联智应用程序接口安全与管理软件

产品研发背景

01. API爆炸的年代

API Explosion

02. 九宗罪云计算面临的主要威胁

Cloud Threats

03. 案例分析

某市社保局开放社保信息查询API给市图书馆办理图书卡，图书馆开发人员利用API接口权限漏洞，获取社保人员信息，谋取私利; 某市公安局开放身份证查询API给市社保局做参保人员信息比对业务，市社保局开发人员利用API漏洞，通过循环调用该API,很快获取了该市所有人员的身份证信息。

分析: 这类API没有任何权限认证，知道接口规范的人员可以在任何时间、任何地点使用。

产品涉及的范围及架构

Scope

Architecture

产品特点

▶ 基于OAuth2的API访问控制(认证和授权)
▶ 灵活的用户角色、权限配置
▶ 基于动态调配最优策略的API配置
▶ 完善的API生命周期和版本管理功能
▶ 数据传输安全性

▶ 灵活部署及可扩展性
▶ 灵活订阅权限控制、节流限制设置
▶ 支持多种HTTP动作 (GET, POST, PUT, DELETE, OPTIONS, PATCH, HEAD)
▶ 支持多种API风格类型的封装(协议: SOAP/REST、数据格式: JSON/XML)
▶ 日志系统采用异步、批量、轻量的方式

产品功能简介

API密钥管理 | API key management

▶ 每个用户管理多个应用APP
▶ 每个应用APP是多个API的集合
▶ 每个用户可以为管理的某个应用APP订阅某个API

API Key Management

AP Portal Administrator

AP门户-管理员 | AP Portal-Administrator

▶ 管理员审核用户创建，应用注册
▶ API状态改变等
▶ 管理员配置报警场景，报警管理等
▶ 管理员分析错误数据(调用错误，Token错误,登录错误等)
▶ 管理员分析API可用性
▶ 管理员配置限制策略

AP门户-发布 | AP Portal-Release

▶ API创建者建立API, 支持多种API风格类型的封装方法(协议:SOAP/REST、数据格式JSON/XML )
▶ API发布者审核通过后发布到AP门户.上供其他开发者使用
▶ API创建完成，很重要的一部分工作就是要提交文档、案例、使用指南及其他支持信息

AP Portal Release

AP Portal Subscription

AP门户-订阅 | AP Portal-Subscription

▶ 除了原型API，其它API都需要订阅API才能调用
▶ 调用API需要获取API的生产环境或沙箱测试令牌
▶ API网关根据传递过来的令牌类型路由至相应的端点

API监控与分析 | API monitoring and analysis

具有对API订阅和调用进行实时监控的功能包括统计API各版本的订阅情况各版本的调用次数 API的响应时间和最后访问时间， API各个资源路径的使用情况错误请求等。

Monitoring 1

Monitoring 2