API治理框架由多個(gè)關(guān)鍵組件組成，這些組件協(xié)同工作以實(shí)現(xiàn)跨組織的有效API管理。這些組件包括安全性、技術(shù)、利用率、教育、監(jiān)控、標(biāo)準(zhǔn)、性能和合規(guī)性。

API的安全

安全組件對(duì)于確保API的設(shè)計(jì)和實(shí)現(xiàn)具有健壯的安全特性以防止未經(jīng)授權(quán)的訪問(wèn)、數(shù)據(jù)泄露和其他安全風(fēng)險(xiǎn)至關(guān)重要。技術(shù)組件側(cè)重于為API選擇最合適的技術(shù)堆棧，并確保它與其他現(xiàn)有系統(tǒng)無(wú)縫集成。

API安全是API治理的一個(gè)關(guān)鍵組成部分，因?yàn)樗婕氨Ｗo(hù)API免受未經(jīng)授權(quán)的訪問(wèn)、濫用和其他安全威脅。為了確保API的安全性，可以采取各種措施，例如OWASP測(cè)試、滲透測(cè)試、API使用監(jiān)控、代碼審查以及身份驗(yàn)證和授權(quán)機(jī)制。
OWASP測(cè)試是一個(gè)標(biāo)準(zhǔn)化的安全測(cè)試過(guò)程，旨在識(shí)別API中潛在的安全漏洞。它涉及各種安全測(cè)試，例如注入攻擊、跨站點(diǎn)腳本和訪問(wèn)控制問(wèn)題等等。
滲透測(cè)試是另一種用于識(shí)別API中潛在安全漏洞的技術(shù)。它涉及對(duì)API的模擬攻擊，以識(shí)別可能被網(wǎng)絡(luò)攻擊者利用的潛在弱點(diǎn)。
API使用監(jiān)控是檢測(cè)API使用中不尋常或不自然模式的過(guò)程。這種監(jiān)視可以幫助識(shí)別潛在的安全威脅，以防止API的誤用和濫用。
代碼審查也是API安全性的一個(gè)重要方面。通過(guò)徹底檢查API代碼，開(kāi)發(fā)人員可以識(shí)別潛在的安全缺陷和漏洞，并在它們成為威脅之前解決。
身份驗(yàn)證和授權(quán)機(jī)制對(duì)于保護(hù)API免受未經(jīng)授權(quán)的訪問(wèn)至關(guān)重要。這些機(jī)制確保只有被授權(quán)的用戶才能訪問(wèn)API，并且用戶只能訪問(wèn)他們被授權(quán)訪問(wèn)的資源。此外，API端點(diǎn)的設(shè)計(jì)必須區(qū)分用戶和管理員，以防止未經(jīng)授權(quán)的訪問(wèn)。
總之，實(shí)現(xiàn)健壯的安全措施(例如OWASP測(cè)試、滲透測(cè)試、API使用監(jiān)控、代碼審查以及身份驗(yàn)證和授權(quán)機(jī)制)對(duì)于確保API的安全性和完整性至關(guān)重要。通過(guò)實(shí)施這些措施，組織可以保護(hù)API免受潛在的安全威脅，并確保API服務(wù)安全可靠地交付給用戶。

API技術(shù)

API技術(shù)是API治理的重要組成部分，它涉及為API選擇和管理適當(dāng)?shù)募夹g(shù)堆棧。為了確保技術(shù)的有效使用，可以采取幾種措施，例如對(duì)所有現(xiàn)有技術(shù)進(jìn)行編目錄，確定引入和淘汰過(guò)時(shí)技術(shù)的新技術(shù)，檢查Gartner Magic Quadrant，確定生產(chǎn)事件并為其貼上技術(shù)標(biāo)簽，在確定淘汰過(guò)時(shí)技術(shù)的最后期限的同時(shí)促進(jìn)新技術(shù)的適應(yīng)。
對(duì)所有現(xiàn)有技術(shù)進(jìn)行編目，可以讓組織對(duì)用于API開(kāi)發(fā)和管理的技術(shù)有一個(gè)清晰的理解。這些信息可以幫助識(shí)別技術(shù)堆棧中的潛在差距、重疊和冗余。
確定新技術(shù)以引入和淘汰過(guò)時(shí)技術(shù)是API技術(shù)的另一個(gè)重要方面。它確保技術(shù)堆棧保持最新，并與最新的行業(yè)標(biāo)準(zhǔn)和優(yōu)秀實(shí)踐保持一致。此外，檢查Gartner魔法象限可以幫助組織識(shí)別新興技術(shù)，并評(píng)估其對(duì)API開(kāi)發(fā)和管理的適用性。
在評(píng)估當(dāng)前技術(shù)堆棧的有效性時(shí)，識(shí)別生產(chǎn)事故并為其貼上技術(shù)標(biāo)簽也是至關(guān)重要的。它有助于識(shí)別潛在的改進(jìn)領(lǐng)域，并識(shí)別無(wú)法滿足業(yè)務(wù)需求的技術(shù)。
最后，促進(jìn)新技術(shù)的適應(yīng)和確定淘汰過(guò)時(shí)技術(shù)的最后期限可以幫助確保技術(shù)堆棧保持最新并與組織的業(yè)務(wù)目標(biāo)保持一致。它還確保組織使用最合適的技術(shù)進(jìn)行API開(kāi)發(fā)和管理。
總的來(lái)說(shuō)，有效的API技術(shù)管理包括仔細(xì)選擇和管理適當(dāng)?shù)腁PI技術(shù)堆棧。通過(guò)實(shí)施諸如對(duì)現(xiàn)有技術(shù)進(jìn)行編目、識(shí)別新技術(shù)、評(píng)估生產(chǎn)事故和促進(jìn)新技術(shù)的適應(yīng)等措施，組織可以確保高效和有效地使用技術(shù)進(jìn)行API開(kāi)發(fā)和管理。

API的利用率

API的利用是API治理的一個(gè)關(guān)鍵組件，它涉及到監(jiān)視和優(yōu)化API的使用，以確保最大的價(jià)值和效率。為了實(shí)現(xiàn)這一點(diǎn)，可以采取一些措施，例如在儀表板上集中使用API，退役或合并未使用的API，擴(kuò)展和優(yōu)化高度使用的API，公開(kāi)API Catalog以提高利用率，在整個(gè)組織中發(fā)布API并實(shí)現(xiàn)貨幣化，計(jì)算API成本并實(shí)施成本優(yōu)化。
在儀表板上集中使用API可以讓組織清楚地了解各種應(yīng)用程序和服務(wù)之間的API使用情況。這個(gè)儀表板可以幫助識(shí)別潛在的瓶頸、過(guò)度利用或未充分利用的API，以及需要優(yōu)化的領(lǐng)域。
退役或合并未使用的API是API利用的另一個(gè)重要方面。它確保API不會(huì)消耗不必要的資源，并降低API生態(tài)系統(tǒng)的整體復(fù)雜性。
要確保API能夠有效地處理增加的流量和使用，縮放和優(yōu)化使用率高的API也是必不可少的。通過(guò)識(shí)別高度使用的API，組織可以優(yōu)化其性能，增加可擴(kuò)展性，并改善整體用戶體驗(yàn)。
公開(kāi)API目錄(例如Swagger Hub)可以使開(kāi)發(fā)人員更容易發(fā)現(xiàn)和重用現(xiàn)有API，而不是構(gòu)建新的API，從而提高API的利用率。這不僅節(jié)省了時(shí)間和資源，還提高了一致性，降低了API生態(tài)系統(tǒng)的整體復(fù)雜性。
在整個(gè)組織中發(fā)布API并將其使用貨幣化是提高API利用率的另一種有效方法。通過(guò)將API使用貨幣化，組織可以鼓勵(lì)開(kāi)發(fā)人員使用現(xiàn)有API，并減少冗余API的開(kāi)發(fā)。
最后，計(jì)算API成本并實(shí)施成本優(yōu)化對(duì)于管理API使用的總體成本至關(guān)重要。通過(guò)確定運(yùn)行時(shí)成本(例如CPU、網(wǎng)絡(luò)和日志量)，組織可以實(shí)施成本優(yōu)化措施，并將不必要的成本降至最低。
總之，有效的API使用管理包括監(jiān)控和優(yōu)化API使用，以確保最大價(jià)值和效率。通過(guò)實(shí)施一些措施，例如集中使用API、退役未使用的API、優(yōu)化高度使用的API、公開(kāi)API目錄、發(fā)布API、實(shí)現(xiàn)使用貨幣化和實(shí)施成本優(yōu)化，組織可以確保高效和有效地使用API，同時(shí)將成本降至最低。

API的監(jiān)控

API監(jiān)視是API治理的一個(gè)關(guān)鍵方面，它涉及跟蹤和分析API的性能、可用性和安全性。為了確保有效的API監(jiān)控，組織可以引入優(yōu)秀實(shí)踐并實(shí)施一些措施。
首先，建立API監(jiān)測(cè)的優(yōu)秀實(shí)踐是必要的。這包括建立一個(gè)專用的監(jiān)視系統(tǒng)，并定義監(jiān)視指標(biāo)和閾值，以確保API的健康和性能。該系統(tǒng)應(yīng)該跟蹤關(guān)鍵性能指標(biāo)，例如響應(yīng)時(shí)間、錯(cuò)誤率和正常運(yùn)行時(shí)間。
發(fā)布日志保留和卷號(hào)是API監(jiān)視的另一個(gè)重要方面。它可以幫助組織識(shí)別API使用和性能的趨勢(shì)和模式，這可以幫助決策和優(yōu)化。例如，組織可以使用此數(shù)據(jù)來(lái)識(shí)別需要優(yōu)化的過(guò)度使用的API，或者檢測(cè)未經(jīng)授權(quán)的訪問(wèn)或安全漏洞。
為不尋常的模式、峰值和其他異常設(shè)置警報(bào)可以幫助組織快速識(shí)別和響應(yīng)問(wèn)題。這確保了任何問(wèn)題都能及時(shí)得到解決，并降低了長(zhǎng)時(shí)間停機(jī)或服務(wù)中斷的風(fēng)險(xiǎn)。
最后，監(jiān)視API的SQL注入和其他攻擊對(duì)于確保API安全性至關(guān)重要。組織應(yīng)該實(shí)施預(yù)防和檢測(cè)此類攻擊的措施，例如輸入驗(yàn)證、加密和訪問(wèn)控制。這有助于將未經(jīng)授權(quán)的訪問(wèn)或數(shù)據(jù)泄露的風(fēng)險(xiǎn)降至最低，并確保API是安全和合規(guī)的。
總之，有效的API監(jiān)視包括實(shí)現(xiàn)優(yōu)秀實(shí)踐、發(fā)布日志保留和卷號(hào)、為異常模式設(shè)置警報(bào)以及監(jiān)視SQL注入和其他攻擊。這些措施有助于確保API的健康、性能和安全性，最大限度地減少停機(jī)時(shí)間和中斷，并最大化它們對(duì)組織的價(jià)值。

API標(biāo)準(zhǔn)

API標(biāo)準(zhǔn)是API治理的重要組成部分，因?yàn)樗鼈兇_保API在整個(gè)組織中得到一致的開(kāi)發(fā)和維護(hù)。為了確保遵守API標(biāo)準(zhǔn)，組織可以實(shí)施一些措施。
應(yīng)該遵循的一個(gè)關(guān)鍵標(biāo)準(zhǔn)是OpenAPI標(biāo)準(zhǔn)，該標(biāo)準(zhǔn)定義了描述RESTful API的標(biāo)準(zhǔn)方法。遵循這個(gè)標(biāo)準(zhǔn)可以確保API有良好的文檔記錄，易于理解，并可與其他API互操作。
為了使審計(jì)過(guò)程自動(dòng)化并發(fā)現(xiàn)問(wèn)題，組織可以使用一些工具。這些工具可以掃描API代碼和配置，以發(fā)現(xiàn)潛在的問(wèn)題，例如安全漏洞或違反法規(guī)。這有助于確保API是安全的、兼容的和高質(zhì)量的。
另一個(gè)重要的標(biāo)準(zhǔn)是要求團(tuán)隊(duì)提交API YAML文件和Postman集合。這確保了API文檔和測(cè)試工件是最新的，并且易于其他團(tuán)隊(duì)訪問(wèn)。它還有助于確保API經(jīng)過(guò)良好的文檔記錄、測(cè)試和使用準(zhǔn)備。
最后，支持金絲雀、藍(lán)色/綠色版本和版本控制對(duì)于確保API能夠有效地部署和管理至關(guān)重要。金絲雀版本涉及將新功能部署給一小部分用戶，在向更廣泛的用戶發(fā)布之前測(cè)試其影響。藍(lán)色/綠色發(fā)布涉及維護(hù)兩個(gè)相同的運(yùn)營(yíng)環(huán)境(藍(lán)色和綠色)，并在它們之間切換流量，以確保更新順利推出。版本控制包括為每個(gè)API分配一個(gè)唯一的版本號(hào)，以確保對(duì)一個(gè)版本的更改不會(huì)影響其他版本。
總之，API標(biāo)準(zhǔn)對(duì)于API治理是至關(guān)重要的，組織可以實(shí)施一些措施來(lái)確保遵守這些標(biāo)準(zhǔn)，包括遵循OpenAPI標(biāo)準(zhǔn)，自動(dòng)化審計(jì)過(guò)程，要求團(tuán)隊(duì)提交API YAML文件和Postman集合，以及支持Canary、Blue/Green發(fā)布和版本控制。這些措施有助于確保API經(jīng)過(guò)良好的文檔記錄、測(cè)試、安全、兼容以及有效地部署和管理。

API的性能

API性能是API治理的一個(gè)關(guān)鍵方面，因?yàn)樗苯佑绊懹脩趔w驗(yàn)和組織API組合的運(yùn)營(yíng)成本。為了確保API以最佳方式執(zhí)行，可以實(shí)行一些措施。
一個(gè)關(guān)鍵措施是使用Kibana、AppDynamics或Nginx等工具監(jiān)控API性能。這些工具可以洞察API響應(yīng)時(shí)間、錯(cuò)誤率和其他性能指標(biāo)。通過(guò)監(jiān)控API性能，組織可以快速發(fā)現(xiàn)問(wèn)題并采取糾正措施。
另一個(gè)重要措施是為低性能API設(shè)置警報(bào)，并通知團(tuán)隊(duì)采取行動(dòng)。這可以確保及時(shí)發(fā)現(xiàn)和解決性能問(wèn)題，最大限度地減少對(duì)用戶的影響，降低運(yùn)營(yíng)成本。
低性能API會(huì)導(dǎo)致高消耗成本和客戶不滿。用戶希望API能夠快速響應(yīng)，任何延遲或錯(cuò)誤都可能導(dǎo)致挫敗感和業(yè)務(wù)損失。通過(guò)優(yōu)化API性能，組織可以提供更好的用戶體驗(yàn)并降低運(yùn)營(yíng)成本。
總之，API性能是API治理的一個(gè)關(guān)鍵方面，組織可以實(shí)施一些措施來(lái)確保API以最佳方式執(zhí)行，包括使用Kibana、AppDynamics或Nginx等工具監(jiān)控API性能，為性能較低的API設(shè)置警報(bào)并通知團(tuán)隊(duì)采取行動(dòng)，以及優(yōu)化API性能以提供更好的用戶體驗(yàn)并降低運(yùn)營(yíng)成本。

API合規(guī)性

API合規(guī)性是API治理的一個(gè)關(guān)鍵方面，因?yàn)樗_保API遵守公司內(nèi)部策略和監(jiān)管需求。合規(guī)性主要有兩種類型：組織合規(guī)和監(jiān)管合規(guī)。
組織合規(guī)性指的是遵守管理組織內(nèi)API開(kāi)發(fā)和使用的內(nèi)部策略和標(biāo)準(zhǔn)。這些策略可以包括數(shù)據(jù)安全、隱私和治理。確定并同意遵循哪些公司法規(guī)遵循策略，并確保API遵守這些策略是很重要的。
合規(guī)性指的是遵守管理API開(kāi)發(fā)和使用的外部法規(guī)和標(biāo)準(zhǔn)。這些法規(guī)可以包括特定于行業(yè)的標(biāo)準(zhǔn)，例如用于醫(yī)療保健的HIPAA或用于支付卡數(shù)據(jù)的PCI DSS。確定哪些合規(guī)性標(biāo)準(zhǔn)適用于組織的API并確保API遵守這些標(biāo)準(zhǔn)是很重要的。
為了確保API合規(guī)性，可以執(zhí)行連續(xù)掃描，例如靜態(tài)和動(dòng)態(tài)掃描，以確定潛在的技術(shù)合規(guī)性問(wèn)題。例如，靜態(tài)掃描可以分析代碼的安全漏洞，而動(dòng)態(tài)掃描可以模擬對(duì)API的攻擊，以識(shí)別潛在的漏洞。通過(guò)在早期將合規(guī)性掃描集成到開(kāi)發(fā)過(guò)程中來(lái)左移API安全性是很重要的，因?yàn)檫@可以幫助在開(kāi)發(fā)周期的早期識(shí)別和解決合規(guī)性問(wèn)題。
總之，API合規(guī)性是API治理的一個(gè)關(guān)鍵方面，組織可以實(shí)施一些措施來(lái)確保API遵守組織合規(guī)性策略，包括確定并同意遵循哪些合規(guī)性策略，執(zhí)行連續(xù)掃描以識(shí)別潛在的合規(guī)性問(wèn)題，以及通過(guò)在早期將合規(guī)性掃描集成到開(kāi)發(fā)過(guò)程中來(lái)左移API安全性。

結(jié)語(yǔ)

API治理是一個(gè)復(fù)雜的、多方面的規(guī)程，涉及許多組件，包括安全、技術(shù)、合規(guī)性、利用、監(jiān)視、性能和教育。通過(guò)在這些領(lǐng)域中實(shí)現(xiàn)優(yōu)秀實(shí)踐，組織可以確保他們的API是安全、高效和兼容的，并為用戶提供最大的價(jià)值。
API安全性對(duì)于防止?jié)撛诘墓艉吐┒粗陵P(guān)重要，組織可以實(shí)現(xiàn)諸如OWASP和PEN測(cè)試、身份驗(yàn)證和授權(quán)等措施，以確保其API的安全性。
API技術(shù)在不斷發(fā)展，組織可以對(duì)現(xiàn)有技術(shù)進(jìn)行編目，確定要引入的新技術(shù)，并淘汰過(guò)時(shí)的技術(shù)，以保持API的最新和高效。
API合規(guī)性對(duì)于遵守公司內(nèi)部政策和外部監(jiān)管要求是至關(guān)重要的，組織可以實(shí)施持續(xù)掃描來(lái)識(shí)別潛在的合規(guī)性問(wèn)題，并確保其API遵守相關(guān)的政策和標(biāo)準(zhǔn)。
API利用包括監(jiān)控API使用模式、退役未使用的API、擴(kuò)展高度使用的API以及公開(kāi)API目錄以提高利用率和貨幣化。
API監(jiān)控包括為異常模式設(shè)置警報(bào)，識(shí)別SQL注入和攻擊，以及在API監(jiān)控中推廣優(yōu)秀實(shí)踐。
API性能對(duì)于確保API高效運(yùn)行至關(guān)重要，組織可以使用Kibana、AppDynamics和Nginx等工具監(jiān)控API性能，為低性能API設(shè)置警報(bào)，并優(yōu)化API以降低消耗成本并提高客戶滿意度。

本文章轉(zhuǎn)載微信公眾號(hào)@51CTO技術(shù)棧

#你可能也喜歡這些API文章!

使用這些基本 REST API 最佳實(shí)踐構(gòu)建出色的 API

如何使用API：初學(xué)者的分步教程