Quelles sécurités prévoir pour exposer des APIs ? Ce support brosse quelques pistes, aux niveaux API, Application, Développeur et utilisateur final.

1. 1 © 2015 IBM Corporation1 © 2015 IBM Corporation
IBM API Management
#ibmapimgt
Magali Boulet
Pan-IMT Middleware Technical Sales
magali.boulet@fr.ibm.com
magaliboulet

2. Rappel pour commencer
API Management Layer
API Gateway
AnalyticsDeploie APIs
IBM API Management

3. Les acteurs en jeu dans l’Economie des APIs
Utilisateurs
Augmentation
du chiffre
d’affaires par
l’usage
d’applications
Applications
Accèdent
aux services
de backend
à travers les
Web APIs
Développeurs
Utilisent les
APIs pour
créer des
applications
Web API
APIs donnant
accès aux
services
métiers
Services
d’entreprise
Exposables
Données métier
Besoin d’un niveau de sécurité particulier à chaque niveau

4. APIs
• Approche RESTful
• TLS (certificats clients et serveurs)
• Oauth2
• Eventuellement signature, chiffrement
• Mais aussi : SAML, ou autre jeton de sécurité
 IBM DataPower Gateways
Sécurité du protocole de communication
Sécurité des échanges (payload)
Contrôle d’accès
Protection contre les menaces
Web API
APIs donnant
accès aux
services
métiers
B2B
Web
Cloud
API
SOA
Mobile

5. Développeurs d’applications
• Authentification
• Gestion de groupes de développeurs
 IBM API Management
Développeurs
Utilisent les
APIs pour
créer des
applications

6. Applications
• Enregistrement
• AppId, AppSecret
• Soucription aux APIs
• Association AppId (et évenuellement AppSecret) aux operations
• Quota d’usage
 IBM API Management, en lien avec la passerelle de sécurité
Applications
Accèdent
aux services
de backend
à travers les
Web APIs

7. Utilisateurs finaux
• Authentification, Autorisation
• Conversion de jeton
 IBM DataPower Gateways
Sécurité du protocole de communication
Sécurité des échanges (payload)
Contrôle d’accès
Protection contre les menaces
Utilisateurs
Augmentation
du chiffre
d’affaires par
l’usage
d’applications
B2B
Web
Cloud
API
SOA
Mobile

8. Autres protections à envisager
• Menaces: injections, déni de services
• Niveau de service (Quota) et protection des back-end (absorbeur de
choc)

9. API
Management
Layer
SOAP / REST
Services
Providers
/ ESB
API
Gateways
API
Management
Layers
portal
API API
Management
Analytics
Consumer
API Manager
Cas d’usage : IBM API Management interne
LoadBalancing
Developer Portal
API Manager

10. API
Management
Layer
API
Gateways
Reverse Proxy Web
API
Management
Layers
portal portal
API API
API
Consumer
API Manager
LoadBalancing
SOAP / REST
Services
Providers
/ ESB
Management
Analytics
Cas d’usage : IBM API Management externe

11. Pour aller plus loin
• Présentation en français
• http://www.slideshare.net/MagaliBoulet/introduction-a-ibm-api-management
• Site Web
• ibm.com/apimanagement
• API Management Saas
• https://apim.ibmcloud.com/
• API developer community
• developer.ibm.com/api
• Twitter
• @ibmapimgt
• YouTube
• youtube.com/ibmapimanagement
• Speaker Deck
• speakerdeck.com/ibmapimgmt