掌握4大要素：强化应用架构，提升应用和API安全性

F5生态系统 | 2023年10月11日

Chin Keng Lim

《降世神通：最后的气宗》是21世纪初广受欢迎的一部动画剧集。对于不熟悉这部作品的人来说，身为神通的安昂需要掌握气、水、土、火四大元素，以维持世界的和谐。虽然他可以分别运用每种元素的力量，但只有融会贯通所有元素，才能发挥出更强大的力量。

有趣的是，这部动画让我联想到当前的应用架构格局。随着应用托管在不同环境中，其架构日益碎片化和分布式化。因此，API安全管理变得复杂得多，需要制定全面的API安全策略来缓解API风险。

就像掌控四大元素一样，如果应用架构也能更具韧性、更易于管理，会怎么样？集中式应用平台正可在此发挥作用，简化分布式应用和API安全管理。

以下4个主要层级构成了应用和API安全最佳实践的基础框架。借助这些层级，可以从战略角度思考如何简化架构复杂性、更有效地整合服务并提升效率，像《降世神通》中的神通王一样掌控您的环境。

1）全球站点共享服务层

无论使用公有云还是私有云基础设施，确保Web应用和API的安全都至关重要。

首先，应考虑如何保护部署在多云和分布式环境中的Web应用和API。为此，可实施域名系统（DNS）、内容分发网络（CDN）、Web应用和API保护（WAAP）以及反滥用措施，增强对Web和API攻击、威胁活动、机器人及高级欺诈的防御，从而提供强有力的保护。

通过在异构多云环境中采用一致的配置和运维模式，这有助于为分布式应用和API实现创新，提供高性能、可靠且安全的连接，以及零信任安全。由此可构建环境即服务（EaaS）平台，使应用与环境能够协同运行并接受版本控制。EaaS让IT团队可以灵活选择成本效益更高的环境来测试和运行应用及API。

详细了解如何在分布式云中连接、保护和部署应用。

2）站点共享服务层

在站点级别，可以指定与全局策略不同的策略。这些站点范围的策略应仅包含适用于相应区域设置的例外情况。

站点共享服务层在支持传统应用和现代应用方面也发挥着关键作用，弥合了旧有系统与较新的云原生应用之间的差距。同时，该层对于保障站点安全、监控整体系统运行状况，以及持续评估站点内各个应用的运行状况至关重要。通过集中提供这些功能，该层有助于增强站点韧性、落实可靠的安全措施，并推动以主动方式维护站点内的应用和系统。

了解如何利用BIG-IP应用服务扩展应用流量处理能力并保护基础设施。

3）应用服务层

应用服务层进一步保护应用分区。该层可以忽略全局级和站点级策略，专注于应用专属的保护策略。

当组织从传统虚拟机（VM）迁移到更敏捷的Kubernetes环境时，便会面临一项挑战：难以将现代DevSecOps和CI/CD实践与传统VM及传统API网关无缝集成。

对于现代应用，轻量级且适合DevSecOps的微网关和NGINX等专用API网关部署在容器化或传统VM中的服务端点。其主要功能是为企业基础设施的特定部分提供专门支持，增强Kubernetes环境中应用分区的安全性，并强化Kubernetes集群的整体安全性。

4）管理与运维层

管理与运维层是统领全局的层级，通过自动化交付、运维可观测性、洞察分析和无缝集成的业务工作流，将其他所有层级整合为一个整体。

在这一层，您可以采用基础设施即代码（IaC）方法，实现应用环境基础设施的自动化。该方法可简化应用架构的管理和部署，使其符合预定义的安全防护规则，并通过一套统一的实践和工具，促进网络运维（NetOps）、安全运维（SecOps）和开发运维（DevOps）团队之间的协作。这样便可大规模、快速且可靠地交付应用及其配套基础设施。