sécurité des apis - événement ibm du 17 novembre 2015

1 © 2015 IBM Corporation1 © 2015 IBM Corporation

IBM API Management#ibmapimgt

Magali Boulet

Pan-IMT Middleware Technical Sales

magali.boulet@fr.ibm.com

magaliboulet

Rappel pour commencer

API Management Layer

API Gateway

AnalyticsDeploie APIs

IBM API Management

Les acteurs en jeu dans l’Economie des APIs

Utilisateurs

Augmentation du chiffre

d’affaires par l’usage

d’applications

Applications

Accèdent aux services de backendà travers les

Web APIs

Développeurs

Utilisent les APIs pour créer des

applications

Web API

APIs donnant accès aux services métiers

Servicesd’entrepriseExposables

Données métier

Besoin d’un niveau de sécurité particulier à chaque niveau

APIs

• Approche RESTful• TLS (certificats clients et serveurs)

• Oauth2

• Eventuellement signature, chiffrement

• Mais aussi : SAML, ou autre jeton de sécurité

IBM DataPower GatewaysSécurité du protocole de communication

Sécurité des échanges (payload)

Contrôle d’accès

Protection contre les menaces

Web API

APIs donnant accès aux services métiers

B2B

Web

Cloud

API

SOA

Mobile

Développeurs d’applications

• Authentification

• Gestion de groupes de développeurs

IBM API ManagementDéveloppeurs

Utilisent les APIs pour créer des

applications

Applications

• Enregistrement • AppId, AppSecret

• Soucription aux APIs• Association AppId (et évenuellement AppSecret) aux operations

• Quota d’usage

IBM API Management, en lien avec la passerelle de sécurité

Applications

Accèdent aux services de backendà travers les

Web APIs

Utilisateurs finaux

• Authentification, Autorisation

• Conversion de jeton

IBM DataPower GatewaysSécurité du protocole de communication

Sécurité des échanges (payload)

Contrôle d’accès

Protection contre les menaces

Utilisateurs

Augmentation du chiffre

d’affaires par l’usage

d’applications

B2B

Web

Cloud

API

SOA

Mobile

Autres protections à envisager

• Menaces: injections, déni de services

• Niveau de service (Quota) et protection des back-end (absorbeur de choc)

API

Management

Layer

SOAP / RESTServices

Providers/ ESB

API

Gateways

API

Management

Layers

portal

API API

ManagementAnalytics

Consumer

API Manager

Cas d’usage : IBM API Management interne

Lo

ad

Ba

lan

cin

g

Developer PortalAPI Manager

API

Management

Layer

API

Gateways

Reverse Proxy Web

API

Management

Layers

portal portal

API API

API

Consumer

API Manager

Lo

ad

Ba

lan

cin

g

SOAP / RESTServices

Providers/ ESB

ManagementAnalytics

Cas d’usage : IBM API Management externe

Pour aller plus loin• Présentation en français

• http://www.slideshare.net/MagaliBoulet/introduction-a-ibm-api-management

• Site Web• ibm.com/apimanagement

• API Management Saas• https://apim.ibmcloud.com/

• API developer community• developer.ibm.com/api

• Twitter• @ibmapimgt

• YouTube• youtube.com/ibmapimanagement

• Speaker Deck• speakerdeck.com/ibmapimgmt