API-Security: Ein sicheres API-Gateway trägt zur Sicherheit Ihrer API-Schnittstellen bei

API-Gateway Security - Was ist ein sicheres API-Gateway?

Ein sicheres API-Gateway sorgt für gesicherte Zugriffe und Anwendung von API-Schnittstellen in komplexen Systemen.

Erfolgreiche digitale Unternehmen wissen, dass der Wert ihrer APIs und API-Services steigt, wenn diese mit einem umfassenden Ökosystem aus Anwendungen, Entwicklern, Geschäftspartnern und Customer Experiences verbunden werden. Beim Erschließen dieses Werts Ihrer Unternehmens-APIs können jedoch neue Sicherheitsschwachstellen z.B. an API-Schnittstellen entstehen. Wenn ein Unternehmen öffentlichen Zugriff auf seine APIs gewährt, muss es im Hinblick einer API Security sicherstellen, dass diese APIs richtig gesichert sind und optimal funktionieren. Hier kommen Secure API-Gateways ins Spiel.

Secure API-Gateways sind häufig Bestandteil moderner API-Management Architekturen. Sie helfen Unternehmen bei der Weiterleitung ihrer API-Anfragen, bei der Aggregation von API-Antworten und der Durchsetzung von Service Level Agreements (SLAs) mithilfe von Funktionen wie Datenratenbegrenzung. API-Gateways spielen jedoch auch eine wichtige Rolle als sichere Zugriffspunkte, die die APIs und Schnittstellen eines Unternehmens schützen. API-Gateways implementieren branchenübliche Datenverschlüsselung und Zugriffskontrolle. Dadurch sind API-Entwickler in der Lage, durch ein ausgereiftes API-Management Benutzern Zugriff zu gewähren und sie an den richtigen Ort weiterzuleiten. Gateways verweisen auf von Ihnen definierte Backend-APIs und API-Services und abstrahieren diese in einer Schicht, die durch Ihre API-Managementlösung reguliert ist.

Wie werden Ihre Systeme durch ein Secure API-Gateway gesichert?

Die besten API-Gateways sind von Grund auf für zuverlässige Sicherheit konzipiert. Ein API-Gateway umfasst in der Regel die folgenden Funktionen zur API-Sicherung:

  • Dient als Inline-Proxy-Kontrollpunkt über APIs.
  • Überprüft die mit den API-Anfragen verbundene Identität über Anmeldedaten und Tokenvalidierung sowie andere Authentifizierungsmethoden.
  • Ermittelt, welcher Datenverkehr die notwendige Genehmigung hat, um durch die API zu Backend-Services zu gelangen.
  • Misst den durch die APIs fließenden Datenverkehr mithilfe von Datenratenbegrenzung und Throttling. 
  • Protokolliert alle Transaktionen und wendet Laufzeitrichtlinien an, um Governance durchzusetzen.
  • Stellt Sicherheit für die letzte Meile zu den Backend-Services bereit, die den APIs zugrunde liegen. 

Die branchenführende API-Management-Plattform von MuleSoft bietet durchgehende unternehmensgerechte Sicherheit, darunter auch eine hochleistungsfähige API-Gateway-Komponente.

Das API-Gateway verweist auf von Ihnen definierte Backend-APIs und -Services und abstrahiert diese in einer von der Anypoint Platform verwalteten Schicht. Verbraucheranwendungen rufen Ihre Services auf. APIs leiten an die Endpunkte weiter, die das Gateway bereitstellt, um Laufzeitrichtlinien durchzusetzen sowie Analysedaten zu sammeln und zu verfolgen. Das API-Gateway fungiert als dedizierte Orchestrierungsschicht für all Ihre Backend-APIs, um Orchestrierungs- von Implementierungsanliegen zu trennen. Das Gateway nutzt die Governance-Fähigkeiten von API Manager, sodass Sie Richtlinien für Throttling, Sicherheit und andere Belange auf Ihre APIs anwenden können.

Diagramm eines sicheren API-Gateways

Erste Schritte mit dem Secure API-Gateway von MuleSoft

Mule Runtime Engine umfasst ein integriertes API-Gateway. Mit diesem Gateway können Benutzer ohne jeglichen Programmieraufwand eine einfache Authentifizierungsrichtlinie auf eine Mule-Anwendung anwenden oder eine API durch eine ein-/ausgehende Nachricht anreichern. 

Über das API-Gateway können Sie zu all Ihren Backend-APIs und -Services eine dedizierte Orchestrierungsschicht hinzufügen, um Orchestrierungs- von Implementierungsanliegen zu trennen. Sie können die Governance-Fähigkeiten von API Manager nutzen, um verschiedene Fähigkeiten wie zum Beispiel Throttling, Sicherheit, Caching sowie Protokollierung von API-Anfragen und -Antworten anzuwenden.

Für das API-Gateway verfügbare Konnektoren: 

  • HTTP/S
  • Jetty
  • Web Services Consumer
  • JDBC-Datei

API-Gateway Integrationsfunktionen: 

  • Nachrichtenprozessoren
  • Transaktionsverwaltung
  • Fehlerbehebung
  • Mule Expression Language (MEL)
  • DataWeave (Nachricht transformieren)
  • DataMapper
  • DataWeave

API-Gateway Implementierung:

Das API-Gateway kann in der Cloud oder lokal implementiert werden. Die Entscheidung, welche Umgebung für Ihren Anwendungsfall richtig ist, hängt von zahlreichen Faktoren ab, zum Beispiel vom Standort der Backend-Endpunkte, von der Unternehmensarchitektur und von der Sicherheitsrichtlinie des Unternehmens. Gateways können als einzelne Knoten oder in Clustern implementiert werden, um Anwendungsfälle mit hoher Verfügbarkeit und hohem Durchsatz zu unterstützen.

Optionen für die Installation:

  • Lokale Installation: Das Gateway hinter Ihrer Firewall installieren und verwalten.
  • Cloud-Installation: Das API-Gateway in der Cloud verwenden, wenn Sie keine Software von MuleSoft für Ihr Gateway installieren und pflegen möchten. 

Die Vorteile eines flexiblen API-Gateways

API-Gateways sind ein standardmäßiger Bestandteil des API-Managements. Das im Rahmen der Anypoint Platform bereitgestellte API-Gateway unterscheidet sich jedoch durch ein besonderes Merkmal: Es kann überall implementiert werden – lokal oder in der Cloud. Diese Flexibilität führt zu einer schnelleren Implementierung der Services. Das Gateway nutzt alle im API Manager festgelegten Governance-Richtlinien. Daher werden Sicherheits- und andere Richtlinien ganz nach Ihrer Wahl angewendet.

Für Unternehmen ist es von zunehmender Bedeutung, Implementierungen flexibel lokal oder in der Cloud durchzuführen und Sicherheit entsprechend ihren Anforderungen anzupassen. Bei der Entwicklung hybrider Infrastrukturen müssen Unternehmen verschiedene Services, Anwendungen und Datenquellen aus zahlreichen Bereichen integrieren. Disparate Datensätze und Tools können zu Datensilos, einem doppelten Arbeitsaufwand und einer ineffizienten IT führen. 

Über eine einheitliche Plattform für das Management und die Integration von APIs können Sie an einem zentralen Ort die Benutzer verwalten, den Datenverkehr überwachen und analysieren sowie APIs über Richtlinien sichern. Die vereinheitlichten Funktionen der Anypoint Platform ermöglichen das API-Management für jede Verbindung mit einer einzigen Laufzeit, die als Integrations-Engine und als API-Gateway einsetzbar ist.