为您的 API 提供大规模防护
API 通过向用户、合作伙伴和员工等用户组授予适当的访问权限,创建新的业务模式,并构建互连应用程序及平台。高级 API 安全工具可应用 Entrust Identity as a Service(身份即服务解决方案)的高级身份验证和授权功能加强您的 API 防护。 IDaaS 提供了一系列的访问管理能力,开箱即用,可用于大规模的 API 防护。
API 安全性的益处
一个数字身份
使用跨多种数字资产的通用凭据,确保一致的登录体验。 Entrust 身份即服务支持标准联合协议 (OIDC),并扩展了联合身份验证的范围,使其涵盖了传统组件的非标准化协议。
安全登录
保护您的 API/ URL,阻止未经授权的访问尝试。 不良行为者在进行登录时,会使用凭证填充和暴力攻击来破坏 API 基础结构。
交易验证
使用上下文身份验证和授权来保护每笔交易。 定义涉及到的交易属性和 API,从而在出现相应条件时,限制访问,并加强用户身份验证。
以身份为中心的 API 安全
仅依靠网关管控,虽能实现流量过滤,却无法确立 API 的访问权限与使用权限。 Entrust 采用以身份为中心的解决方案:在 API 层对用户、应用程序和服务身份进行强身份验证和授权。系统会通过可根据场景与风险动态适配的策略执行访问管控,确保权限始终随环境变化保持严格的管控标准。 这些管控功能均为 Entrust Identity as a Service 原生的 API 安全工具组件。
大规模实施 API 安全管理
企业发展意味着更多的 API 和身份。 这样的大规模的基础结构,绝不允许出现管控标准不统一的情况。 Entrust 通过集中式的策略管理,在所有 API 上执行统一的身份验证管控,助力平台团队与安全团队实现 API 安全解决方案的规模化管理。基于统一技术底座,为客户、合作伙伴及企业员工的访问需求提供支撑,同时赋予您快速识别风险所需的可视性与管控能力。 在保障严苛合规治理的同时,保持开发工作的高效推进。
功能
上下文授权
Entrust Identity as a Service 提供了低代码/无代码的解决方案,可使用 OAuth 2.0/2.1 保护 API 安全,同时提供上下文用户身份验证以确保充分的安全性。
OAuth 和 API 访问
在 API 调用中使用 OAuth 2.0/2.1 令牌,限制对授权用户和应用程序的访问。OAuth 是一种开放标准,为 Web /桌面应用程序和设备提供授权流程。
基于角色的访问控制 (RBAC)
根据访问 API 的用户/应用程序的角色定义访问权限,实现粗粒度的访问控制。 RBAC 的部署相对简单,但由于系统的扩展和权限的细化,随着时间的推移,对其进行维护变得非常困难。
基于属性的访问控制 (ABAC)
通过采用 ABAC 的细粒度授权,提高身份和访问管理解决方案的安全性。团队可以根据尝试访问 API/URL 的用户的属性,为每个 API 设定范围或提供声明。利用此项保护,在您的应用程序中提供动态的功能集合。
API 流量管理
流量管理是现代 API 生态系统的重要组成部分之一。 借助 Entrust 身份即服务,您可以对流量进行限制,并保护来自特定 IP 地址的访问。
Entrust Identity 产品组合专家很快将联系您说明相关选项。
常见问题解答
什么是 API 安全?为何它如此重要?
API 安全解决方案通过确保仅授权身份能以合规权限建立连接,保护经由 API 对外暴露的数据与服务。 API 的安全防护至关重要,因其为各类应用、系统集成及自动化流程提供核心支撑,已成为网络攻击的高价值目标。 企业应定期梳理 API 资产、划分数据敏感等级,并要求所有接口(包括 “仅内部使用” 接口)均执行身份验证. 然后默认强制执行最小权限访问原则。
Entrust 如何防止未经授权的 API 访问?
Entrust 以身份为中心保护 API 安全:先对用户、应用及服务的身份进行验证,再在 API 层严格执行授权策略。针对高风险操作要求实施高强度身份验证,通过范围化令牌实现最小权限访问,并在访问场景发生变化(如使用新设备、出现异常地理位置、检测到反常行为)时触发进阶验证要求。 将策略执行与清晰的审计追踪相结合,助力企业快速开展安全事件的调查与响应。
Entrust 采用何种标准进行 API 授权?
Entrust 支持各类被广泛采用的现代化 API 授权标准,其中包括适用于基于令牌的访问和委托授权的 OAuth 2.0 与 OpenID Connect。 您的团队应将 OAuth 权限范围 / 声明标准化,使其与业务权限(而非仅与角色)相匹配;在每次调用时验证令牌的签发方、受众及有效期,并定期轮换密钥。 采用短期访问令牌及规范化的刷新流程,降低风险影响范围。
API 安全解决方案是否可同时应用于内部和外部服务?
可以。API 安全防护应同时覆盖内部服务(微服务、自动化流程、管理类 API)与外部服务(客户及合作伙伴集成)。 组织可通过统一身份基础 + 差异化策略的方式实现更高效的管理:对特权/内部访问路径实施更严格的管控;针对合作伙伴/客户的访问,要求获得明确授权同意、配置范围化权限并设置访问速率限制。 切勿将“处于网络内部”作为安全管控依据 —— 应将所有 API 视为对外暴露的资产,并统一执行身份验证。
API 安全防护如何与整个身份和访问管理控制整合?
有效的 API 安全防护会将身份和访问管理延伸至 API 层,确保无论通过用户界面 (UI) 还是 API 进行访问,均采用统一的身份标识、策略及治理标准。 一种高效的实施策略是:确保 API 授权与企业身份和访问管理模型(用户、应用、服务)的一致性,实现策略决策的集中化,并与人员全生命周期管控(入职/调岗/离职)打通,让权限实现自动调整。采用统一的日志记录机制,将 API 操作行为与身份标识相关联,助力企业加快安全事件响应速度并满足合规审计要求。