Los cinco pilares de la gestión de API

Los cinco pilares
de la gestión
de API
Introducción: Gestión de la nueva
empresa accesible
Materialización de las oportunidades de la economía de API Superación de los desafíos de una publicación de API
segura y fácil de manejar
En los sectores industriales, los límites de la empresa tradicional
están desapareciendo, pues las organizaciones están ampliando las
funcionalidades de aplicaciones y datos in situ a las organizaciones
asociadas, la Web, las aplicaciones móviles, los dispositivos móviles
y la nube. Las API (interfaces de programación de aplicaciones) forman
la base de este nuevo tipo de empresas accesibles, lo que les permite
reutilizar sus activos de información existentes salvando todos los
límites de la organización.
Las API capacitan a las empresas para readaptar rápidamente los
sistemas de TI, agregar valor a la oferta existente y desplegar nuevos
flujos de ingresos. No obstante, no es de extrañar que la exposición de
sistemas in situ a través de las API pueda entrañar también una serie
de nuevos desafíos de seguridad y gestión. El concepto “gestión de
API” hace referencia a un conjunto de procesos y tecnologías surgidos
en los últimos años con el fin de ayudar a las empresas a superar
estos desafíos.
Las soluciones de gestión de API pretenden simplificar, incluso a las
organizaciones más preocupadas por la seguridad, la ampliación de
sus activos de información para el uso por parte de organizaciones
asociadas, desarrolladores externos, aplicaciones móviles y servicios
en la nube, sin que ello repercuta en la seguridad de los datos ni en
el rendimiento de los sistemas back-end. Las completas soluciones
de gestión de API proporcionan además funcionalidades para la gestión
de los desarrolladores de aplicaciones que utilizan las API de la empresa.
02
Descripción general: 5 pilares de la gestión de API
Exposición de los datos y funcionalidades de la empresa en formatos aptos para API
Convierta los complejos servicios de aplicaciones in situ en API RESTful aptas para los desarrolladores.
Protección de los activos de información expuestos a través de API para prevenir usos indebidos
Garantice que los sistemas de la empresa están protegidos frente a ataques y apropiaciones indebidas en mensajes.
Autorización del acceso seguro y sin problemas para identidades válidas
Implemente un sólido control de acceso, la federación de identidades y la funcionalidad de inicio de sesión en redes sociales.
Optimización del rendimiento de los sistemas y gestión del ciclo de vida de las API
Mantenga la disponibilidad de los sistemas back-end para API, aplicaciones y usuarios finales.
Interacción, incorporación, formación y gestión de los desarrolladores
Proporcione a los desarrolladores los recursos que necesitan para crear aplicaciones que otorguen un valor auténtico.
03
Exposición de los datos y funcionalidades
de la empresa en formatos aptos para API
Convierta los complejos servicios de aplicaciones internas en API RESTful aptas
para los desarrolladores.
QUÉ
Los datos y aplicaciones de las
empresas suelen estar formados
por una compleja web de
estándares, protocolos, lenguajes
de programación y formatos
de archivos.
La primera fase de la gestión de
API presenta diversos activos de
información en un formato que los
desarrolladores pueden comprender
y aprovechar.
Normalmente, esto implica
la publicación de interfaces de
programación de aplicaciones
que emplean el protocolo
REST (“API RESTful”).
POR QUÉ
CÓMO
Los sistemas in situ dependen
habitualmente de servicios de
aplicaciones prestados en formatos
patentados demasiado complejos
como para funcionar de forma
eficiente a través de la Web o las
aplicaciones móviles.
Los servicios de aplicaciones
asociados con el habitual estilo de
arquitectura orientada a servicios
(SOA) emplean, generalmente, el
protocolo SOAP, mientras que los
equipos de desarrollo web y de
dispositivos móviles confían en REST.
Si las API no se entregan en un
formato que los desarrolladores
internos y externos puedan aprovechar
fácilmente, estas no facilitarán
la creación de ninguna nueva
aplicación realmente valiosa.
Más información: Charla técnica sobre API: Simplifying REST Adaptation.
04
Las soluciones de gestión de API más
eficaces incluyen funcionalidades para
presentar servicios empresariales
heredados como API RESTful.
Normalmente, esto implica el uso
de la arquitectura orientada a servicios
o de la puerta de enlace de API para
convertir automáticamente los datos
de los servicios basados en SOAP en
API RESTful.
Para ser plenamente eficaz, la puerta
de enlace debe facilitar la composición
de manera eficiente de las API RESTful
a partir de “recopilaciones” de varios
servicios de aplicaciones existentes.
Protección de los activos de información
expuestos a través de API para prevenir usos indebidos
Asegúrese de que los sistemas de la empresa estén protegidos frente a ataques y apropiaciones
indebidas en mensajes.
QUÉ
La apertura de los activos de
información de las empresas para
su uso en nuevas aplicaciones los
expone a muchas de las amenazas
de seguridad que plagan la Web
(por ejemplo, virus o ataques de
denegación del servicio).
Además, las API entrañan una serie
de nuevos y exclusivos desafíos
de seguridad que van más allá de
aquellos a los que las empresas están
acostumbradas a tratar en la Web.
Quizás la función más esencial de la
gestión de API sea la creación de una
capa de seguridad que garantice que
los piratas informáticos no puedan
acceder a los sistemas expuestos, hacer
uso indebido de ellos ni atacarlos.
POR QUÉ
CÓMO
Las API son ventanas a las aplicaciones
y los datos, lo que posiblemente otorga
a los piratas informáticos una visión de
los trabajos internos de los sistemas
empresariales y una vía de acceso
a ellos.
Probablemente, la función principal
del tipo de puerta de enlace de API
mencionado antes sea la inspección y
filtrado de todo el tráfico de las API, con
el fin de identificar y neutralizar después
las amenazas actuales y las emergentes.
Esto aumenta las posibilidades de que
los piratas informáticos puedan robar
información confidencial, apropiarse
de interfaces públicas con fines ilícitos
o bloquear sistemas importantes.
Para que sea eficaz, la puerta de enlace
debe diseñarse y certificarse para
resolver las amenazas en los mensajes
y las específicas de API, por ejemplo,
la inyección de código SQL, los ataques
de denegación del servicio y los virus.
Las soluciones de seguridad en línea
convencionales diseñadas para la Web
no cubren todas las amenazas posibles
originadas a partir de la publicación de
las API, por lo que debe implementarse
una seguridad de API específica.
Más información: Libro blanco: Protecting Your APIs Against Attack & Hijack.
05
Los perfiles de amenazas y la
funcionalidad de seguridad de la
puerta de enlace también deben poder
actualizarse fácilmente con el fin de
resolver los nuevos tipos de amenazas
a medida que surjan.
Autorización del acceso seguro y sin
problemas para identidades válidas
Implemente un sólido control de acceso, la federación de identidades
y la funcionalidad de inicio de sesión en redes sociales.
QUÉ
Cualquier empresa que quiera proteger
totalmente sus API frente a posibles
ataques debe proporcionar a los
desarrolladores un marco de trabajo
que les permita controlar cómo
acceden los usuarios a los activos
de la empresa a través de dichas API.
POR QUÉ
CÓMO
El control de acceso es la piedra
angular de la seguridad de las API.
La clave está en evitar que usuarios
no autorizados obtengan niveles
de acceso inadecuados a los activos
de la empresa.
Una puerta de enlace de API debe
incluir funcionalidades listas para
usar diseñadas con el fin de crear una
infraestructura de control de acceso
centrada en API mediante estándares
clave y recursos existentes.
Este marco de trabajo debe tratar de
equilibrar la seguridad back-end y la
experiencia del usuario final mediante
el aprovechamiento de los principales
estándares de gestión de identidades
y accesos (IAM), por ejemplo, OAuth.
OAuth es especialmente útil en este
sentido, ya que permite a los editores
implementar de forma flexible los
niveles de seguridad pertinentes
y federar las identidades de los
sistemas de IAM existentes y de
las cuentas de redes sociales.
La puerta de enlace debería poder
integrarse a la perfección con los
principales sistemas de IAM, como
CA Single Sign-On (CA SSO), Oracle
Access Manager, Microsoft Active
Directory® e IBM Tivoli®.
Para lograr un mejor equilibrio, el
marco de trabajo debe poder utilizar
la infraestructura de IAM existente
y permitir a los usuarios el acceso
a través del inicio de sesión único (SSO)
de la empresa o del inicio de sesión
en las redes sociales.
El aprovechamiento de las
infraestructuras de IAM existentes
reduce también los costes, disminuye
el tiempo de configuración
y maximiza la capacidad de gestión
a largo plazo, evitando así la creación
de unidades aisladas de identidades.
Más información: Libro electrónico: 5 OAuth Essentials for API Access Control.
06
Asimismo, debería incluir plantillas
personalizables para la implementación
del control de acceso, de SSO y de inicio
de sesión en redes sociales
en casos de uso habituales, de
acuerdo con OAuth y otros estándares
importantes.
Optimización del rendimiento de los
sistemas y gestión del ciclo de vida de las API
Mantenga la disponibilidad de los sistemas back-end para API, aplicaciones y usuarios finales.
QUÉ
POR QUÉ
CÓMO
El tráfico de las API debe tratarse
de manera eficiente con el fin
de asegurar que las aplicaciones
creadas en API funcionan de forma
homogénea y que el rendimiento
de los sistemas back-end no se
ve comprometido.
La introducción de aplicaciones
web y móviles que aprovechan
los sistemas back-end puede
conllevar un repentino aumento
del tráfico de TI,
lo que provoca bloqueos y la
consiguiente falta de disponibilidad.
Además, hay una puerta de enlace
de API que sirve para crear y proteger
API estratégicamente situada para
controlar el flujo de tráfico de API
y gestionar su ciclo de vida con
vistas a garantizar la disponibilidad
y el rendimiento.
Los datos de los sistemas back-end
deben presentarse en formatos
ligeros, optimizados para patrones
de uso y filtrados convenientemente.
Es fundamental optimizar el flujo
del tráfico de las API con el fin de
garantizar una experiencia de usuario
satisfactoria y homogénea para los
desarrolladores, los usuarios de las
aplicaciones que dependen de API
y los usuarios internos.
Para la gestión del rendimiento,
la puerta de enlace deberá ofrecer
funcionalidad de enrutamiento fácil
de escalar, mediación de servicios,
almacenamiento en caché de
mensajes, agregación de llamadas
y compresión de tráfico.
Al mismo tiempo, la gestión del ciclo de
vida de las API es crucial para garantizar
que las aplicaciones existentes no
fallen cuando se actualizan las API,
los clientes y los sistemas operativos.
En cuanto a la gestión del ciclo de vida,
deberá ofrecer funciones de resolución
de dependencias y reasignación,
además de un control de versiones
automático que incluya la restauración
a cualquier versión anterior.
Para garantizar la viabilidad de la
aplicación a largo plazo, también
es necesario gestionar con cuidado
el ciclo de vida de las API mientras
pasan por las fases de desarrollo,
pruebas y producción.
07
Interacción, incorporación, formación
y gestión de los desarrolladores
Facilite a los desarrolladores los recursos que necesitan para crear aplicaciones
que verdaderamente ofrezcan buenos resultados.
QUÉ
La mayor parte del auténtico valor de
las API de una organización proviene
de los desarrolladores que crean
aplicaciones web y móviles o de
los nuevos sistemas empresariales
basados en estas API.
Es fundamental dirigirse a los
desarrolladores con las herramientas
y materiales que necesitan para
descubrir, aprender, probar y crear
aplicaciones basadas en las API
de la organización.
Estos desarrolladores pueden
ser empleados internos, partners,
contratistas o desarrolladores de
larga cola independientes. Cada grupo
requerirá un conjunto concreto de
recursos adaptados a sus necesidades.
POR QUÉ
CÓMO
Los desarrolladores son una parte
esencial de cualquier estrategia de
publicación de API. Los editores de API
necesitan desarrolladores para crear
aplicaciones que los empleados, partners
y clientes realmente puedan utilizar
y que les ofrezcan ventajas.
Para lograr que los desarrolladores
creen aplicaciones de auténtico valor,
los editores deben ser capaces de
atraer a desarrolladores con talento
y proporcionarles las herramientas
que necesitan con el fin de sacar
partido a las API.
Cuanto más atractivas e interactivas
sean las herramientas proporcionadas
por el editor de API para capacitar
y formar a los desarrolladores, más útiles
serán las aplicaciones creadas por estos.
08
Tanto para los desarrolladores
internos como externos, la forma
más eficaz de interactuar con
los desarrolladores y formarlos
es mediante un portal en línea
interactivo de marca.
Este portal debe facilitar a los
desarrolladores el registro para
consultar las API y el acceso
a documentación interactiva,
aplicaciones de muestra,
ejemplos de código, herramientas
de comprobación y foros de debate.
Las eficaces soluciones de gestión
de API incluyen funcionalidades
que simplifican la creación de un
completo portal para desarrolladores,
preintegrado en la puerta de
enlace de API.
Conclusión: Implementación
de una solución completa
para la gestión de API
Al igual que las tecnologías web, móviles y de la nube se están convirtiendo en una parte
cada vez más importante para el desarrollo del mundo de los negocios, las API también
se están convirtiendo en un elemento impulsor clave para las empresas inteligentes.
Para apreciar realmente el valor de las API y evitar los obstáculos derivados de la exposición
de los sistemas empresariales, es fundamental implementar una tecnología que capacite
y simplifique los principales procesos de gestión de API relacionados con la composición
de servicios, la seguridad, la optimización del rendimiento, la gestión del ciclo de vida y la
interacción con los desarrolladores.
CA API Management Suite incluye todos los componentes necesarios para una gestión eficaz
de API en la empresa, incluida una gran variedad de puertas de enlace de API diseñadas
con el fin de simplificar todos los procesos de gestión y seguridad de API importantes.
El paquete de gestión de API incluye también un portal API para atraer y gestionar a los
desarrolladores, y un conjunto de herramientas de OAuth que garantice una gestión
de acceso segura y basada en estándares a las API de las empresas.
Además, CA API Management Suite ofrece las siguientes posibilidades:
• Una selección de implementaciones in situ, en la nube o híbridas.
• Seguridad de aplicaciones y datos de nivel militar.
• Análisis sobre el uso de API.
• Gestión de operaciones que puede abarcar los centros de datos y las nubes distribuidos.
• Adaptación de aplicaciones y gestión de interfaces con conectividad de SOA avanzada.
09
Acerca de CA API Management
La economía de las API es cada vez más popular, los dispositivos móviles
están proliferando en el lugar de trabajo y las grandes organizaciones
están trasladando su infraestructura básica de TI a la nube. Esta realidad
crea la necesidad de contar con tecnologías capaces de conectar de
forma segura con los desarrolladores externos, las aplicaciones móviles
y los servicios en la nube. CA Technologies se sitúa a la vanguardia
en este novedoso mercado.
En septiembre de 2014, la solución CA API Gateway fue galardonada
como líder en el espacio de gestión de API por la firma de análisis
Forrester Research, en su informe “The Forrester Wave: API Management
Platforms Q3 2014.1 CA API Management es un elemento clave de
las soluciones que CA Technologies ofrece a aquellas empresas que
necesitan proteger y gestionar complejos entornos de TI para respaldar
procesos de negocio ágiles.
Los productos de puerta de enlace de CA Technologies son líderes del
sector y facilitan a las empresas el uso compartido de datos con los
clientes, las aplicaciones móviles y los servicios en la nube. Nuestros
productos, presentados como aplicaciones de hardware de trabajo en
red, aplicaciones virtuales o software, están ayudando a las grandes
organizaciones a permitir el acceso a ellas desde la Web, las redes
móviles y la nube, sin poner en peligro la seguridad ni el rendimiento.
Más información en ca.com/es/api.
1
Forrester Research, Inc., The Forrester Wave: API Management Platforms, tercer trimestre de 2014, 29 de septiembre de 2014
CA Technologies (NASDAQ: CA) crea software que impulsa la transformación de las empresas y les permite aprovechar
las oportunidades que brinda la economía de las aplicaciones. El software es el corazón de cada empresa, sea cual sea su
sector. Desde la planificación hasta la gestión y la seguridad, pasando por el desarrollo, CA trabaja con empresas de todo
el mundo para cambiar la forma en que vivimos, realizamos transacciones y nos comunicamos, ya sea a través de la nube
pública, la nube privada, plataformas móviles, entornos de mainframe o entornos distribuidos. Para obtener más
información, visite ca.com/es.
Copyright © 2015 CA. Todos los derechos reservados. Microsoft Active Directory® es una marca comercial registrada de Microsoft Corporation en Estados Unidos u otros países.
IBM Trivoli® es la marca comercial de International Business Machines Corporation en Estados Unidos y otros países. Todas las demás marcas, nombres comerciales, logotipos
y marcas de servicio a los que se hace referencia en este documento pertenecen a sus respectivas empresas. El propósito de este documento es meramente informativo. CA no
se responsabiliza de la precisión e integridad de la información. En la medida de lo permitido por la ley vigente, CA proporciona esta documentación “tal cual”, sin garantía de
ningún tipo, incluidas, a título enunciativo y no taxativo, las garantías implícitas de comerciabilidad, adecuación a un fin específico o no incumplimiento. CA no responderá en
ningún caso de las pérdidas o daños, directos o indirectos, que se deriven del uso de esta documentación, incluidas, a título enunciativo y no taxativo, la pérdida de beneficios,
la interrupción de la actividad empresarial, la pérdida del fondo de comercio o la fuga de datos, incluso cuando CA hubiera podido ser advertida con antelación y expresamente
de la posibilidad de dichos daños. Los datos y los resultados que se indican en este documento se basan en la experiencia del autor con los productos de software mencionados
en diversos entornos, entre los que pueden incluirse entornos de producción o de no producción. El rendimiento anterior de los productos de software en tales entornos no
es necesariamente un indicador del rendimiento futuro de esos productos en entornos idénticos, similares o diferentes.
CS200-132272_0615