API治理最佳实践

F5 Newsroom Staff

API蔓延是指组织内部API不受控制地增长和扩散，其成因既包括现代IT架构中API数量的指数级增长，也包括API在全球分布式数字环境中的广泛使用。API数量激增带来了日益严峻的挑战：随着组织构建和部署越来越多的API，如果缺乏统一的策略或集中监管，就会越来越难以有效管理。为此，需要建立API治理流程并采用相应工具，以帮助应对API蔓延给贵组织带来的重大运营和安全挑战。

为什么API蔓延会成为一个问题？现代微服务应用架构的广泛采用显著加剧了API的激增。API如同连接纽带，将构成当今应用的模块化服务和组件连接起来。API可以简化并加快开发周期，让开发人员能够轻松集成现有数据、复用功能或接入第三方服务，而不必从头构建所有内容。

此外，鉴于94%的组织在多个环境中部署应用，API被用于连接分布在不同平台和位置的众多服务与数据集。这种碎片化使得确保API质量、可见性和安全性的一致性变得愈发困难。即使是维护全面且最新的API清单，对许多组织而言也已成为一项复杂的挑战。

本文将深入探讨API治理的相关概念。继续阅读，了解什么是API治理，以及它与API管理和API安全有何不同。您还将了解API治理的三种模式，并探索最佳实践策略。

什么是API治理？

API治理是指一套政策和标准，用于规范API的设计、构建、安全防护、监控和维护方式。API治理旨在提升API的质量、一致性、安全性和法规合规性。其涵盖所有类型的API，包括内部开发的API，以及来自合作伙伴或供应商的第三方API。

此外，随着越来越多的企业采用现代化的API 优先战略，即从服务和 API 入手设计应用，治理变得更加重要，因为它可确保在 API 层面将一致性、安全性和合规性融入应用。

API治理流程应覆盖整个API生命周期，并涵盖以下方面：

• API开发标准。这些标准为开发人员如何构建API提供明确指导，包括使用OpenAPI规范，以及采用设计模式、样式指南、元数据要求和版本控制实践。这些标准有助于确保所有API的一致性、互操作性和可维护性。
• API安全策略。这些策略规定了为保护API及其访问和公开的数据而必须实施的安全措施，包括加密、身份验证和授权、速率限制、敏感数据处理，以及漏洞扫描和持续异常检测等威胁检测功能。
• 文档标准。这些标准明确了对API文档质量和完整性的要求，包括详细的技术规范、使用指南、代码示例、实践建议和故障排除资源，使API易于理解并得到广泛使用。
• 监控和分析。治理还包括制定API监控和分析要求，其中涉及明确监控频率和方法，例如使用自动化工具进行持续监控或定期开展人工审核，并指定需要跟踪的关键绩效指标（KPI）。

API治理、API管理与API安全的区别

API治理、管理和安全密切相关，但又各有侧重。应首先实施治理，以确保一致地部署API管理和API安全实践。

API管理是指使用开发者门户、API网关和API生命周期管理软件等工具实施API治理策略。这些工具通常整合在API管理平台中。治理策略既可以规定工具要求，例如要求各团队使用标准化平台，也可以规定运营实践，例如API密钥和凭据的管理方式。

API安全是指执行API治理策略中定义的安全与合规要求。虽然一些组织依赖专用的API安全工具，但越来越多的组织开始采用Web应用和API防护（WAAP）解决方案，以实现更广泛的一体化防护。治理策略可以规定API的最低安全要求，包括所需的基线控制措施和配置准则，例如API网关、WAF和/或API防护解决方案应如何抵御来自所有威胁向量的潜在攻击。这些要求可能涵盖Web应用、API和自动化威胁的OWASP十大风险列表，还可推动落实API安全规范最佳实践，例如避免对API密钥进行硬编码，或将其嵌入客户端库源代码中。

API治理模型

API治理模式分为三种：集中式、分散式和自适应式：

集中式治理由一个中央团队负责管理，该团队负责制定、审查和批准所有治理策略。这种方法的优势在于，它可以实施严格的治理策略，并确保整个组织保持一致。但另一方面，僵化的一刀切方法并非总是有效，还可能拖慢开发团队的进度，促使团队采用变通方法，并导致“影子IT”兴起。

分散式治理赋予各团队自主权，使其能够自行管理API治理策略。这种方法有助于加快开发，并提供更大的灵活性，以满足各团队的需求。但分散式治理可能导致整个组织的API策略和控制措施不一致，进而带来集成难题、配置错误和合规缺口。

自适应治理在上述两种模式之间实现平衡。中央团队制定全局策略并管理共享基础设施，同时授权开发团队根据其应用和API的具体需求制定本地策略。这些需求可能包括地区、政府或特定行业的合规要求。在大多数情况下，自适应治理能够兼顾两种模式的优势，因为该模式明确区分了必须普遍遵循的策略，以及可在必要时灵活处理的领域。

API治理最佳实践

1. 首先全面盘点API。维护最新的API目录，确定API所在位置，并按公共、私有、第三方或合作伙伴等类型进行分类。使用API发现解决方案，确保API目录始终保持最新。向开发人员开放目录访问权限，鼓励复用现有API，减少重复工作。
2. 明确角色和职责。无论采用何种治理模式（集中式、分散式或自适应），都应明确界定API治理流程、管理、安全和合规等各领域以及相关解决方案和策略的归属权与问责机制。如果策略因API类型、地理区域或开发团队而异，请确保充分记录并传达这些差异。
3. 营造支持团队协作并赋能团队的文化。确保治理策略可集中访问且易于理解。明确团队应用治理策略的要求，并随着策略的演变持续提供培训和更新。征求开发人员的反馈，了解哪些措施行之有效，并解决存在的问题。

F5如何助力API治理

F5提供覆盖整个API生命周期的API管理和安全解决方案，这些解决方案是F5 Application Delivery and Security Platford (ADSP)的一部分。该平台支持全面的API交付，并提供完整的发现、持续监控和检测功能，以及用于实施关键策略的安全控制措施，从而规范API行为并保护API免受攻击。所有这些功能均通过一个集中式平台提供，以便在多样化的IT环境中实现可见性和策略管理。

关于作者

F5 Newsroom Staff

F5 Newsroom Staff 的更多博客文章