APIガバナンスのベストプラクティス

F5 Newsroom Staff

APIスプロールとは、組織内でAPIが制御されないまま増加・拡散することです。これは、最新のITアーキテクチャにおけるAPI数の急増と、世界各地に分散するデジタル環境でのAPI利用の両方によって生じます。こうしたAPIの爆発的な増加は、深刻化する課題となっています。組織が統一された戦略や一元的な監督体制を持たないままAPIの構築とデプロイを進めると、効果的な管理がますます困難になります。APIスプロールが組織にもたらす重大な運用上およびセキュリティ上の課題に対処するには、APIガバナンスのプロセスと、それを支援するツールが必要です。

APIスプロールはなぜ問題になっているのでしょうか。最新のマイクロサービスベースのアプリケーションアーキテクチャが広く採用されたことで、APIが大幅に増加しました。APIは、今日のアプリケーションを構成するモジュール型のサービスやコンポーネントをつなぐ役割を果たします。APIを利用すれば、すべてをゼロから構築する代わりに、既存のデータとの連携や機能の再利用、サードパーティサービスとの統合が容易になり、開発サイクルを簡素化して迅速化できます。

さらに、94%の組織が複数の環境にアプリケーションを展開している中、APIは、多様なプラットフォームや場所に分散するサービスとデータセットを接続するために使用されています。この断片化により、APIの品質、可視性、セキュリティを一貫して確保することがますます困難になっています。包括的かつ最新のAPIインベントリを維持することさえ、多くの組織にとって複雑な課題となっています。

このブログ記事では、APIガバナンスの背景にある概念を掘り下げます。APIガバナンスとは何か、API管理やAPIセキュリティとどう異なるのかを解説するとともに、APIガバナンスの3つのモデルとベストプラクティス戦略についても紹介します。

APIガバナンスとは

APIガバナンスとは、APIの設計、構築、セキュリティ確保、監視、保守の方法を定める一連のポリシーと標準を指します。その目的は、APIの品質、一貫性、セキュリティ、規制遵守を促進することです。社内で開発されたAPIだけでなく、パートナーやベンダーが提供するサードパーティAPIなど、あらゆる種類のAPIが対象となります。

さらに、サービスとAPIを起点にアプリケーションを設計する最新のAPIファースト戦略を採用する企業が増えるにつれ、ガバナンスの重要性は一層高まっています。ガバナンスにより、一貫性、セキュリティ、コンプライアンスをAPIレベルでアプリケーションに組み込めるためです。

APIガバナンスプロセスでは、APIライフサイクル全体を対象とし、以下の領域を網羅する必要があります。

• API開発標準。APIの構築方法について、開発者向けに明確な指針を示します。これには、OpenAPI Specification、デザインパターン、スタイルガイド、メタデータ要件、バージョニング手法の使用が含まれます。これらの標準により、すべてのAPIで一貫性、相互運用性、保守性が向上します。
• APIセキュリティポリシー。APIと、APIがアクセスおよび公開するデータを保護するために実装が必須となるセキュリティ対策を定義します。これには、暗号化、認証と認可、レート制限、機密データの取り扱いのほか、脆弱性スキャンや継続的な異常検知などの脅威検知機能が含まれる場合があります。
• ドキュメント作成基準。APIドキュメントの品質と網羅性に関する要件を定めるもので、APIを理解しやすく幅広く利用できるように、詳細な技術仕様、利用ガイドライン、コード例、ベストプラクティス、トラブルシューティング資料を含みます。
• 監視と分析。ガバナンスには、APIの監視および分析方法に関する要件の策定も含まれます。具体的には、継続的な自動化ツールや定期的な手動監査など、監視の頻度と方法を定義し、追跡する主要業績評価指標（KPI）を指定します。

APIガバナンス、API管理、APIセキュリティの違い

APIガバナンス、API管理、APIセキュリティは密接に関連していますが、それぞれ異なる領域です。API管理とAPIセキュリティのプラクティスを一貫して導入できるよう、まずガバナンスを実装する必要があります。

API管理とは、開発者ポータル、APIゲートウェイ、APIライフサイクル管理ソフトウェアなどのツールを使用して、APIガバナンスポリシーを実装することです。これらのツールは、多くの場合、API管理プラットフォームに統合されています。ガバナンスポリシーでは、チーム間で標準化されたプラットフォームの使用を義務付けるといったツール要件と、APIキーや認証情報の管理方法などの運用手順の両方を定めることができます。

APIセキュリティとは、APIガバナンスポリシーで定義されたセキュリティおよびコンプライアンス要件を適用することです。専用のAPIセキュリティツールを利用する組織もありますが、より広範で統合された保護を実現するために、WebアプリケーションおよびAPI保護（WAAP）ソリューションの導入が進んでいます。ガバナンスポリシーでは、必要なベースライン制御や設定ガイドラインなど、APIの最低限のセキュリティ要件を規定できます。たとえば、APIゲートウェイ、WAF、API保護ソリューションのいずれか、または複数を使用して、あらゆる脅威ベクトルから想定される攻撃をどのように防御するかを定めます。これには、Webアプリ、API、自動化された脅威に関するOWASP Top 10リストへの対応に加え、APIキーをハードコードしたり、クライアントライブラリのソースコードに埋め込んだりしないといった、APIハイジーンのベストプラクティスの推進も含まれます。

APIガバナンスモデル

APIガバナンスモデルには、中央集権型、分散型、適応型の3種類があります：

一元型ガバナンスでは、すべてのガバナンスポリシーの策定、レビュー、承認を担う中央チームが管理します。このアプローチには、最も厳格なガバナンスポリシーを適用し、組織全体の一貫性を徹底できるという利点があります。一方、画一的で柔軟性に欠けるアプローチが常に機能するとは限りません。開発チームの作業を遅らせ、回避策の利用や「シャドーIT」の増加を招く可能性があります。

分散型ガバナンスでは、各チームが自律的に独自のAPIガバナンスポリシーを管理できます。このアプローチには、開発の迅速化を促進し、各チームのニーズに応じた柔軟性を高められるという利点があります。一方、分散化によって組織全体でAPIポリシーや統制に一貫性がなくなり、統合上の課題、設定ミス、コンプライアンス上の不備につながる可能性があります。

適応型ガバナンスは、上記2つのモデルのバランスを取るものです。中央チームが全体に適用するポリシーを策定し、共有インフラストラクチャを管理する一方で、開発チームは各アプリケーションやAPIの具体的なニーズに合わせてローカルポリシーを定義できます。これには、地域、政府、業界固有のコンプライアンス要件が含まれる場合があります。適応型ガバナンスでは、組織全体で遵守すべきポリシーと、必要に応じて柔軟な対応が認められる領域が明確に区別されるため、ほとんどの場合、両方のモデルの利点を活かせます。

APIガバナンスのベストプラクティス

1. まず、APIの包括的なインベントリを作成します。 最新のカタログを維持し、APIの所在を把握したうえで、パブリック、プライベート、サードパーティ、パートナーなどの種類別に分類します。APIディスカバリソリューションを使用して、APIカタログを常に最新の状態に保ちます。開発者がカタログにアクセスできるようにし、既存APIの再利用を促進することで、作業の重複を減らします。
2. 役割と責任を明確に定める。ガバナンスモデル（集中型、分散型、適応型）にかかわらず、APIガバナンスプロセス、管理、セキュリティ、コンプライアンスなどの各領域、および関連するソリューションとポリシーについて、所有者と説明責任を明確に定めます。APIの種類、地域、開発チームによってポリシーが異なる場合は、その違いを明確に文書化し、周知してください。
3. チームのコラボレーションを促進し、後押しする文化を醸成する。ガバナンスポリシーを一元的に参照でき、容易に理解できるようにします。チームがガバナンスポリシーをどのように適用するかについて明確な基準を定め、ポリシーの変更に応じて継続的なトレーニングと最新情報を提供します。開発者からフィードバックを募り、何が機能しているかを把握して、機能していない点に対処します。

F5がAPIガバナンスを支援する方法

F5は、API管理およびセキュリティソリューションをAPIライフサイクル全体にわたり、F5 Application Delivery and Security Platford (ADSP)の一部として提供しています。このプラットフォームは、包括的なAPIデリバリーに加え、完全な検出、継続的な監視と検知をサポートします。また、APIの適切な動作を強制し、攻撃から保護するための重要なポリシーを実装するセキュリティ制御も備えています。これらはすべて、多様なIT環境全体の可視化とポリシー管理を一元化するプラットフォームを通じて提供されます。

著者について

F5 Newsroom Staff

F5 Newsroom Staffのその他のブログ記事