API-zichtbaarheid inzetten in WSO2 API Manager

Kennismaking met WSO2 API Manager

API’s zijn een belangrijk onderdeel van de digitale transformatiestrategie.
Daarom is het efficiënt kunnen beheren van API’s een cruciaal onderdeel van een sterke API-managementstrategie.

WSO2 API Manager is een alles-in-één platform voor API-beheer dat de volledige levenscyclus van een API ondersteunt en geavanceerde functies biedt voor betere API-governance.
Hierdoor werken API-ontwikkelaars, API-managers/publishers en API-consumenten regelmatig met WSO2 API Manager om verschillende taken en bewerkingen uit te voeren.

Om deze taken gemakkelijker uit te voeren, biedt WSO2 API Manager een reeks geavanceerde portals.
Van de beschikbare portals behandelt dit blog twee belangrijke onderdelen die te maken hebben met API-zichtbaarheid: de Publisher Portal en de Developer Portal.

De Publisher Portal is de omgeving waarin API-ontwikkelaars, publishers en managers werken.
In deze portal worden API’s ontworpen en ontwikkeld.
API-ontwikkelaars definiëren hier de API-resources, payloads, response codes, enzovoort.
API-beheerders/publishers stellen vervolgens het beleid in dat geldt voor de API’s, zoals beveiligingsinstellingen, eigenschappen, throttling policies, mediatiebeleid, en beheren de API-lifecycle.
Daarna kan de API-publisher de API publiceren naar de gewenste omgevingen — bijvoorbeeld de API-gateways en developer portals.

De Developer Portal is de omgeving waar de gepubliceerde API’s beschikbaar worden gesteld aan consumenten.
API-consumenten kunnen hier de API’s verkennen om inzicht te krijgen in hoe ze werken, de documentatie raadplegen, beveiligingsinformatie, tokenbeheer en policy-informatie bekijken, enzovoort.

Inzicht in API-zichtbaarheid

Standaard kan iedereen die toegang heeft tot de portals alle beschikbare API’s bekijken.
Dit kan problematisch zijn wanneer de portals worden gebruikt door verschillende teams en iedereen toegang heeft tot alle API’s.

In de Publisher Portal kan elke ontwikkelaar of manager elke API bekijken en wijzigen.
Dat kan tot problemen leiden wanneer een team per ongeluk een API van een ander team aanpast.
Bovendien kan dit ook veiligheidsrisico’s met zich meebrengen.

Op een vergelijkbare manier kunnen in de Developer Portal API’s zichtbaar zijn voor ongeautoriseerde gebruikers.
Standaard zijn API’s openbaar zichtbaar zelfs zonder in te loggen in de portal kunnen ze worden bekeken.
Dit gedrag is uiteraard niet wenselijk voor vertrouwelijke API’s.
Daarom is het van cruciaal belang om de API-zichtbaarheid te beperken tot geautoriseerde partijen, zodat alleen de juiste gebruikers toegang krijgen tot de juiste API’s.

Toegangs- en zichtbaarheidsbeheer in de Publisher Portal

Publisher-visibility gaat over het beperken van de toegankelijkheid van API’s tot specifieke gebruikersgroepen, zodat de API’s alleen kunnen worden bekeken, gewijzigd en beheerd door de bedoelde gebruikers.
De Publisher Portal visibility biedt hiervoor twee opties:

1. All (Iedereen)
   • Standaard is deze optie geselecteerd.
     Met deze instelling heeft iedereen die toegang heeft tot de Publisher Portal controle over de API(’s).
2. Restricted by role(s) (Beperkt op basis van rollen)
   • Wanneer je deze optie selecteert, krijg je de mogelijkheid om de geldige rollen te specificeren.
     Alleen gebruikers met deze opgegeven rollen kunnen de API(’s) bekijken, wijzigen en beheren.
   • Eén van de opgegeven rollen moet toebehoren aan de API-creator.
   • Gebruikers met adminrechten of de admin-rol kunnen de API’s nog steeds bekijken en benaderen, ongeacht de ingestelde toegang- of zichtbaarheidsbeperkingen.

Beheer van API-zichtbaarheid in de Developer Portal

Developer Portal API-visibility heeft betrekking op het beperken van het bekijken en gebruiken van API’s door gebruikers.
Met deze opties wordt de API-informatie niet zichtbaar voor ongewenste gebruikers; alleen geautoriseerde gebruikers krijgen toegang tot de API-gegevens.
De Developer Portal visibility-configuratie biedt de volgende zichtbaarheidsopties:

1. Public (Openbaar)
   • Dit is de standaardoptie.
     Wanneer de zichtbaarheid op “public” wordt gezet, is de API beschikbaar voor iedereen die toegang heeft tot de Developer Portal.
     De API’s kunnen zelfs worden bekeken zonder in te loggen op de portal.
2. Restricted by roles (Beperkt op basis van rollen)
   • Wanneer je deze optie selecteert, kun je geldige rollen opgeven.
     Alleen gebruikers met de opgegeven rollen kunnen de API bekijken en gebruiken.
   • De API-makers en publishers kunnen de API’s binnen hun eigen tenant blijven zien, ongeacht de ingestelde zichtbaarheidsopties in de Developer Portal.
3. Visible to my domain (Zichtbaar binnen mijn domein)
   • Deze optie is alleen beschikbaar in een multi-tenant-omgeving.
     De API’s zijn dan alleen zichtbaar voor gebruikers die geregistreerd zijn binnen de tenant van de betreffende API.

Voorbeeld

De onderstaande screenshot toont een voorbeeld van de API-zichtbaarheidsinstellingen van de “ClientInfoAPI”.

Volgens de bovenstaande configuratie is de toegangscontrole in de Publisher Portal ingesteld op “Restrict by role(s)” met de rollen “sales-team” en “developer”.
Gebruikers met de rol “sales-team” of “developer” hebben toegang tot de API’s in de Publisher Portal.
Let op dat gebruikers ook over de juiste rechten moeten beschikken om acties in de Publisher Portal uit te voeren (zoals het aanmaken of publiceren van API’s, enzovoort).

Hoewel deze API is beperkt op basis van rollen, blijft de API zichtbaar voor gebruikers met adminrechten of de admin-rol binnen de Publisher Portal.

De Developer Portal API-visibility is ingesteld op “Restrict by role(s)” met de rol “sales-team”.
Daarom kunnen alleen gebruikers met de rol “sales-team” de API benaderen in de Developer Portal.
Daarnaast hebben API-makers altijd toegang tot hun eigen API’s in de Developer Portal, ongeacht de ingestelde “restricted by role”-configuratie.

Conclusie

Beveiliging en governance zijn essentiële onderdelen van effectief API-beheer.
De API-zichtbaarheid in WSO2 API Manager helpt gebruikers om deze aspecten op een gebruiksvriendelijke manier te realiseren.
Het platform biedt uitgebreide mogelijkheden voor toegangs- en zichtbaarheidsbeheer binnen zowel de Publisher Portal als de Developer Portal, met verschillende configuratie-opties.

Standaard staat deze instelling op ‘public’.
Het is daarom belangrijk om deze functionaliteit bewust te gebruiken, zodat vertrouwelijke API’s veilig en gecontroleerd beheerd kunnen worden.

Wil je meer weten over API-managementstrategieën en hoe deze jouw organisatie kunnen versterken?
Neem dan gerust contact op met onze experts bij Yenlo.