• Share via AddThis

LÖSUNGSÜBERSICHT

Bewährte Praktiken und Lösungen für die API-Verwaltung

Mit den schnellen, sicheren und skalierbaren API-Gateway- und -Verwaltungslösungen von F5 behalten Entwickler stets die Kontrolle.

Abbildung zu API-Verwaltungslösungen

APIs sind ein grundlegender Baustein für die Entwicklung von cloudnativen und containerisierten Anwendungen. Indem sie es operativen Teams ermöglichen, gemeinsam zu arbeiten, können APIs die Markteinführungszeit für die Anwendungsentwicklung verkürzen und Ihnen helfen, ein besseres Benutzererlebnis als Ihre Konkurrenten zu schaffen. Andererseits hat die Verwendung von APIs zur Dezentralisierung der Anwendungsstruktur geführt. Dies macht die Entwicklung, Veröffentlichung und Verwaltung von APIs schwieriger, was wiederum eine komplexe und risikobehaftete verwaltungstechnische Herausforderung darstellt. Ohne automatisierte und leistungsstarke Datenverkehrs- und Richtlinienkontrollen bremsen das Wachstum und die Komplexität der APIs die Agilität der Entwickler.

F5 bietet eine umfassende Lösung zur sicheren Verwaltung von APIs mit einer einfachen, schnellen und skalierbaren Architektur in jedem Rechenzentrum bzw. jeder Cloud. Dies trägt dazu bei, die Markteinführungszeit zu verkürzen, indem APIs automatisiert bereitgestellt und verwaltet werden können und gleichzeitig ein Schutz vor API-spezifischen Bedrohungen besteht. F5 bietet eine cloudnative API-Verwaltung, hochleistungsfähige API-Gateways und Sicherheitskontrollen im Rahmen einer einzigen Lösung und reduziert so die Überhandnahme von Tools und die Komplexität der Architekturen.

Wichtige Vorteile

API-orientierte Sicherheit

Schutz vor allgemeinen und erweiterten API-spezifischen Sicherheitslücken, wie ihn API-Gateways nicht bieten können

Cloudnative API-Architekturen für Microservices

Nahtlose Integration in praktisch jedes Bereitstellungsdesign und jede Architektur: Edgeproxy, Kubernetes, Eingangs-Gateways, serverlos usw.

Integrierte Lösungen für die Bereitstellung von APIs

Verbesserte betriebliche Effizienz mit integrierten Sicherheitslösungen und Gateways

DevOps-/AppDev-freundlich

Sicherheits-, Automatisierungs- und Konfigurationsverwaltungslösungen so agil wie Ihre DevOps-Teams; damit einhergehende Beschleunigung der Markteinführung bei geringeren Kosten

Die Herausforderungen der API-Verwaltung im Unternehmen

Die Anwendungsentwicklung schreitet voran und Innovationen verändern kontinuierlich die Form unserer Interaktionen. Aufgrund der mit verteilten Containern verbundenen Komplexität trifft das Streben nach Geschwindigkeit manchmal auf Widerstände bei der API-Verwaltung und der Durchsetzung von Sicherheits- und Infrastrukturkontrollen. Der Umstand, dass APIs in zunehmendem Maße für den Datenaustausch zwischen Microservices genutzt werden, führt leider zu potenziellen Sicherheitslücken, die die Preisgabe sensibler Daten nach sich ziehen können. Dies bedeutet, dass alle API-Endpunkte zumindest ein Mindestmaß an Risikostandardisierung, Konfigurationen und Richtlinienumsetzung aufweisen sollten. Da jedoch durch die automatisierte API-Veröffentlichung die herkömmlichen Elemente der Benutzerinteraktion und -kontrolle wegfallen, werden APIs durch dieselben Trends, die sie wertvoller machen, auch anfälliger.

Den meisten API-Gateways mangelt es an angemessenen Kontrollen für eine Verwaltung in großem Maßstab

API-Gateways sind in der Regel dafür ausgelegt, dass die Veröffentlichung von APIs auf einer Plattform oder in Microservice-Clustern verwaltet wird. Benutzerfreundlichkeit und Automatisierung sind die Hauptgründe für ihre Akzeptanz, da es schwierig ist, die Konnektivität zwischen APIs so zu skalieren, dass sie den Anforderungen des Kundendatenverkehrs bei einem wachsenden Anwendungsportfolio gerecht wird, und gleichzeitig plattformunabhängig zu bleiben. Dies erklärt, warum API-Fehlkonfigurationen und Sicherheitsmängel die Ursache für einige der bekanntesten API-Datenschutzverletzungen waren.

DevOps-Teams sind für immer mehr Automatisierungspipelines verantwortlich, die jeweils unterschiedliche Tools erfordern, um die Anforderungen von Entwicklern und Anwendungen zu erfüllen. Diese Szenarien führen zu unzusammenhängenden API-Datenverkehrsmustern und Verwaltungsinstanzen, die durch unzusammenhängende Beobachtbarkeitslösungen noch komplizierter werden. Leider ist es immer noch üblich, dass Entwicklungs- und DevOps-Teams an der Häufigkeit ihrer Veröffentlichungen gemessen werden – nicht aber an der Sicherheit ihrer Veröffentlichungen.

Das Ergebnis ist, dass die Verwaltung des API-Wachstums in Unternehmen in großem Umfang versagt, wodurch neue und unbeabsichtigte Risiken und Gefährdungen durch unbefugte API-Nutzung entstehen. Diese Gefahren zählen zu den häufigsten Bedrohungen laut der Liste der OWASP Top 10 der API-Sicherheitsrisiken.

Auch APIs stoßen bei der Verwaltung des Datenverkehrs in großem Umfang auf Leistungsprobleme. Eine Transaktionsverzögerung von 50 bis 100 Millisekunden kann bei der ersten Einführung einer Anwendung noch akzeptabel sein. Dehnt sie sich jedoch in Abstimmung auf die Kundennachfrage auf Hunderte oder Tausende von Microservices aus, summieren sich diese Verzögerungen und verlangsamen die gesamte Anwendungskette. Das Ergebnis? Eine schlechte Leistung und enttäuschte Kundenerwartungen.

Die Automatisierung des API-Endpunktzugriffs, der Konfiguration und der Sicherheit im gesamten Anwendungsportfolio des Unternehmens, von der ersten Entwicklung bis zur Produktbereitstellung, ermöglicht es den DevOps-Teams, Leistungsmängel und potenzielle Sicherheitslücken in großem Umfang zu beheben, um sich auf andere Probleme der Automatisierungspipeline konzentrieren zu können.

Inkonsistente Kontrollen in Microservice-API-Umgebungen

Cloudnative Anwendungen sind immer stärker verteilt und dezentralisiert und stützen sich auf Hunderte, wenn nicht Tausende von API-basierten Endpunkten, wobei der Datenverkehr in erster Linie von Millionen von Transaktionen ausgeht. Jüngste Untersuchungen von F5 Labs zeigen, dass die Zahl der API-Sicherheitsvorfälle jedes Jahr steigt und dass die häufigsten Ursachen für API-Vorfälle in den letzten zwei Jahren mit einer geringen Sicherheitsreife zusammenhängen, die häufig an einer Überhandnahme von Tools liegt.

Wenn verschiedene Entwicklungsteams an unterschiedlichen Teilen verteilter Anwendungen auf mehreren Plattformen arbeiten, führt dies zu einer komplexen API-Verwaltung, die unsichere und schlecht funktionierende Anwendungen zur Folge hat. Probleme können durch Bereitstellungsfehler, Leistungseinbußen oder böswillige Zugriffe auf sensible Daten entstehen, und es ist schwierig, die Ursache zu beheben, geschweige denn sie zu ermitteln. Eine Vereinfachung im großen Maßstab verringert das Risiko und bietet einen konsistenten Satz von Konfigurations-, Leistungs- und Sicherheitsrichtlinien, die auf Ihre Geschäftsziele zugeschnitten sind. Wenn dem DevOps-Team ein Standardinstrumentarium zur Verfügung steht, mit dem sich geeignete Kontrollen in API-Entwicklungs- und -Verwaltungsprozessen automatisieren lassen, können Ihre Anwendungen mit Ihrem Unternehmen wachsen.

Lösung

Unternehmen müssen ihre herkömmlichen APIs beibehalten und weiterentwickeln und gleichzeitig neue APIs mit cloudnativen Microservice-Architekturen entwickeln. Diese können entweder mit privaten Bare Metal-Systemen, von der Cloud aus oder über Multi-Cloud-Transitlösungen bereitgestellt werden. APIs lassen sich nur schwer kategorisieren, da sie für die Bereitstellung einer Vielzahl von Benutzererlebnisse verwendet werden, von denen u. U. jedes einen anderen Satz von Entwicklungs-, Veröffentlichungs- und Sicherheitskontrollen erfordert. Die flexiblen F5 NGINX-Lösungen können mehrere unterschiedliche Anwendungsfälle und Architekturmuster abdecken, um die Anforderungen des jeweiligen Entwicklerteams zu erfüllen.

In ihrem Bericht über Cloud-Markttrends berichtet Futuriom: „APIs sind ein entscheidendes Element der Rechenzentrums- und SD-WAN-Virtualisierung, und sie werden immer wichtiger, wenn es darum geht, Multi-Cloud-Netzwerke zu verbinden.“

Allgemeine Anwendungsfälle für die Verwaltung und Veröffentlichung von APIs

In allen im Folgenden beschriebenen Lösungen wird der F5 NGINX Management Suite für API-Verwaltungsfunktionen wie die Veröffentlichung der APIs, die Einrichtung von Authentifizierungs- und Autorisierungsfunktionen und die Verwendung des in F5 NGINX Plus angebotenen API-Gateways zur Bildung des Datenpfads verwendet. Die Sicherheitskontrollen richten sich nach den Sicherheitsanforderungen der Daten- und API-Bereitstellungsplattform.

1. APIs für stark regulierte Unternehmen

Geschäfts-APIs, die mit dem Austausch sensibler oder regulierter Daten zu tun haben, können Verwaltungs-, Berichterstattungs- und Sicherheitskontrollen erfordern, um die Einhaltung zusätzlicher Vorschriften oder branchenspezifischer Vorgaben zu ermöglichen. So müssen beispielsweise Anwendungen, die geschützte Gesundheitsdaten oder sensible Finanzdaten übermitteln, branchenspezifische Standards erfüllen. Die Durchsetzung von Richtlinien, eine überprüfbare rollenbasierte Zugriffskontrolle, Analysen und eine Überprüfung der Nutzdaten im großen Umfang werden zu wichtigen Mechanismen für die Verwaltung und den Schutz dieser Art von APIs.

Die Kombination von branchenführender Advanced Web Application Firewall-(WAF-)Technologie für Anwendungsschnittstellen mit F5 NGINX Plus API Gateway und F5 NGINX App Protect WAF bietet einen hervorragenden Perimeter-, API- und Microservice-Schutz für geschäftskritische Verfügbarkeit und Leistung.

2. Verteilte Multi-Cloud-APIs

Mobile Apps, die Nutzer auf der ganzen Welt bedienen, benötigen geografisch verteilte Backends, um API-Antworten mit geringer Latenz bereitzustellen. Auch andere Anwendungsdienste müssen unter Umständen verteilt werden, um hohe Transaktionsworkloads näher an die Verbraucher oder an die Daten zu verlagern und so die Leistung zu verbessern. Zur Optimierung der Antwortzeiten benötigen Sie eine verteilte Plattform, die die Bereitstellung von API-Endpunkten von mehreren Standorten aus orchestriert, um Ihre Nutzerbasis zu bedienen.

F5 NGINX Plus bietet plattformunabhängige API-Gateway-, Lastenausgleichs- und Sicherheitsfunktionen. In Verbindung mit dem F5 NGINX Management Suite API Connectivity Manager module von F5 ermöglicht dieses Tool DevOps- und AppDev-Teams eine performante, automatisierte und sichere API-Veröffentlichung in großem Umfang.

Um eine erweiterte Multi-Cloud-Konnektivität für Ihre verteilten Umgebungen bereitzustellen, trennen die Multi-Cloud-Netzwerklösungen von F5 Distributed Cloud die auf NetOps ausgerichteten Herausforderungen der Netzwerkinfrastruktur von der Anwendungsbereitstellung. DevOps-Teams müssen sich keine Gedanken mehr über IP-Adressüberschneidungen und komplexe Routing-Konfigurationen machen, sondern können sich stattdessen auf die Bereitstellung einer sofort einsatzbereiten Infrastruktur konzentrieren. Sehen Sie sich die F5 Distributed Cloud Services und Einsatzgebiete für NGINX im Testlauf an, um Ihre Multi-Cloud-Herausforderungen zu bewältigen.

3. API-Workloads in Kubernetes

F5 NGINX Ingress Controller ist eine Gesamtlösung aus Load Balancer, Cache, API-Gateway und WAF für Microservices in Kubernetes. Bei einer Verwendung in Kombination mit dem stets kostenlosen F5 NGINX Service Mesh haben DevOps-Teams die Kontrolle über die Entwicklung und Bereitstellung von APIs. NGINX Ingress Controller für NGINX Plus lässt sich in einer einzigen, einfach bereitzustellenden Konfiguration vollständig in NGINX App Protect integrieren, wodurch die Kosten und die Komplexität von Anwendungen in Produktionsqualität reduziert werden. NGINX Service Mesh wird verwendet, um Ost-West-Transparenz und mTLS-basierte Sicherheit für Workloads zu gewährleisten.

NGINX Ingress Controller für NGINX Plus lässt sich in NGINX Service Mesh integrieren und bietet eine einheitliche Datenebene mit Sicherheit, Funktionalität und Skalierbarkeit auf Produktionsniveau. NGINX Service Mesh ist leichtgewichtig und konzentriert sich auf die Verwaltung des Layer-7-Anwendungsdatenverkehrs innerhalb von Clustern und ist berührungsfrei, weshalb der Rest Ihres Tech-Stacks ohne Komplikationen funktionieren kann, wie vorgesehen.

Fazit

Die Lösungen von F5 ermöglichen die Bereitstellung, Verwaltung und Sicherung von APIs und der dafür verwendeten Infrastruktur – unabhängig von Ihrer Plattform oder Automatisierungsarchitektur. F5 bietet einen starken Schutz gegen Bots sowie gängige und hochentwickelte API-Exploits, mit DevOps-Integration für die Veröffentlichung und Transparenz der API-Leistung. Zusammengenommen helfen Ihnen diese Lösungen, die von Ihnen gewünschte Anwendungsportabilität an jedem Bereitstellungsort zu erreichen, und bringen Workloads näher zu Ihren Kunden.

Verleihen Sie Ihren Entwicklungs- und Betriebsteams die Flexibilität, die erforderlich ist, um das Unternehmen jetzt zu unterstützen – geben Sie ihnen die Freiheit, eine aufgabengerechte Umgebung zu nutzen, ob in der Cloud oder vor Ort. Bieten Sie Ihnen zudem die Vielseitigkeit, die erforderlich ist, um das Unternehmen in Zukunft zu unterstützen – mit einer portablen Architektur, die Ihnen auf Schritt und Tritt folgt.

Weitere Informationen finden Sie im F5 NGINX-Echtzeit-API-Handbuch

Wesentliche Merkmale

Definition und Veröffentlichung von APIs – Definieren Sie APIs über eine intuitive Schnittstelle
  • Definieren des Basispfades und der Backend-Dienste
  • Routen der APIs an geeignete Backend-Dienste
  • Verwalten der Versionierung von APIs
  • Importieren von APIs, die OpenAPI-Standards entsprechen
  • Veröffentlichen von APIs in einer oder mehreren Umgebungen, z. B. Produktion oder Staging
  • Konfigurieren von API-Gateways
  • Konfigurieren von Sicherheitsrichtlinien
  • Einsatz und Betrieb in Microservice-Architekturen
Ratenbegrenzung – entschärfen Sie DDoS-Angriffe und schützen Sie Ihre Anwendungen durch die Festlegung von Ratenbegrenzungen
  • Festlegen der maximalen Anfragerate pro Client, Verbraucher oder Ressource
  • Schutz von API-Endpunkten und Gewährleistung von SLAs für API-Kunden
  • Definieren mehrerer Richtlinien zur Ratenbegrenzung
Echtzeit-Überwachung und -Warnungen – erhalten Sie wichtige Einblicke in die API-Leistung
  • Diagramme zu wichtigen Kennzahlen wie Latenzzeit und Antwortdauer
  • Gatewayspezifische Metriken wie Anfragen pro Sekunde, aktive Verbindungen und Bandbreitennutzung
  • Warnungen zu mehr als 100 Metriken wie z. B. der CPU-Auslastung, 4xx/5xx-Fehler und Integritätsprüfungsfehler auf Basis von vordefinierten Schwellenwerten
  • Einfache Integration in ein Überwachungstool Ihrer Wahl über REST API
Authentifizierung und Autorisierung
  • Validieren von JSON-Web-Token (JWTs)
  • Erstellen und Verwalten von API-Schlüsseln für Verbraucher
  • Importieren von API-Schlüsseln aus externen Systemen
  • Freigabe für API-Kunden
  • Anwenden von Richtlinien auf Gruppen von API-Clients
Dashboards – Überwachung von API-Gateways und schnelle Fehlerbehebung
  • Ein Übersicht-Dashboard, das Metriken für alle API-Gateways zusammenfasst
  • Eine Bewertung des Anwendungszustands, die erfolgreiche Anfragen und rechtzeitige Antworten misst
  • Anpassbare Dashboards zur Überwachung der für Ihre Umgebung spezifischen Metriken

Nächste Schritte

Kontaktieren Sie uns

Sprechen Sie mit einem Experten, um technische Fragen abzuklären und eine Testversion zu starten.

Kontaktieren Sie F5