz Ihrer APIs vor Angriffen und Übernahmen. 05

6 Sicheren und nahtlosen Zugriff für gültige Identitäten zulassen Funktionen für strenge Access Control, Identity Federation und Anmeldung über soziale Medien bereitstellen WAS WARUM WIE Unternehmen, die ihre APIs umfassend vor Angriffen schützen möchten, müssen Entwicklern ein Framework an die Hand geben, über das sich der benutzerseitige Zugriff auf Unternehmensassets über diese APIs steuern lässt. Dieses Framework muss wesentliche Identity and Access Management- Standards (IAM) wie OAuth nutzen, um Back-End-Security und End User Experience miteinander in Einklang zu bringen. Für eine optimale Abstimmung muss das Framework die bestehende IAM-Infrastruktur nutzen können und End Usern den Zugriff über unternehmensseitiges Single Sign-On (SSO) oder die Anmeldung über soziale Medien erlauben. Der Grundpfeiler der API Security heißt Access Control, und der Schlüssel liegt darin, unbefugte Benutzer daran zu hindern, auf Unternehmensassets auf Ebenen zuzugreifen, für die sie keine Berechtigung besitzen. OAuth eignet sich dafür besonders gut, da es Herausgebern erlaubt, entsprechende Security-Ebenen zu implementieren und für eine Identity Federation aus bestehenden IAM- Systemen und Accounts in sozialen Medien zu sorgen. Wird die bestehende IAM-Infrastruktur genutzt, lassen sich außerdem Kosten sparen, die Einrichtungszeit verkürzen und die Verwaltbarkeit langfristig maximieren, da die Entstehung von Identity Silos verhindert wird. Ein API-Gateway muss sofort einsatzfähige Funktionen für die Erstellung einer API-bezogenen Access Control-Infrastruktur anhand wichtiger Standards und der vorhandenen Ressourcen umfassen. Das Gateway muss sich nahtlos in führende IAM-Systeme wie CA SiteMinder, Oracle Access Manager, Microsoft Active Directory und IBM Tivoli integrieren lassen. Außerdem muss es konfigurierbare Vorlagen für typische Anwendungsfälle bieten, anhand derer sich Access Control, Single Sign-On und Anmeldung über soziale Medien auf Basis von OAuth und anderen wichtigen Standards implementieren lassen. Weitere Informationen: EBook: OAuth die fünf wichtigsten Aspekte für API Access Control. 06

7 Verbesserte Systemperformance und Management des API-Lebenszyklus Die Verfügbarkeit von Back-End-Systemen für APIs, Anwendungen und End User aufrechterhalten WAS WARUM WIE Der API-Datenverkehr muss auf effiziente Weise verwaltet werden, damit API-basierte Anwendungen einwandfrei funktionieren und die Performance der Back-End-Systeme nicht beeinträchtigt wird. Daten aus den Back-End-Systemen müssen in ressourcenschonenden Formaten bereitgestellt, für Nutzungsmuster optimiert und richtig gefiltert werden. Damit Anwendungen auf lange Sicht funktionieren, muss außerdem der API-Lebenszyklus in allen Phasen Entwicklung, Testing und Produktion präzise gemanagt werden. Die Einführung von Internet- und Mobilanwendungen, die Back- End-Systeme nutzen, kann zu einem plötzlich stark wachsenden IT-Datenverkehr und so zu Abstürzen und Nichtverfügbarkeit führen. Der API-Datenverkehrsfluss muss daher optimiert werden, um eine gleichbleibend überzeugende User Experience für Entwickler und Benutzer API-abhängiger Anwendungen und interne Benutzer gleichermaßen zu erreichen. Bei der Verwaltung des API- Lebenszyklus muss unbedingt sichergestellt werden, dass bestehende Anwendungen bei Updates von APIs, Clients und Betriebssystemen nicht ausfallen. Ein API-Gateway muss sofort einsatzfähige Funktionen für die Erstellung einer API-bezogenen Access Control-Infrastruktur anhand wichtiger Standards und der vorhandenen Ressourcen umfassen. Das Gateway muss sich nahtlos in führende IAM-Systeme wie CA SiteMinder, Oracle Access Manager, Microsoft Active Directory und IBM Tivoli integrieren lassen. Außerdem muss es konfigurierbare Vorlagen für typische Anwendungsfälle bieten, anhand derer sich Access Control, Single Sign-On und Anmeldung über soziale Medien auf Basis von OAuth und anderen wichtigen Standards implementieren lassen. 07

8 Entwickler einbinden, onboarden, schulen und managen Entwicklern die Ressourcen bereitstellen, die sie zur Entwicklung von Anwendungen mit echtem Nutzen benötigen WAS WARUM WIE Der eigentliche Nutzen von Unternehmens-APIs wird zu einem großen Teil von den Entwicklern erbracht, die anhand von APIs Internet- und Mobilanwendungen und neue Unternehmenssysteme erstellen. Entwickler müssen unbedingt mit den Tools und Mitteln ausgestattet werden, die sie benötigen, um anhand der Unternehmens-APIs Anwendungen ausfindig zu machen, zu verstehen, zu testen und zu entwickeln. Als Entwickler kommen interne Mitarbeiter, Partner, Auftragnehmer und unabhängige Nischenentwickler infrage. Jede Gruppe benötigt eine besondere, auf ihre Erfordernisse zugeschnittene Ressourcenkombination. Entwickler sind der Kern jeder API- Bereitstellungsstrategie. API-Herausgeber brauchen Entwickler, um Anwendungen zu erstellen, die Mitarbeiter, Partner und Kunden auch tatsächlich nutzbringend verwenden können. Damit Entwickler wirklich nützliche Anwendungen erstellen, müssen API- Herausgeber talentierte Entwickler anwerben und ihnen die Tools an die Hand geben können, die für die Nutzung der APIs vonnöten sind. Je stärker die vom API-Herausgeber bereitgestellten Tools die Entwickler einbinden und mit ihnen interagieren, um sie zu befähigen und zu schulen, desto nützlicher sind die Anwendungen, die diese Entwickler erstellen. Die effektivste Art, interne wie externe Entwickler einzubinden und zu schulen, ist ein interaktives, markenbasiertes Onlineportal. Entwickler können sich über dieses Portal bequem für APIs registrieren und so auf interaktive Dokumentationen, Musteranwendungen, Beispielcodes, Testing Tools und Diskussionsforen zugreifen. Effektive Lösungen für das API- Management umfassen Funktionen, mit denen sich unkompliziert ein bereits in das API-Gateway integriertes Entwicklerportal mit vollem Funktionsumfang einrichten lässt. 08

9 Fazit: Bereitstellung einer Komplettlösung für das API-Management Internet-, Mobil- und Cloud-Technologien werden in der Geschäftswelt immer wichtiger. Der Schlüssel zu solchen intelligenten Unternehmen ist die API. Um den Nutzen von APIs voll ausschöpfen zu können und die Tücken der Verfügbarmachung von Unternehmenssystemen zu vermeiden, müssen Technologien bereitgestellt werden, die zentrale Prozesse des API-Managements für Servicezusammenstellung, Security, Performanceoptimierung, Lebenszyklusmanagement und die Einbindung von Entwicklern ermöglichen und vereinfachen. Die CA API Management-Suite für das API-Management stellt alle Komponenten bereit, die für ein effektives API-Management auf Unternehmensebene benötigt werden, darunter eine Reihe von API-Gateways, die sämtliche zentrale Prozesse für API Security und -Management vereinfachen. Des Weiteren umfasst die CA Management-Suite ein API-Portal für die Einbindung und das Management von Entwicklern sowie ein OAuth-Toolkit, über das ein sicheres, standardbasiertes Zugriffsmanagement für Unternehmens-APIs ermöglicht wird. Die API-Management-Suite bietet außerdem Folgendes: Möglichkeit zur On-Premise- und Cloud-basierten sowie hybriden Bereitstellung hohe Security für Daten und Anwendungen API-Nutzungsanalyse umfassendes Operations Management für verteilte Rechenzentren und Clouds Management von Anwendungsanpassungen und -schnittstellen über fortschrittliche SOA-Konnektivität 09

10 Über die CA API Management-Suite Die API-Wirtschaft wächst exponentiell, Mobile Devices finden immer stärkere Verbreitung am Arbeitsplatz, und große Unternehmen lagern ihre IT-Infrastruktur in die Cloud aus. Damit besteht ein Bedarf an Technologien, die externe Entwickler, mobile Anwendungen und Cloud-Services sicher einbinden. CA Technologies steht an der Spitze dieses hoch dynamischen Marktes. Die branchenführenden Gatewayprodukte von CA Technologies erleichtern Unternehmen die gemeinsame Nutzung von Daten mit Kunden, mobilen Anwendungen und Cloud-Services. Unsere Produkte sind als Netzwerk-Hardwaregeräte, virtuelle Geräte und als Software verfügbar und erleichtern es großen Unternehmen, sich für das Internet, mobile Netzwerke und die Cloud zu öffnen, ohne Security oder Performance zu gefährden. Im Februar 2013 wurde CA API Gateway von der führenden Analystenfirma Forrester Research in ihrem Bericht The Forrester Wave: API Management Platforms als Spitzenprodukt für das API-Management ausgezeichnet. 1 Die CA API Management-Suite ist eine Kernkomponente der Lösungen, die CA Technologies für Unternehmen bereitstellt, die komplexe IT-Umgebungen zur Unterstützung agiler Geschäftsprozesse schützen und verwalten müssen. Weitere Informationen finden Sie unter ca.com/de/api. 1 Forrester Research, Inc., The Forrester Wave: API Management Platforms, Q1 2013, 5. Februar 2013 CA Technologies (NASDAQ: CA) entwickelt Software, die Unternehmen bei der Umstellung auf die Application Economy unterstützt. Software steht im Mittelpunkt jedes Unternehmens in allen Branchen. Von der Planung über die Entwicklung bis zum Management und der Security CA Technologies arbeitet weltweit mit Unternehmen zusammen, um die Art, wie wir leben, Transaktionen durchführen und kommunizieren, mit zu verändern, ganz gleich, ob in mobilen, privaten und öffentlichen Cloud-Umgebungen oder in verteilten Systemen und Mainframe-Umgebungen. Weitere Informationen finden Sie unter ca.com/de. Copyright 2014 CA. Alle Rechte vorbehalten. Alle Markenzeichen, Markennamen, Dienstleistungsmarken und Logos, auf die hier verwiesen wird, sind Eigentum der jeweiligen Unternehmen. Dieses Dokument dient ausschließlich zu Informationszwecken. CA übernimmt für die Genauigkeit oder Vollständigkeit der Informationen keine Haftung. Soweit nach anwendbarem Recht erlaubt, stellt CA dieses Dokument im vorliegenden Zustand ohne jegliche Gewährleistung zur Verfügung; dazu gehören insbesondere stillschweigende Gewährleistungen der Markttauglichkeit, der Eignung für einen bestimmten Zweck und der Nichtverletzung von Rechten Dritter. In keinem Fall haftet CA für Verluste oder unmittelbare oder mittelbare Schäden, die aus der Verwendung dieses Dokuments entstehen; dazu gehören insbesondere entgangene Gewinne, Betriebsunterbrechung, Verlust von Goodwill oder Datenverlust, selbst wenn CA über die Möglichkeit solcher Schäden informiert wurde. Die hier veranschaulichten Informationen und Ergebnisse basieren auf den Erfahrungen des Redners mit dem genannten Softwareprodukt in einer Reihe von Umgebungen, von denen einige möglicherweise Produktionsumgebungen sind und andere nicht. Die bisherige Performance der Softwareprodukte in diesen Umgebungen ist nicht unbedingt maßgeblich für die künftige Performance solcher Softwareprodukte in identischen, ähnlichen oder anderen Umgebungen. CS