Práticas recomendadas e soluções para gerenciamento de APIs

As APIs são um componente fundamental do desenvolvimento de aplicações nativas da nuvem e conteinerizadas. Ao permitir que as equipes de operações trabalhem em conjunto, as APIs podem acelerar o lançamento de aplicações no mercado e ajudar você a oferecer experiências melhores aos usuários do que seus concorrentes. Por outro lado, o uso de APIs descentralizou a estrutura das aplicações. Isso torna o projeto, a publicação e o gerenciamento de APIs mais difíceis, o que, por sua vez, cria um desafio de gerenciamento complexo e sujeito a riscos. Sem controles automatizados e de alto desempenho para tráfego e políticas, o crescimento e a complexidade das APIs reduzirão a agilidade dos desenvolvedores.

A F5 oferece uma solução abrangente para gerenciar APIs com segurança em qualquer data center ou nuvem, usando uma arquitetura simples, rápida e escalável. Isso ajuda a reduzir o tempo de lançamento no mercado ao permitir a automação das implantações e do gerenciamento de APIs, além de oferecer proteção contra ameaças específicas a APIs. A F5 reúne, em uma única solução, gerenciamento de APIs nativo da nuvem, gateways de API de alto desempenho e controles de segurança, reduzindo a proliferação de ferramentas e a complexidade da arquitetura.

Principais benefícios

Entendendo os desafios do gerenciamento de APIs empresariais

O desenvolvimento de aplicações avança rapidamente, e a inovação transforma continuamente a forma como interagimos. Devido às complexidades dos contêineres distribuídos, essa ênfase na velocidade às vezes gera resistência ao gerenciamento de APIs e à aplicação de controles de segurança e infraestrutura. Infelizmente, como as APIs são cada vez mais utilizadas na troca de dados entre microsserviços, elas estão se tornando uma possível vulnerabilidade capaz de expor dados confidenciais. Isso significa que todos os endpoints de API devem contar, no mínimo, com algum nível de padronização de riscos, configurações e aplicação de políticas. No entanto, como a automação da publicação de APIs elimina elementos tradicionais de interação e supervisão humana, as mesmas tendências que tornam as APIs mais valiosas também as tornam mais vulneráveis.

A maioria dos gateways de API não possui controles adequados para o gerenciamento em escala

Os gateways de API geralmente são projetados para gerenciar a publicação de APIs em uma plataforma ou em clusters de microsserviços. A facilidade de uso e a automação são os principais fatores que impulsionam sua adoção, pois é difícil dimensionar a interconectividade das APIs para atender às demandas de tráfego dos clientes à medida que seu portfólio de aplicações cresce, mantendo-se independente de plataforma. Isso explica por que configurações incorretas de APIs e falhas de segurança foram responsáveis por algumas das violações de dados de APIs de maior repercussão .

O DevOps é responsável por um número cada vez maior de pipelines de automação, cada um exigindo ferramentas diferentes para atender aos requisitos dos desenvolvedores e das aplicações. Esses cenários criam padrões de tráfego de API e instâncias de gerenciamento desconectados, o que é ainda mais complicado por soluções de observabilidade isoladas. Infelizmente, ainda é comum que as equipes de desenvolvimento e DevOps sejam avaliadas pela frequência de seus lançamentos, mas não pela segurança deles.

O resultado são falhas no gerenciamento do crescimento das APIs empresariais em larga escala, criando riscos e exposições novos e não intencionais decorrentes do uso não autorizado de APIs — algumas das ameaças mais comuns segundo o OWASP API Security Top 10.

As APIs também enfrentam problemas de desempenho ao gerenciar tráfego em grande escala. Um atraso de 50 a 100 milissegundos em uma transação pode ser aceitável no lançamento inicial de uma aplicação, mas, quando multiplicado por centenas ou milhares de microsserviços que são dimensionados para atender à demanda dos clientes, esses atrasos se acumulam e tornam toda a cadeia da aplicação mais lenta. O resultado? Baixo desempenho e expectativas dos clientes não atendidas.

Automatizar o acesso, a configuração e a segurança dos endpoints de API em todo o portfólio de aplicações empresariais, desde o desenvolvimento inicial até a implantação em produção, permitirá que as equipes de DevOps lidem com o desempenho e possíveis vulnerabilidades em escala, para que possam se concentrar em outros problemas do pipeline de automação.

Controles inconsistentes em ambientes de APIs de microsserviços

As aplicações nativas da nuvem são cada vez mais distribuídas e descentralizadas por definição, dependendo de centenas, se não milhares, de endpoints baseados em APIs, com milhões de transações como principal fonte de tráfego. Uma pesquisa recente da F5 Labs  mostra que o número de incidentes de segurança de APIs cresce a cada ano e que as causas mais frequentes desses incidentes nos últimos dois anos estão relacionadas a baixos níveis de maturidade em segurança, muitas vezes decorrentes da proliferação de ferramentas.

Quando diferentes equipes de desenvolvimento trabalham em partes distintas de aplicações distribuídas em várias plataformas, isso gera uma complexidade no gerenciamento de APIs que resulta em aplicações inseguras e com baixo desempenho. Podem surgir problemas decorrentes de falhas de implantação, degradação do desempenho ou acesso mal-intencionado a tráfego confidencial, e é difícil corrigi-los — quanto mais identificar sua causa. Reduzir essa complexidade em escala diminui os riscos e oferece um conjunto consistente de políticas de configuração, desempenho e segurança, otimizadas de acordo com os objetivos da sua empresa. Fornecer às equipes de DevOps um conjunto padronizado de ferramentas para automatizar os controles adequados nos processos de desenvolvimento e gerenciamento de APIs permite que suas aplicações cresçam junto com a sua empresa.

Solução

As empresas precisam manter e aprimorar suas APIs tradicionais e, ao mesmo tempo, desenvolver novas APIs usando arquiteturas de microsserviços nativas da nuvem. Elas podem ser disponibilizadas por meio de sistemas privados bare metal, da nuvem ou de soluções de trânsito multinuvem. As APIs são difíceis de categorizar, pois são usadas para oferecer diversas experiências aos usuários, e cada uma delas pode exigir um conjunto diferente de controles de desenvolvimento, publicação e segurança. A flexibilidade das soluções F5 NGINX permite atender a diversos casos de uso ou padrões arquiteturais para cumprir os requisitos de qualquer equipe de desenvolvimento.

Casos de uso comuns de gerenciamento e publicação de APIs

Em todas as soluções descritas abaixo, F5 NGINX Management Suite  é usado para funções de gerenciamento de APIs, como publicação das APIs, configuração de autenticação e autorização e uso do gateway de API oferecido no NGINX Plus para formar o caminho de dados. Os controles de segurança são implementados com base nos requisitos de segurança dos dados e da plataforma de entrega de APIs.

1. APIs para empresas altamente regulamentadas
   
   APIs empresariais que envolvem a troca de informações confidenciais ou regulamentadas podem exigir controles de gerenciamento, geração de relatórios e segurança para garantir a conformidade com regulamentações adicionais ou normas do setor. Por exemplo, aplicações que fornecem informações de saúde protegidas ou informações financeiras confidenciais devem atender a padrões específicos do setor. A aplicação de políticas, o controle de acesso baseado em funções e passível de auditoria, a análise de dados e a inspeção de payloads em escala tornam-se mecanismos essenciais para gerenciar e proteger esse tipo de API.
   
   A combinação da tecnologia avançada de firewall de aplicações web (WAF) líder do setor para interfaces de aplicações com o gateway de API do F5 NGINX Plus e o F5 NGINX App Protect WAF oferece proteção superior para perímetro, APIs e microsserviços, garantindo disponibilidade e desempenho essenciais para operações de missão crítica.
   
   
2. APIs distribuídas em várias nuvens
   
   Aplicativos móveis que atendem usuários no mundo todo precisam de back-ends distribuídos geograficamente para fornecer respostas de API com baixa latência. Outros serviços de aplicativos também podem precisar ser distribuídos, aproximando cargas de trabalho com alto volume de transações dos consumidores ou dos dados para melhorar o desempenho. Para otimizar o tempo de resposta, você precisará de uma plataforma distribuída que orquestre a disponibilização de endpoints de API a partir de vários locais para atender à sua base de usuários.
   
   F5 NGINX Plus  oferece recursos de gateway de API, balanceamento de carga e segurança independentes de plataforma. Quando implantado com o módulo API Connectivity Manager do F5 NGINX Management Suite , ele permite que as equipes de DevOps e AppDev publiquem APIs em escala com alto desempenho, automação e segurança.
   
   Para fornecer conectividade avançada entre várias nuvens aos seus ambientes distribuídos, as soluções de rede multinuvem do F5 Distributed Cloud  separam os desafios de infraestrutura de rede voltados para NetOps da implantação de aplicativos. Assim, a equipe de DevOps não precisa mais se preocupar com a sobreposição de endereços IP e configurações complexas de roteamento e pode se concentrar em fornecer infraestrutura pronta para desenvolvimento a qualquer momento. Faça um test drive dos serviços do F5 Distributed Cloud  e dos casos de uso de implantação do NGINX  para solucionar seus desafios de multinuvem.
   
   
3. Cargas de trabalho de API no Kubernetes
   
   F5 NGINX Ingress Controller é um balanceador de carga, cache, gateway de API e WAF completo para microsserviços no Kubernetes. Combinado com o F5 NGINX Service Mesh, que é sempre gratuito, permite que o DevOps controle o desenvolvimento e a implantação de APIs. O NGINX Ingress Controller para NGINX Plus integra-se totalmente ao NGINX App Protect em uma configuração única e fácil de implantar, reduzindo o custo e a complexidade de aplicações de nível de produção. O NGINX Service Mesh é usado para fornecer visibilidade do tráfego leste-oeste e segurança baseada em mTLS para as cargas de trabalho.
   
   NGINX Ingress Controller para NGINX Plus integra-se ao NGINX Service Mesh para oferecer um plano de dados unificado com segurança, funcionalidade e escalabilidade de nível de produção. Leve e focado no gerenciamento do tráfego de aplicações da Camada 7 dentro dos clusters, o NGINX Service Mesh não é intrusivo, permitindo que o restante da sua pilha de tecnologia funcione sem complicações, como deve ser.

Conclusão

As soluções da F5 disponibilizam, gerenciam e protegem APIs e a infraestrutura usada para hospedá-las, independentemente da sua plataforma ou arquitetura de automação. A F5 oferece proteção robusta contra bots e explorações comuns e avançadas de APIs, além de integração com DevOps para publicação e visibilidade do desempenho das APIs. Juntas, essas soluções ajudam você a alcançar seu objetivo de portabilidade de aplicações onde quer que elas sejam implantadas, aproximando as cargas de trabalho dos seus clientes.

Dê às suas equipes de desenvolvimento e operações a agilidade necessária para atender às necessidades atuais da empresa, oferecendo a elas a liberdade de usar o ambiente mais adequado para cada tarefa — seja hospedado na nuvem ou localmente — e a versatilidade para atender às necessidades futuras da empresa, com uma arquitetura portátil que acompanha suas mudanças.

Principais recursos