5 pilares de la gestión de API con CA Layer 7

Transcripción

1

2 Introducción: Gestión de la nueva empresa abierta Materialización de las oportunidades de la economía de API En los sectores industriales, los límites de la empresa tradicional están desapareciendo, pues las organizaciones están ampliando las funcionalidades de aplicaciones y datos in situ a las organizaciones asociadas, la Web, las aplicaciones móviles, los dispositivos móviles y la nube. Las API (interfaces de programación de aplicaciones) forman la base de este nuevo tipo de empresas abiertas, lo que les permite reutilizar sus activos de información existentes salvando todos los límites organizativos. Superación de los desafíos de una publicación de API segura y fácil de manejar Las API capacitan a las empresas para readaptar rápidamente los sistemas de TI, agregar valor a la oferta existente y desplegar nuevos flujos de ingresos. No obstante, no es de extrañar que la exposición de sistemas in situ a través de las API pueda entrañar también una serie de nuevos desafíos de seguridad y gestión. El concepto gestión de API hace referencia a un conjunto de procesos y tecnologías surgidos en los últimos años con el fin de ayudar a las empresas a superar estos desafíos. 2

3 Las soluciones de gestión de API pretenden simplificar, incluso a las organizaciones más preocupadas por la seguridad, la ampliación de sus activos de información para el uso por parte de organizaciones asociadas, desarrolladores externos, aplicaciones móviles y servicios en la nube, sin que ello afecte a la seguridad de los datos ni al rendimiento de los sistemas backend. Las completas soluciones de gestión de API proporcionan además funcionalidades para la gestión de los desarrolladores de aplicaciones que utilizan las API de la empresa. 3

4 Descripción general: 5 pilares de la gestión de API Exposición de los datos y funcionalidades de la empresa en formatos aptos para API Protección de los activos de información expuestos a través de API para prevenir un uso indebido Autorización del acceso seguro y sin problemas para identidades válidas Convertir los complejos servicios de aplicaciones in situ en API RESTful aptas para los desarrolladores Garantizar que los sistemas de la empresa están protegidos frente a ataques y apropiaciones indebidas en mensajes Implementar un sólido control de acceso, la federación de identidades y la funcionalidad de inicio de sesión en redes sociales Optimización del rendimiento de los sistemas y gestión del ciclo de vida de las API Interacción, incorporación, educación y gestión de los desarrolladores Mantener la disponibilidad de los sistemas backend para API, aplicaciones y usuarios finales Proporcionar a los desarrolladores los recursos que necesitan para crear aplicaciones que otorguen un valor auténtico 4

5 Exposición de los datos y funcionalidades de la empresa en formatos aptos para API Convertir los complejos servicios de aplicaciones in situ en API RESTful aptas para los desarrolladores Los datos y aplicaciones de las empresas suelen estar formados por una compleja web de estándares, protocolos, lenguajes de programación y formatos de archivos. Qué La primera fase de la gestión de API presenta diversos activos de información en un formato que los desarrolladores pueden comprender y aprovechar. Normalmente, esto implica la publicación de interfaces de programación de aplicaciones que emplean el protocolo REST ( API RESTful ). 5

6 Los sistemas in situ dependen habitualmente de servicios de aplicaciones prestados en formatos patentados demasiado detallados como para funcionar de forma eficaz a través de la Web o las aplicaciones móviles. Por qué Los servicios de aplicaciones asociados con el habitual estilo de arquitectura orientada a servicios (SOA) emplean, generalmente, el protocolo SOAP, mientras que los desarrolladores Web y de dispositivos móviles confían en REST. Si las API no se entregan en un formato que los desarrolladores internos y externos puedan aprovechar fácilmente, estas no facilitarán la creación de ninguna nueva aplicación realmente valiosa. 6

7 Las soluciones de gestión de API más eficaces incluyen funcionalidades para presentar servicios empresariales heredados como API RESTful. Cómo Normalmente, esto implica el uso de la arquitectura orientada a servicios o de la puerta de enlace de API para convertir automáticamente los datos de los servicios basados en SOAP a las API RESTful. Para ser plenamente eficaz, la puerta de enlace debe facilitar la composición de manera eficiente de las API RESTful a partir de recopilaciones de varios servicios de aplicaciones existentes. Más información API Tech Talk: Simplifying REST Adaptation api.co/restadaptation 7

8 Protección de los activos de información expuestos a través de API para prevenir un uso indebido Garantizar que los sistemas de la empresa están protegidos frente a ataques y apropiaciones indebidas en mensajes Qué La ampliación de los activos de información de las empresas para su uso en nuevas aplicaciones los expone a muchas de las amenazas de seguridad que plagan la Web (por ejemplo, virus o ataques de denegación del servicio). Además, las API entrañan una serie de nuevos y exclusivos desafíos de seguridad que van más allá de aquellos a los que las empresas están acostumbradas a tratar en la Web. Quizás la función más esencial de la gestión de API es la creación de una capa de seguridad que garantice que los piratas informáticos no puedan acceder, hacer uso indebido ni atacar los sistemas expuestos. 8

9 Las API son ventanas a las aplicaciones y los datos, lo que, posiblemente, otorga a los piratas informáticos una visión de los trabajos internos de los sistemas empresariales y una vía de acceso a estos. Por qué Esto aumenta las posibilidades de que los piratas informáticos puedan robar información confidencial, apropiarse de interfaces públicas con fines ilícitos o bloquear sistemas importantes. Las soluciones de seguridad en línea convencionales diseñadas para la Web no cubren todas las amenazas posibles originadas a partir de la publicación de las API, por lo que debe implementarse una seguridad de API específica. 9

10 Probablemente, la función principal del tipo de puerta de enlace de API mencionado antes sea la inspección y filtrado de todo el tráfico de las API, con el fin de identificar y neutralizar después las amenazas actuales y las emergentes. Cómo Para que sea eficaz, la puerta de enlace debe diseñarse y certificarse para resolver las amenazas en los mensajes y las específicas de API, por ejemplo, la inyección de código SQL, los ataques de denegación del servicio y los virus. Los perfiles de amenazas y funcionalidades de seguridad de la puerta de enlace también deben poder actualizarse fácilmente con el fin de resolver los nuevos tipos de amenazas a medida que surjan. Más información Libro blanco: Protección de sus API frente a ataques y apropiaciones indebidas api.co/apisecurity 10

11 Autorización del acceso seguro y sin problemas para identidades válidas Implementar un sólido control de acceso, la federación de identidades y la funcionalidad de inicio de sesión en redes sociales Cualquier empresa que quiera asegurar totalmente sus API frente a posibles ataques debe proporcionar a los desarrolladores un marco de trabajo que les permita controlar cómo acceden los usuarios a los activos de la empresa a través de dichas API. Qué Este marco de trabajo debe tratar de equilibrar la seguridad backend y la experiencia del usuario final mediante el aprovechamiento de los principales estándares de gestión de identidades y accesos (IAM), por ejemplo, OAuth. Para lograr un mejor equilibrio, el marco de trabajo debe poder utilizar la infraestructura de IAM existente y permitir a los usuarios el acceso a través del inicio de sesión único (SSO) de la empresa o del inicio de sesión en las redes sociales. 11

12 El control de acceso es la piedra angular de la seguridad de las API. La clave está en evitar que usuarios no autorizados obtengan niveles de acceso inadecuados a los activos de la empresa. Por qué OAuth es especialmente útil en este sentido, ya que permite a los editores implementar de forma flexible los niveles de seguridad pertinentes y federar las identidades de los sistemas de IAM existentes y de las cuentas de redes sociales. El aprovechamiento de las infraestructuras de IAM existentes reduce también los costes, disminuye el tiempo de configuración y maximiza la capacidad de gestión a largo plazo, evitando así la creación de unidades aisladas de identidades. 12

13 Una puerta de enlace de API debe incluir funcionalidades listas para usar diseñadas con el fin de crear una infraestructura de control de acceso centrada en API mediante estándares clave y recursos existentes. Cómo La puerta de enlace debería poder integrarse a la perfección con los principales sistemas de IAM como CA SiteMinder, Oracle Access Manager, Microsoft Active Directory e IBM Tivoli. Asimismo, debería incluir plantillas configurables para la implementación del control de acceso, de SSO y de inicio de sesión en redes sociales en casos de uso típicos, según OAuth y otros estándares importantes. Más información Libro electrónico: 5 OAuth Essentials for API Access Control api.co/oauthebook 13

14 Optimización del rendimiento de los sistemas y gestión del ciclo de vida de las API Mantener la disponibilidad de los sistemas backend para API, aplicaciones y usuarios finales El tráfico de las API debe tratarse de manera eficiente con el fin de asegurar que las aplicaciones creadas en API funcionan de forma homogénea y que el rendimiento de los sistemas backend no se ve comprometido. Qué Los datos de los sistemas backend deben presentarse en formatos ligeros, optimizados para patrones de uso y filtrados convenientemente. Para garantizar la viabilidad de la aplicación a largo plazo, también es necesario gestionar con cuidado el ciclo de vida de las API mientras pasan por las fases de desarrollo, pruebas y producción. 14

15 La introducción de aplicaciones web y móviles que aprovechan los sistemas backend puede conllevar un repentino aumento del tráfico de TI, lo que provoca bloqueos y la consiguiente falta de disponibilidad. Por qué Es fundamental optimizar el flujo del tráfico de las API con el fin de asegurar una satisfactoria y homogénea experiencia de usuario a los desarrolladores, a los usuarios de las aplicaciones que dependen de API, así como a los usuarios internos. Al mismo tiempo, la gestión del ciclo de vida de las API es crucial para asegurar que las aplicaciones existentes no fallan cuando se actualizan las API, clientes y sistemas operativos. 15

16 Una puerta de enlace de API debe incluir funcionalidades listas para usar diseñadas con el fin de crear una infraestructura de control de acceso centrada en API mediante estándares clave y recursos existentes. Cómo La puerta de enlace debería poder integrarse a la perfección con los principales sistemas de IAM como CA SiteMinder, Oracle Access Manager, Microsoft Active Directory e IBM Tivoli. Asimismo, debería incluir plantillas configurables para la implementación del control de acceso, de SSO y de inicio de sesión en redes sociales en casos de uso típicos, según OAuth y otros estándares importantes. Más información API Tech Talk: Caching & API Optimization api.co/apioptimization 16

17 Interacción, incorporación, educación y gestión de los desarrolladores Proporcionar a los desarrolladores los recursos que necesitan para crear aplicaciones que otorguen un valor auténtico La mayor parte del auténtico valor de las API de una organización proviene de los desarrolladores que crean aplicaciones web y móviles, o de los nuevos sistemas empresariales basados en estas API. Qué Es fundamental dirigirse a los desarrolladores con las herramientas y materiales que necesitan para descubrir, aprender, probar y crear aplicaciones basadas en las API de la organización. Estos desarrolladores pueden ser empleados internos, partners, contratistas o desarrolladores independientes de larga cola. Cada grupo requerirá un conjunto concreto de recursos adaptados a sus necesidades. 17

18 Los desarrolladores son una parte esencial de cualquier estrategia de publicación de API. Los editores de API necesitan desarrolladores para crear aplicaciones que los empleados, partners y clientes puedan utilizar realmente y de las que puedan beneficiarse. Por qué Para lograr que los desarrolladores creen aplicaciones de auténtico valor, los editores deben ser capaces de atraer a desarrolladores con talento y proporcionarles las herramientas que necesitan con el fin de sacar partido a las API. Cuanto más atractivas e interactivas sean las herramientas proporcionadas por el editor de API para capacitar y formar a los desarrolladores, más útiles serán las aplicaciones creadas por estos. 18

19 Tanto para los desarrolladores internos como externos, la forma más eficaz de interactuar con los desarrolladores y formarlos es mediante un portal en línea interactivo de marca. Cómo Este portal debe facilitar a los desarrolladores el registro para consultar las API y el acceso a documentación interactiva, aplicaciones de muestra, ejemplos de código, herramientas de comprobación y foros de debate. Las eficaces soluciones de gestión de API incluyen funcionalidades que simplifican la creación de un completo portal de desarrolladores, preintegrado en la puerta de enlace de API. Más información Seminario web: Developers, Developers, Developers Why API Management Should be Important to You api.co/devmanagement 19

20 Conclusión: Implementación de una solución completa para la gestión de API Al igual que las tecnologías web, móviles y de la nube se están volviendo cada vez más esenciales en cómo se ocupa el mundo de los negocios, las API, por su parte, también se están convirtiendo en un elemento clave para las empresas inteligentes. Para apreciar realmente el valor de las API y evitar los obstáculos derivados de la exposición de los sistemas empresariales, es fundamental implementar una tecnología que capacite y simplifique los principales procesos de gestión de API relacionados con la composición de servicios, la seguridad, la optimización del rendimiento, la gestión del ciclo de vida y la interacción con los desarrolladores. El paquete de gestión de API de CA Layer 7 proporciona todos los componentes necesarios para una eficaz gestión de API en la empresa, incluida una gran variedad de puertas de enlace de API diseñadas con el fin de simplificar todos los procesos de gestión y seguridad de API importantes. El paquete de gestión de API incluye también un portal API para atraer y gestionar a los desarrolladores, y un conjunto de herramientas de OAuth que garantice una gestión de acceso segura y basada en estándares a las API de las empresas. Además, el paquete de gestión de API ofrece los siguientes elementos: Una selección de implementaciones in situ, en la nube o híbridas Seguridad de aplicaciones y datos de grado militar Análisis sobre el uso de API Gestión de operaciones que puede abarcar los centros de datos y las nubes distribuidos Adaptación de aplicaciones y gestión de interfaces con conectividad de SOA avanzada 20

21 Acerca de CA Layer 7 La economía de API está ganando popularidad, los dispositivos móviles están proliferando en las áreas de trabajo y las grandes organizaciones están trasladando infraestructura de TI fundamental a la nube. Todo ello está generando a su vez la necesidad de introducir tecnologías capaces de conectar de forma segura con los desarrolladores externos, las aplicaciones móviles y los servicios en la nube. CA Layer 7 se sitúa a la vanguardia en este novedoso mercado. En febrero de 2013, CA Layer 7 fue reconocida como líder en el espacio de gestión de API por la empresa analista Forrester Research, en su informe The Forrester Wave: API Management Platforms. En junio de 2013, CA Technologies adquirió Layer 7, que proporciona soluciones a empresas que necesitan proteger y gestionar complejos entornos de TI para dar soporte a servicios de negocios ágiles. Más información Hoja de datos: Paquete de gestión de API de CA Layer 7 api.co/mgmtsuite Los productos de puerta de enlace de CA Layer 7 líderes del sector facilitan a las empresas el uso compartido de datos con los clientes, las aplicaciones móviles y los servicios en la nube. Nuestros productos, presentados como aplicaciones de hardware de trabajo en red, aplicaciones virtuales o software, están ayudando a las grandes organizaciones a ampliarse a la Web, a las redes móviles y a la nube, sin poner en peligro la seguridad ni el rendimiento. 21

22 CA Technologies (NASDAQ: CA) proporciona soluciones de gestión de TI que ayudan a los clientes a gestionar y proteger entornos de TI complejos para dar soporte a servicios de negocio ágiles. Las organizaciones utilizan el software y las soluciones de SaaS de CA Technologies para acelerar la innovación, transformar infraestructuras y proteger datos e identidades desde el centro de datos hasta la nube. Copyright 2014 CA. Todos los derechos reservados. Todas las marcas, nombres comerciales, logotipos y marcas de servicio a los que se hace referencia en este documento pertenecen a sus respectivas empresas. El propósito de este documento es meramente informativo. CA no se responsabiliza de la precisión e integridad de la información. En la medida de lo permitido por la ley vigente, CA proporciona este documento tal cual, sin garantía de ningún tipo, incluidas, a título enunciativo y no taxativo, las garantías implícitas de comerciabilidad, adecuación a un fin específico o no incumplimiento. CA no responderá en ningún caso en los supuestos de demandas por pérdidas o daños, directos o indirectos, que se deriven del uso de esta documentación, incluidas, a título enunciativo y no taxativo, la pérdida de beneficios, la interrupción de la actividad empresarial, la pérdida del fondo de comercio o la fuga de datos, incluso cuando CA hubiera podido ser advertida con antelación y expresamente de la posibilidad de dichos daños.