API 관리 모범 사례 및 솔루션

API는 클라우드 네이티브 및 컨테이너화된 애플리케이션 개발의 핵심 구성 요소입니다. API를 통해 운영 팀이 협업할 수 있으므로 애플리케이션 개발의 출시 기간을 단축하고 경쟁사보다 더 나은 사용자 경험을 제공할 수 있습니다. 반면 API 사용으로 인해 애플리케이션 구조가 분산되었습니다. 이에 따라 API 설계, 게시 및 관리가 더욱 어려워지고, 복잡성과 위험성이 높은 관리 문제가 발생합니다. 자동화된 고성능 트래픽 및 정책 제어 기능이 없다면 API의 증가와 복잡성으로 인해 개발자의 민첩성이 저하될 수 있습니다.

F5는 단순하고 빠르며 확장 가능한 아키텍처를 통해 모든 데이터 센터 또는 클라우드에서 API를 안전하게 관리할 수 있는 포괄적인 솔루션을 제공합니다. 이를 통해 API 배포 및 관리를 자동화하여 출시 기간을 단축하는 동시에 API에 특화된 위협으로부터 보호할 수 있습니다. F5는 클라우드 네이티브 API 관리, 고성능 API 게이트웨이 및 보안 제어 기능을 하나의 솔루션으로 제공하여 도구의 난립과 아키텍처의 복잡성을 줄여 줍니다.

주요 이점

엔터프라이즈 API 관리의 과제 이해하기

애플리케이션 개발은 빠르게 진행되고 있으며, 혁신은 우리가 상호작용하는 방식을 끊임없이 변화시키고 있습니다. 분산 컨테이너의 복잡성으로 인해 속도를 중시하다 보면 API 관리와 보안 및 인프라 제어 적용에 대한 거부감이 생기기도 합니다. 안타깝게도 마이크로서비스 간 데이터 교환에서 API 사용이 증가하면서 API는 민감한 데이터를 노출할 수 있는 잠재적 취약점이 되고 있습니다. 따라서 모든 API 엔드포인트에는 최소한 표준화된 위험 관리, 구성 및 정책 적용이 이루어져야 합니다. 그러나 API 게시 자동화로 인해 기존의 사용자 개입과 감독 요소가 사라지면서 API의 가치를 높이는 바로 그 추세가 API를 더욱 취약하게 만들고 있습니다.

대부분의 API 게이트웨이는 대규모 관리에 필요한 적절한 제어 기능이 부족합니다

API 게이트웨이는 일반적으로 플랫폼이나 마이크로서비스 클러스터에 API를 게시하는 작업을 관리하도록 설계됩니다. 사용 편의성과 자동화가 도입을 이끄는 주된 요인인데, 이는 플랫폼에 종속되지 않으면서 애플리케이션 포트폴리오가 확장됨에 따라 고객 트래픽 수요를 충족하도록 API 상호 연결성을 확장하기가 어렵기 때문입니다. 이러한 이유로 API 구성 오류와 보안 허점은 여러 대규모 API 데이터 유출 사고의 원인이 되었습니다.

DevOps는 점점 늘어나는 자동화 파이프라인을 담당하며, 각 파이프라인에는 개발자와 애플리케이션의 요구 사항을 충족하기 위한 서로 다른 도구가 필요합니다. 이러한 상황은 서로 단절된 API 트래픽 패턴과 관리 인스턴스를 만들어 내며, 분산된 관측성 솔루션으로 인해 더욱 복잡해집니다. 안타깝게도 개발 및 DevOps 팀을 릴리스 보안이 아닌 릴리스 빈도로 평가하는 관행은 여전히 흔합니다.

그 결과, 기업은 대규모로 증가하는 API를 관리하는 데 실패하게 되고, 무단 API 사용으로 인해 새롭고 예기치 않은 위험과 노출이 발생합니다. 이는 OWASP API 보안 10대 위험에서 꼽은 가장 일반적인 위협 중 일부입니다.

API는 대규모 트래픽을 처리할 때 성능 문제도 겪습니다. 애플리케이션을 처음 출시할 때는 50~100밀리초의 트랜잭션 지연이 허용될 수 있지만, 고객 수요에 맞춰 확장되는 수백 또는 수천 개의 마이크로서비스 전반에서 이러한 지연이 누적되면 전체 애플리케이션 체인의 속도가 느려집니다. 그 결과는 무엇일까요? 성능이 저하되고 고객의 기대를 충족하지 못하게 됩니다.

초기 개발부터 프로덕션 배포에 이르기까지 엔터프라이즈 애플리케이션 포트폴리오 전반에서 API 엔드포인트 액세스, 구성 및 보안을 자동화하면 DevOps 팀은 대규모 환경에서 성능 문제와 잠재적 취약점을 해결하고 다른 자동화 파이프라인 문제에 집중할 수 있습니다.

마이크로서비스 API 환경의 일관되지 않은 제어

클라우드 네이티브 애플리케이션은 설계 단계부터 점점 더 분산화되고 탈중앙화되는 추세이며, 수백 개에서 많게는 수천 개에 이르는 API 기반 엔드포인트에 의존하고 수백만 건의 트랜잭션이 주요 트래픽을 구성합니다. 최근 F5 Labs 연구  에 따르면 API 보안 사고 건수는 매년 증가하고 있으며, 지난 2년간 발생한 API 사고의 가장 흔한 원인은 낮은 보안 성숙도와 관련이 있습니다. 이는 대개 도구의 무분별한 확산으로 인해 발생합니다.

서로 다른 개발 팀이 여러 플랫폼에 걸쳐 분산 애플리케이션의 각기 다른 부분을 담당하면 API 관리가 복잡해져 애플리케이션의 보안과 성능이 저하될 수 있습니다. 배포 실패, 성능 저하 또는 민감한 트래픽에 대한 악의적인 접근으로 인해 문제가 발생할 수 있으며, 원인을 정확히 파악하기는커녕 문제를 해결하기조차 어렵습니다. 이러한 복잡성을 대규모로 줄이면 위험을 낮추고 비즈니스 목표에 최적화된 일관된 구성, 성능 및 보안 정책을 적용할 수 있습니다. DevOps 팀에 표준화된 도구 세트를 제공하여 API 개발 및 관리 프로세스에 적절한 제어 기능을 자동으로 통합하면 애플리케이션이 비즈니스와 함께 성장할 수 있습니다.

솔루션

기업은 기존 API를 유지하고 발전시키는 동시에, 클라우드 네이티브 마이크로서비스 아키텍처를 활용해 새로운 API를 개발해야 합니다. 이러한 API는 베어메탈 기반의 프라이빗 시스템이나 클라우드 또는 멀티클라우드 전송 솔루션을 통해 제공할 수 있습니다. API는 다양한 사용자 경험을 제공하는 데 사용되며, 각 경험마다 서로 다른 개발, 게시 및 보안 제어가 필요할 수 있어 분류하기가 어렵습니다. F5 NGINX 솔루션은 유연성을 바탕으로 다양한 사용 사례와 아키텍처 패턴을 지원하여 모든 개발 팀의 요구 사항을 충족할 수 있습니다.

일반적인 API 관리 및 게시 사용 사례

아래에 설명된 모든 솔루션에서는 F5 NGINX Management Suite  를 사용하여 API 게시와 같은 API 관리 기능을 수행하고, 인증 및 권한 부여를 설정하며, F5 NGINX Plus에서 제공하는 API 게이트웨이로 데이터 경로를 구성합니다. 보안 제어는 데이터 및 API 제공 플랫폼의 보안 요구 사항에 따라 적용됩니다.

1. 규제가 엄격한 비즈니스용 API
   
   민감하거나 규제 대상인 정보를 교환하는 비즈니스 API에는 추가 규정이나 업계 의무 사항을 준수하기 위한 관리, 보고 및 보안 제어가 필요할 수 있습니다. 예를 들어, 보호 대상 의료 정보나 민감한 금융 정보를 제공하는 애플리케이션은 업계별 표준을 충족해야 합니다. 정책 적용, 감사 가능한 역할 기반 액세스 제어, 분석 및 대규모 페이로드 검사는 이러한 유형의 API를 관리하고 보호하는 데 필수적인 메커니즘입니다.
   
   업계를 선도하는 고급 웹 애플리케이션 방화벽(WAF) 기술을 애플리케이션 인터페이스에 적용하고 F5 NGINX Plus API Gateway 및 F5 NGINX App Protect WAF와 결합하면 미션 크리티컬한 가용성과 성능을 위해 경계, API 및 마이크로서비스를 탁월하게 보호할 수 있습니다.
   
   
2. 멀티 클라우드 분산 API
   
   전 세계 사용자에게 서비스를 제공하는 모바일 앱에는 지연 시간이 짧은 API 응답을 제공하기 위해 지리적으로 분산된 백엔드가 필요합니다. 다른 애플리케이션 서비스도 분산하여 트랜잭션이 많은 워크로드를 소비자 또는 데이터에 더 가깝게 배치함으로써 성능을 개선해야 할 수 있습니다. 응답 시간을 최적화하려면 여러 위치에서 API 엔드포인트 제공을 오케스트레이션하여 사용자 기반에 서비스를 제공할 수 있는 분산 플랫폼이 필요합니다.
   
   F5 NGINX Plus  는 플랫폼에 구애받지 않는 API 게이트웨이, 부하 분산 및 보안 기능을 제공합니다. F5 NGINX Management Suite API Connectivity Manager 모듈과 함께 배포하면 DevOps 및 AppDev 팀이 대규모로 고성능의 자동화되고 안전한 API 게시를 수행할 수 있습니다.
   
   분산 환경에 고급 멀티 클라우드 연결을 제공하기 위해 F5 Distributed Cloud 멀티 클라우드 네트워킹 솔루션은 NetOps 중심의 네트워크 인프라 문제를 애플리케이션 배포와 분리합니다. DevOps는 더 이상 IP 주소 중복과 복잡한 라우팅 구성을 걱정할 필요 없이, 필요할 때 즉시 개발 준비가 완료된 인프라를 제공하는 데 집중할 수 있습니다. F5의 Distributed Cloud Services와 NGINX 배포 사용 사례를 직접 체험하여 멀티 클라우드 문제를 해결해 보세요.
   
   
3. Kubernetes의 API 워크로드
   
   F5 NGINX Ingress Controller는 Kubernetes의 마이크로서비스를 위한 올인원 로드 밸런서, 캐시, API 게이트웨이 및 WAF입니다. 상시 무료로 제공되는 F5 NGINX Service Mesh와 함께 사용하면 DevOps 팀이 API 개발 및 배포를 주도적으로 관리할 수 있습니다. NGINX Plus용 NGINX Ingress Controller는 NGINX App Protect와 배포하기 쉬운 단일 구성으로 완벽하게 통합되어 프로덕션급 애플리케이션의 비용과 복잡성을 줄여 줍니다. NGINX Service Mesh는 워크로드에 대한 동서 트래픽 가시성과 mTLS 기반 보안을 제공합니다.
   
   NGINX Ingress Controller는 NGINX Plus에서 NGINX Service Mesh와 통합되어 프로덕션급 보안, 기능 및 확장성을 갖춘 통합 데이터 플레인을 제공합니다. 가볍고 클러스터 내 레이어 7 애플리케이션 트래픽 관리에 중점을 둔 NGINX Service Mesh는 비침투적이므로 나머지 기술 스택이 복잡한 문제 없이 본래의 성능을 발휘할 수 있습니다.

결론

F5의 솔루션은 플랫폼이나 자동화 아키텍처에 관계없이 API와 이를 호스팅하는 데 사용되는 인프라를 제공, 관리 및 보호합니다. F5는 게시를 위한 DevOps 통합과 API 성능에 대한 가시성을 제공하는 동시에 봇과 일반적인 API 익스플로잇 및 고급 API 익스플로잇으로부터 강력하게 보호합니다. 이러한 솔루션을 함께 활용하면 어디에 배포하든 애플리케이션 이식성이라는 목표를 달성하고 워크로드를 고객에게 더 가까이 배치할 수 있습니다.

개발 및 운영 팀이 클라우드 호스팅이든 온프레미스든 작업에 적합한 환경을 자유롭게 사용할 수 있도록 하여 현재 비즈니스를 지원하는 데 필요한 민첩성을 제공하고, 필요에 따라 함께 이동할 수 있는 아키텍처 이식성을 통해 미래의 비즈니스까지 지원할 수 있는 유연성을 확보하세요.

주요 기능