Que faut-il pour automatiser la micro-segmentation ?

On pense souvent que si un produit dispose d'une API, il sera facile à automatiser. Mais comme beaucoup de choses dans la vie, ce n'est pas si simple. Les API sont normalement écrites par des développeurs pour des développeurs, et il peut être difficile pour les non-codeurs de savoir quoi faire avec les équipes étendues qui évaluent une solution de micro-segmentation. Cet article vous propose cinq domaines à explorer avec les fournisseurs de micro-segmentation que vous envisagez. Poussez vos fournisseurs à fond sur ces points : vous découvrirez leurs niveaux de maturité relatifs et leur état de préparation à l'API, et vous serez mieux à même de prendre une décision de qualité.

Complétude et cohérence du schéma

Toute solution de micro-segmentation de niveau entreprise nécessite la collaboration de nombreux ingénieurs logiciels. Parfois, les API ne sont qu'une collection des différents éléments que les ingénieurs ont construits pour leur propre usage. Mais les meilleures API ont été codées pour être un produit à part entière. La structure générale de l'API a fait l'objet de beaucoup de soins et d'attention et chaque appel suit des conventions cohérentes. Dans les meilleures solutions, toute interface graphique utilise exactement la même API que celle que votre équipe DevOps appellerait. Lorsque cela se produit, vous savez que les chemins d'accès à l'API sont complets et bien testés, car le fournisseur s'appuie sur les mêmes API que vous. Idéalement, vous souhaitez une solution de micro-segmentation qui expose l'ensemble de ses fonctionnalités via une API. Au début d'un projet, il se peut que vous ne sachiez pas exactement ce que vous voulez automatiser, mais si le schéma est complet et cohérent, vous ne serez pas limité à l'avenir.

Documentation et code d'exemple

Tout fournisseur de micro-segmentation réputé devrait être en mesure de vous fournir le schéma de l'API et une documentation complète. Bien que cela paraisse élémentaire, vous serez surpris par l'ampleur des efforts consacrés à un ensemble aussi important de produits à livrer. Recevez-vous un schéma d'API brut en JSON ? Quelle documentation existe-t-il pour l'API dans son ensemble et pour chaque appel ? Le modèle d'objet et les fonctions essentielles sont-ils bien expliqués ? Recherchez un exemple de code. L'utilisation de simples requêtes POSTMAN est-elle claire ? Si l'API utilise JSON, le formatage est-il clair et cohérent d'un appel à l'autre ? Choisissez un flux de travail qui semble évident dans l'interface graphique. Demandez à votre fournisseur quels sont les appels dont vous avez besoin pour automatiser ce flux de travail particulier et demandez-lui de vous les expliquer. Ce flux de travail est-il logique à la lumière de la documentation et des exemples de code disponibles ? Vous vous attendez déjà à ce qu'ils vous fassent une démonstration de l'interface graphique, mais si vous envisagez d'automatiser votre solution de microsegmentation, demandez à voir également un flux de travail basé sur l'API.

RBAC

Lorsqu'un produit offre des interfaces d'automatisation, le contrôle d'accès basé sur les rôles (RBAC) devient essentiel à l'intégrité du système. Si l'API permet de contrôler la politique et les objets de politique, l'interface programmatique doit être auditable, tout comme les actions de l'administrateur effectuées à partir d'une interface graphique ou d'une interface de ligne de commande. Idéalement, le système RBAC suivra de près le modèle de politique de micro-segmentation, ce qui permettra de lier les autorisations à chaque étiquette ou balise utilisée pour élaborer la politique. Les meilleures API disposent de clés d'API limitées dans le temps et dans l'utilisation et permettent aux administrateurs de contrôler soigneusement la manière dont le code externe interagit avec le moteur de politique de microsegmentation. Dans la plupart des cas, la meilleure pratique pour les scripts d'API est d'utiliser des clés à usage unique, limitées exactement au travail requis - c'est la confiance zéro appliquée aux interfaces d'API. Assurez-vous que les solutions que vous envisagez possèdent des contrôles RBAC fins, complets et flexibles afin que vous puissiez contrôler entièrement l'accès programmatique à votre politique de micro-segmentation.

Traitement des objets en vrac

Souvent, la motivation sous-jacente des projets API est d'automatiser des tâches répétitives. Un moyen facile de comprendre l'expérience d'un fournisseur en matière d'automatisation de la micro-segmentation est de lui poser des questions sur les API en vrac. C'est bien beau d'avoir un appel API qui exécute une seule tâche. Mais qu'en est-il si vous devez effectuer une opération sur 500 ou 5000 objets ? Que se passe-t-il si vous devez charger une grande quantité de données ? Formuler 500 ou 500 requêtes est un gaspillage et un manque d'efficacité. Les meilleurs fournisseurs disposent d'installations API distinctes pour l'ingestion de données et les demandes de manipulation d'objets à grande échelle. En règle générale, ces installations fonctionnent plusieurs fois plus rapidement que les demandes répétées portant sur un seul objet. Plus votre équipe DevOps est avancée, plus elle appréciera une API conçue pour s'adapter. Le traitement de dizaines de milliers de conteneurs, de VM ou d'AMI nécessite des flux de travail appropriés pour les objets en vrac, et vos fournisseurs potentiels de micro-segmentation devraient être en mesure de vous indiquer quels flux de travail existent et pourquoi ils sont importants.

Évolutivité/essais

Les API offrent une fenêtre sur les véritables capacités de performance d'une solution de micro-segmentation. Il est important de créer une interface graphique réactive, mais les humains prennent beaucoup de temps, relativement parlant, pour effectuer des actions par rapport à un script. Si vous envisagez d'automatiser la micro-segmentation, l'automatisation exigera bien plus que ce qui sera testé dans une démonstration de faisabilité typique d'une entreprise. Demandez à vos fournisseurs s'ils ont réalisé des déploiements entièrement automatisés. Les meilleurs vendeurs auront des déploiements multiples de dizaines de milliers, voire de centaines de milliers de systèmes entièrement automatisés chez des clients uniques. C'est la preuve qu'il vous faut. Si certains orchestrent 40 000 charges de travail dans un environnement entièrement automatisé et sans état, vous savez qu'il s'agit d'un fournisseur qui a effectué un travail sérieux d'optimisation et de performance. Renseignez-vous sur l'assurance qualité et les tests effectués sur l'API et sur les performances en matière de calcul des polices. Les entreprises à grande échelle ont souvent des centaines de milliers d'objets de politique et les meilleurs fournisseurs testent bien au-delà de ces niveaux. Un vieil adage dit que rien ne vaut l'exécution d'un code, et cela s'applique certainement à l'évolutivité des API. Demandez des preuves. Il existe des déploiements à l'échelle de l'entreprise, entièrement basés sur les API, qui ont des années de succès derrière eux. Attendez de vos fournisseurs de micro-segmentation une API mature, évolutive et entièrement testée.

Les API comportent de nombreux détails techniques que les programmeurs sont mieux à même de comprendre. Mais les caractéristiques qui comptent peuvent être comprises par n'importe quel membre de la hiérarchie décisionnelle. Si vous prévoyez d'automatiser vos politiques de micro-segmentation, il est judicieux d'étudier ces capacités API avec le même soin que l'équipe d'évaluation apportera à l'interface graphique. Les flux de travail API sont les plus exigeants en termes de performances. Veillez à choisir un produit dont le schéma est bien conçu et bien documenté, et qui couvre l'ensemble des fonctionnalités du produit. Recherchez les signes de maturation autour de RBAC, de la gestion d'objets en vrac et de la preuve d'échelle démontrée dans d'autres déploiements de clients. L'automatisation de la micro-segmentation est possible, et votre entreprise peut évoluer avec succès vers un avenir de plus en plus automatisé en toute confiance si vous choisissez la bonne solution de micro-segmentation pilotée par API.

Pour consulter le guide API d'Illumio, cliquez ici.