A proliferação descontrolada de APIs dentro de uma organização, conhecida como API sprawl, resulta tanto do crescimento exponencial do número de APIs nas arquiteturas modernas de TI quanto do uso de APIs em ambientes digitais distribuídos globalmente. Em conjunto, essa explosão de APIs representa um desafio cada vez maior: à medida que as organizações criam e implantam mais APIs, muitas vezes sem uma estratégia unificada ou supervisão centralizada, torna-se cada vez mais difícil gerenciá-las com eficiência. Para enfrentar os significativos desafios operacionais e de segurança que o API sprawl traz para organizações como a sua, são necessários um processo de governança de APIs e ferramentas adequadas.
Por que a proliferação descontrolada de APIs se tornou um problema? A ampla adoção de arquiteturas modernas de aplicações baseadas em microsserviços contribuiu significativamente para a multiplicação das APIs, que funcionam como o tecido conectivo entre os serviços modulares e os componentes que compõem as aplicações atuais. As APIs podem simplificar e acelerar os ciclos de desenvolvimento, permitindo que os desenvolvedores integrem facilmente dados existentes, reutilizem funcionalidades ou incorporem serviços de terceiros, em vez de criar tudo do zero.
“À medida que as organizações desenvolvem e implantam mais APIs, muitas vezes sem uma estratégia unificada ou supervisão centralizada, torna-se cada vez mais difícil gerenciá-las de forma eficaz.”
Além disso, como 94% das organizações implantam aplicações em vários ambientes, as APIs são usadas para conectar muitos desses serviços e conjuntos de dados distintos em diferentes plataformas e locais. Essa fragmentação torna cada vez mais difícil garantir qualidade, visibilidade e segurança consistentes das APIs. Até mesmo manter um inventário de APIs abrangente e atualizado tornou-se um desafio complexo para muitas organizações.
Este post do blog explora os conceitos por trás da governança de APIs. Continue lendo para entender o que é governança de APIs e como ela difere do gerenciamento e da segurança de APIs. Você também conhecerá os três modelos de governança de APIs e explorará estratégias recomendadas.
O que é governança de APIs?
A governança de APIs refere-se ao conjunto de políticas e padrões que definem como as APIs são projetadas, desenvolvidas, protegidas, monitoradas e mantidas. O objetivo da governança de APIs é promover a qualidade, a consistência e a segurança das APIs, bem como a conformidade regulatória. Ela abrange todos os tipos de APIs, incluindo as desenvolvidas internamente e as APIs de terceiros fornecidas por parceiros ou fornecedores.
Além disso, à medida que mais empresas adotam estratégias modernas que priorizam as APIs, como as estratégias API-first, nas quais o desenvolvimento de aplicações começa pelos serviços e pelas APIs, a governança se torna ainda mais essencial, pois garante que a consistência, a segurança e a conformidade sejam incorporadas à aplicação no nível das APIs.
O processo de governança de APIs deve abranger todo o ciclo de vida das APIs e incluir as seguintes áreas:
- Padrões de desenvolvimento de APIs. Eles fornecem orientações claras aos desenvolvedores sobre como as APIs devem ser criadas, incluindo o uso da Especificação OpenAPI, bem como padrões de design, guias de estilo, requisitos de metadados e práticas de versionamento. Esses padrões promovem a consistência, a interoperabilidade e a facilidade de manutenção de todas as APIs.
- Políticas de segurança de APIs. Elas definem as medidas de segurança obrigatórias que devem ser implementadas para proteger as APIs e os dados que elas acessam e expõem. Isso pode incluir criptografia, autenticação e autorização, limitação de taxa, tratamento de dados confidenciais e recursos de detecção de ameaças, como verificação de vulnerabilidades e detecção contínua de anomalias.
- Padrões de documentação. Eles definem as expectativas quanto à qualidade e à abrangência da documentação das APIs e incluem especificações técnicas detalhadas, diretrizes de uso, exemplos de código, práticas recomendadas e recursos para solução de problemas, a fim de tornar as APIs fáceis de entender e amplamente utilizáveis.
- Monitoramento e análise. A governança também inclui o estabelecimento de requisitos sobre como as APIs são monitoradas e analisadas. Isso envolve definir a frequência e os métodos de monitoramento, como ferramentas automatizadas de uso contínuo ou auditorias manuais periódicas, além de especificar os principais indicadores de desempenho (KPIs) a serem acompanhados.
Governança de APIs vs. gerenciamento de APIs vs. segurança de APIs
Governança, gerenciamento e segurança de APIs são áreas distintas, mas estreitamente inter-relacionadas, e a governança deve ser implementada primeiro para garantir que as práticas de gerenciamento de APIs e segurança de APIs sejam aplicadas de forma consistente.
O gerenciamento de APIs é a implementação de políticas de governança de APIs por meio de ferramentas como um portal do desenvolvedor, gateway de API, e um software de gerenciamento do ciclo de vida de APIs. Essas ferramentas geralmente são reunidas em uma plataforma de gerenciamento de APIs. As políticas de governança podem definir tanto os requisitos de ferramentas — por exemplo, exigindo plataformas padronizadas para todas as equipes — quanto as práticas operacionais, como a forma de gerenciar chaves de API e credenciais.
Segurança de APIs é a aplicação dos requisitos de segurança e conformidade definidos pelas políticas de governança de APIs. Embora algumas organizações utilizem ferramentas específicas de segurança de APIs, há uma adoção crescente de soluções de proteção de aplicações web e APIs (WAAP) para obter uma proteção mais ampla e integrada. As políticas de governança podem especificar os requisitos mínimos de segurança para APIs, incluindo os controles básicos necessários e as diretrizes de configuração, como a forma pela qual gateways de API, WAFs e/ou soluções de proteção de APIs devem se defender contra possíveis ataques em todos os vetores de ameaças. Isso pode incluir as listas OWASP Top 10 de ameaças a aplicações web, APIs e ameaças automatizadas, além de promover boas práticas de higiene de APIs, como evitar chaves de API codificadas diretamente no código ou incorporadas ao código-fonte de bibliotecas de cliente.
Modelos de governança de APIs
Há três tipos de modelos de governança de APIs: centralizado, descentralizado e adaptativo:
A governança centralizada é gerenciada por uma equipe central responsável por definir, revisar e aprovar todas as políticas de governança. Vantagens dessa abordagem: ela permite implementar as políticas de governança mais rigorosas e pode impor consistência em toda a organização. Por outro lado, uma abordagem rígida e padronizada nem sempre funciona, podendo desacelerar as equipes de desenvolvimento, incentivar soluções alternativas e levar ao surgimento da "TI paralela".
Governança descentralizada dá às equipes autonomia para gerenciar suas próprias políticas de governança de APIs. Como aspecto positivo, essa abordagem promove um desenvolvimento mais rápido e maior flexibilidade, adaptada às necessidades de cada equipe. No entanto, a descentralização pode resultar em políticas e controles de APIs inconsistentes em toda a organização, o que pode gerar desafios de integração, erros de configuração e lacunas de conformidade.
Governança adaptativa equilibra os dois modelos acima. Uma equipe central estabelece políticas globais e gerencia a infraestrutura compartilhada, enquanto as equipes de desenvolvimento têm autonomia para definir políticas locais alinhadas às necessidades específicas de seus aplicativos e APIs. Essas políticas podem incluir requisitos de conformidade regionais, governamentais ou específicos do setor. Na maioria das situações, a governança adaptativa oferece o melhor dos dois mundos, pois esse modelo estabelece distinções claras entre as políticas que devem ser seguidas universalmente e as áreas em que há flexibilidade quando necessário.
Práticas recomendadas de governança de APIs
- Comece com um inventário abrangente das suas APIs. Mantenha um catálogo atualizado, identifique onde suas APIs estão localizadas e classifique-as por tipo, como públicas, privadas, de terceiros ou de parceiros. Use uma solução de descoberta de APIs para garantir que seu catálogo de APIs permaneça atualizado. Dê aos desenvolvedores acesso ao catálogo para incentivar a reutilização de APIs existentes e reduzir a duplicação de esforços.
- Estabeleça funções e responsabilidades claras. Independentemente do seu modelo de governança (centralizado, descentralizado ou adaptativo), defina claramente a responsabilidade e a prestação de contas pelo processo de governança de APIs, pelas diversas áreas, como gerenciamento, segurança e conformidade, e pelas soluções e políticas relacionadas. Se as políticas variarem de acordo com o tipo de API, a região geográfica ou a equipe de desenvolvimento, certifique-se de que essas diferenças sejam bem documentadas e comunicadas.
- Promova uma cultura que viabilize e fortaleça a colaboração entre as equipes. Garanta que suas políticas de governança estejam acessíveis em um local centralizado e sejam fáceis de entender. Defina expectativas claras sobre como as equipes devem aplicar as políticas de governança e ofereça treinamentos e atualizações contínuos à medida que elas evoluírem. Solicite feedback dos desenvolvedores para entender o que está funcionando e corrigir o que não está.
Como a F5 ajuda na governança de APIs
A F5 oferece soluções de gerenciamento e segurança de APIs durante todo o ciclo de vida das APIs como parte da F5 Application Delivery and Security Platform (ADSP). A plataforma oferece entrega abrangente de APIs, aliada à descoberta completa, ao monitoramento e à detecção contínuos, além de controles de segurança para implementar políticas essenciais que garantem o comportamento adequado das APIs e as protegem contra ataques. Tudo isso é disponibilizado por meio de uma plataforma centralizada que proporciona visibilidade e gerenciamento de políticas em diversos ambientes de TI.
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...