Diseño y Administración de APIs con WSO2 API Management

Introducción a la herramienta WSO2, descripción de los módulos principales, arquitectura de WSO2 y contextualización general del escenario en que tiene aplicación y aporta valor esta solución.

Se explican cuales son los prerequisitos para realizar la instalación, temas a tener en cuenta del licenciamiento de este producto y como realizar la descarga.

Se va a realizar la instalación y comprobación inicial del producto.

Para un primer acercamiento a la herramienta vamos a realizar el proceso end to end de crear, publicar y consumir una API de un mockup.

En esta clase se explica los aspectos mas importantes de la seguridad y que posibilidades nos ofrece WSO2.

Clase teórica para entender la clasificación de los usuarios, roles, privilegios y la importancia de hacer una correcta gestión de los usuarios que tendrán acceso a los módulos de la herramienta de API Management y el papel que juegan los roles en los dos módulos más importantes de esta herramienta el Api Publisher y el DevPortal.

Vamos a crear los roles y usuarios para configurar y gestionar APIs así como usuarios para quienes podrían ser los consumidores de las APIs en el marketplace

Diseñar una API básica para administrar los datos de un paciente y contexto general del proyecto para trabajar con las APis con el rol del publisher.

Vamos a comentar el código fuente del microservicio que usaremos en el ejemplo básico para publicar nuestra primera API, realizar una prueba del microservicio y podrás descargar el código fuente requerido para la siguiente clase.

Aprenderás los conceptos más relevantes a la hora de publicar una API, como el contexto, recursos, opciones de seguridad, metadata entre otros, vamos a realizar la publicación del micro-servicio de pacientes, creado en la sesión anterior.

Aprenderás en que consisten los recursos de una API, los diferentes métodos que podemos encontrar e implementar las operaciones básicas de una API, utilizando el micro-servicio  patient.

El contexto define a que nos estamos refiriendo dentro de un API, sirve para agrupar los recursos y se puede definir a nivel de API o de recurso individual, aquí veremos como definirlo a nivel de API.

Los recursos pueden tener uno o muchos parámetros y ser de diferentes tipos, en esta clase vamos a definir los métodos post y put que reciben un parámetro de tipo body de tipo json.

Un recurso también puede tener parámetros de tipo path y query para recuperar información, en esta clase vamos a definir los recursos para buscar por id, buscar por nombre y eliminar un objeto.

El ciclo de vida de una API comprende 4 estados, y cada uno sirve a un propósito del negocio y de las APIs en particular, aquí vamos a explicar cada estado del ciclo de vida.

Se hace una practica con el  API de patients para comprender como podemos regresar una API a un estado previo del ciclo d vida y luego promoverla de nuevo como prerelease.

Gracias a las revisiones es posible volver a un estado en concreto del API, a una revision concreta, en esta clase regresaremos el API a la primera revision y posteriormente la restauraremos a a version final nuevamente.

Se explica en que consiste el enfoque API First y el uso de prototipos y mockups para diseñar y crear APIs en modo mockup cuando a un no se cuenta con el servicio de backend disponible.

Se crea una API usando endpoints del backend como prototipos en java script, se redefine el comportamiento del método get.

Se redefinen todos los recursos standard de la API usando mockups, se publica en modo pre-release(prototipo) y se hacen las pruebas respectivas en la consola de pruebas del publisher.

Se crea una API partiendo de un fichero .yaml que contiene la definición de la misma en el standard open API specification y swager 2

Se inicializa el microservicio de billing API, se configura la seguridad en el API manager par conectarse al backend y se hacen pruebas desde una terminal con la herramienta curl.

Breve introducción al apartado de seguridad de las APIs y los flujos runtime, se explican conceptos como el key manager y las diferentes opciones para autenticar usuario de las APIS.

En esta clase se explica cual es el flujo básico de autenticación y autorización usando Json web token (JWT), token de autorización y refresco y Oauth2 que es un protocolo que permite gestionar los privilegios de un usuario sobre determinados recursos y conceder autorización.

En esta clase, veremos con mayor detalle el Devportal, aprenderás como crear aplicaciones y tendrás un panorama más amplio de la utilidad que ofrece el devportal a las compañías y los diferentes departamentos y clientes externos para contar con un catalogo de APIs.

Cada suscriptor debe generar sus propias credenciales de usuario con las cuales puede autenticar sus aplicaciones y generar tokens de autorización y de refresco.

Vamos ver como crear los tokens de autenticación y el refresh token y realizaremos pruebas desde el cliente con curl, consumiendo una API para ver los diferentes métodos de autenticacion y comprender el flujo oaut2.

Todas las peticiones http de las APIS que estén securizadas en el API manager deben llevar la cabecera de Authorization y llevar un token válido, aquí te enseño como hacerlo para un método POST.

Se explica cual es el propósito del refresh token o token de refresco y de que manera lo utilizan las aplicaciones.

Te explicamos porque seria necesario revocar un token en un momento determinado y cual es la manera de hacerlo en WSO2 AM.

En esta clase se enseña como gestionar las credenciales del cliente, como regenerar una nueva contraseña, o incluso revocar o eliminar el client ID y secret ID si fuera necesario.

Es importante comprender el Impacto entre revocar un token y revocar las credenciales del cliente de una aplicación a nivel de el DevPortal, en esta clase te lo explico con un diagrama sencillo.

WSO2 AM, tiene su propio key manager incorporado lo cual es suficiente para entornos básicos, pero en casos específicos suele ser necesario conectar un Key manager particular de la empresa, aquí analizamos las diferentes opciones y explicamos como hacerlo.

Al consumir una API desde un front que haga uso de Javascript es muy común obtener un error de este tipo

"has been blocked by CORS policy: Response to preflight request doesn't pass access control check: No 'Access-Control-Allow-Origin' header is present on the requested resource"

Aquí te voy a explicar que debemos activar para evitarlo y otros aspectos de seguridad referentes a los endpoints de las APIs.

Tambien es común que se usen otros mecanismos de seguridad en las APIs como un API key o la autenticación básica con usuario y contraseña, aquí te enseño como hacerlo y realizamos las pruebas respectivas.

En esta clase vamos a generar una colección para postman y  probaremos desde este cliente con las diferentes opciones de seguridad y cabeceras.

Todas la APIs son susceptibles de ataques dado que son el punto de entrada a las aplicaciones, un buen API manager nos ofrece la posibilidad de reforzar la seguridad mediante el uso de políticas personalizadas, aquí te explico que son las políticas y como conseguir este objetivo.

Para los escenarios donde el volumen de APIs es demasiado importante y se requiere un tener tolerancia a fallos y/o alta disponibilidad es necesario realizar una instalación en cluster del producto, aquí te explico cual seria la distribución minima propuesta.

Para realizar un cambio de las bases de datos por defecto, los certificados usados, contraseñas por defecto, configurar multiples API gateway y otras configuraciones importantes de despliegue debemos modificar el archivo principal de despliegue, aquí te explico los detalles.

Un API puede ser desplegada en multiples nodos o en un nodo en particular, mínimo se recomienda tener un nodo de producción y otro para reproducción para independizar el tráfico.

Como complemento al trabajo con APIs, se puede exportar la definición de la API en formato json o yaml bajo el estándar API first y aprovechar otras herramientas como Swagger editor para autogenerar el código fuente del microservicio backend.

Se va a convertir el prototipo de assets en una API funcional y se conecta al backend del microservicio de assets, y se realizan las respectivas pruebas.

Contextualización acerca de los modulos requeridos para activar la monetización de APis con WSO2

Revisaremos la documentación oficial y comentaremos los pasos necesarios para activar y administrar la facturación y tomar las metricas que son requeridas para la monetización del  las APIs

Video de cierre del curso donde comentamos como acceder a recursos adicionales, cupones de descuentos para otros de mis cursos, routemap recomendado y material adicional que puede interesarte.