現代のデジタル製品はすべてAPIで動いています。しかし、一元管理の仕組みがなければ、APIはセキュリティ上の脆弱性、パフォーマンスのボトルネック、そして運用上の盲点になりかねません。API管理プラットフォームは、この3つの課題を単一のレイヤーで解決します。
この記事では、以下の内容を取り上げます。
API管理プラットフォームとは？
API管理プラットフォームとは、APIの作成・公開・セキュリティ管理・監視・廃止を一元化するソフトウェアです。各APIをただデプロイして放置するのではなく、ライフサイクル全体を通じてガバナンスすべき「製品」として扱い、継続的に管理します。
このプラットフォームを日常的に活用するのは、主に3つの役割を担うユーザーです。開発者はAPIの構築と公開に使用し、運用チームはトラフィックと稼働状況を監視します。ビジネスの意思決定者は、どのAPIが収益を生む製品を支えているかを追跡します。
このプラットフォームの必要性が高まるのは、社内APIが2〜3個を超えた時点です。単一の商品カタログAPIを持つ小売業者であれば、READMEとAPIキーを管理するスプレッドシートで事足りるかもしれません。しかし、モバイルアプリ、パートナーマーケットプレイス、店舗内キオスク向けに15本のAPIを展開している小売業者には、それでは対応できません。その規模になると、場当たり的なドキュメント管理、手動のアクセスコントロール、分散したログの管理は手に負えなくなります。
このプラットフォームは、いわば航空管制塔のような存在です。システムに出入りするすべてのAPI呼び出しはここを経由し、検査・ルーティング・ログ記録が実施されます。発信元がモバイルアプリ、パートナーシステムとの連携、内部マイクロサービスのいずれであっても、例外はありません。
API管理プラットフォームの主要コンポーネントとは？
- APIゲートウェイ。 実行時のポリシー適用レイヤーです。すべての受信リクエストをインターセプトし、認証とレート制限のポリシーを適用し、必要に応じてリクエストやレスポンスのフォーマットを変換して、適切なバックエンドにルーティングします。ゲートウェイがなければ、各バックエンドがこれらのコントロールを独自に実装することになります。その結果、あるチームはOAuth 2.0を適用し、別のチームは静的APIキーに頼り、さらに別のチームは急ぎのリリース時に認証を完全にスキップするといった状況が生まれます。
- 管理プレーン。 ポリシーの定義、APIバージョンの公開、コンシューマーごとのクォータ制限の設定、認証情報の管理をチームが行うための管理インターフェースです。エンタープライズプラットフォームはロールベースのアクセス制御をサポートしており、支払いチームは製品カタログチームの承認を得ることなく、トランザクションAPIのレート制限を更新することができます。
- 開発者ポータル。 社内開発者や外部パートナーがAPIを検索し、ドキュメンテーションを参照し、sandbox環境でエンドポイントをテストし、認証情報を申請できるセルフサービス型カタログです。金融サービス企業では、sandbox環境を備えたインタラクティブなポータルにより、開発者がチケットを起票することなく必要な情報を入手できるため、パートナーの参加手続きを数週間から数日に短縮することができます。
- 分析と監視。 リクエスト量、レイテンシのパーセンタイル、エラー率、コンシューマーレベルの使用状況データを収集するモジュールです。このデータは容量計画とビジネスレポートに活用されます。分析を一元化しなければ、あるパートナーが全体のトラフィックの40%を占めているという実態を、そのパートナーの利用量が他のユーザー全員のレイテンシを急増させるまで把握できない可能性があります。
API管理プラットフォームはセキュリティとコンプライアンスをどのように管理するのか？
認証と認可は、OAuth 2.0やOpenID Connectなどの標準規格を用いてゲートウェイレイヤーで適用されます。ゲートウェイが未認証のリクエストを先に拒否または認証を要求するため、バックエンドサービスに未認証のリクエストが届くことはありません。例えば、スケジューリングAPIを遠隔医療プロバイダーに公開しているヘルスケア組織では、各バックエンドチームがそれぞれトークン検証を管理するのではなく、すべてのプロバイダーを同一のID標準で検証することができます。
レート制限とクォータ管理により、設定ミスが生じた内部サービスや悪意あるアクターといった特定のコンシューマーが、バックエンドに過大な負荷をかけることを防ぐことができます。エンタープライズプラットフォームでは段階的なクォータ設定が可能です。例えば、無料枠のパートナーは1日あたり1,000回の呼び出しに制限される一方、プレミアムパートナーはサービスレベル契約で規定されたより高い上限のもとで運用することができます。
HIPAA (Health Insurance Portability and Accountability Act) またはGDPR (EU一般データ保護規則) の適用を受ける組織では、プラットフォームの監査ログ機能がすべてのAPI呼び出しの改ざん防止済み記録を生成します。呼び出し元、対象、日時、使用されたヘッダー、システムが返したレスポンスまで、完全な記録を残すことができます。よくある失敗事例として、各サービスが独自にログローテーションを管理していたために3か月分のログが上書きされていたことが、監査時に初めて判明するケースが挙げられます。
同意管理プラットフォームはポリシーレイヤーに統合されており、データを含むレスポンスが返される前に、ゲートウェイの条件としてコンシューマーの同意状況が確認されます。ユーザーがマーケティング目的のデータ共有への同意を撤回した場合、ゲートウェイはそのユーザーのプロファイル属性を含むレスポンスをブロックします。
AIガバナンスプラットフォームは、AI生成レスポンスをAPIで提供する際にこのレイヤーに隣接して機能します。呼び出し可能なモデルの範囲、それらのモデルがアクセスできるデータの種類、および説明責任確保のためのアウトプットのログ記録方法を定義することができます。
APIマネジメントプラットフォームはデジタルトランスフォーメーションをどのように支援するか
モバイルアプリのリリース、パートナーエコシステムへのオンボーディング、モノリスからマイクロサービスへの移行——これらすべてに信頼性が高く検索可能なAPIが欠かせません。マネジメントプラットフォームにより、APIを外部に安全に公開し、製品開発の基盤として確実に活用することができます。
デジタルエクスペリエンスプラットフォームは、APIマネジメントを基盤レイヤーとして不可欠とします。パーソナライズされたコンテンツのレスポンス、リアルタイムのお客様データの参照、サードパーティウィジェットとの統合はいずれもAPI呼び出しであり、エンドユーザーに届く前にセキュリティ保護と監視が必要です。数百万人の読者にパーソナライズされたレコメンデーションを提供するメディア企業にとって、レコメンデーションAPIは高負荷時のパフォーマンス維持と、シンジケーションパートナーによる認証情報の不正利用への対策を両立することが求められます。
エクスペリエンス管理プラットフォームとカスタマーエクスペリエンスプラットフォームはいずれも、一貫したバージョン管理されたAPIを必要とします。これにより、新しいモバイルアプリのリリースが、パートナーが旧バージョンの契約に基づいて構築したインテグレーションに影響を与えないようにすることができます。APIマネジメントプラットフォームは非推奨化ワークフローを提供し、予告なしの破壊的変更ではなく、コンシューマーへの事前通知と移行パスを通じて円滑な移行を実現します。
組織はデジタル変革の進捗測定にも分析モジュールを活用できます。新しいAPIバージョンに移行済みのチーム、非推奨エンドポイントを依然として呼び出しているパートナー連携、レイテンシの急増によってダウンストリームのユーザーエクスペリエンスが低下している箇所などを把握することが可能です。Adobe Experience Platformは、データインジェストサービス、ID解決、リアルタイムセグメンテーション向けのAPIを提供しています。また、データ量の増加に対応するレイテンシ要件を満たすために顧客プロファイルの参照に適用できる同意処理機能も備えています。
APIマネジメントプラットフォームのデプロイメントモデルを比較する
クラウドホスト型 (SaaS)。ベンダーがゲートウェイと管理インフラを運用します。速度を重視するチームやインフラ管理のリソースが不足しているチームに最適で、例えば初めてパートナーAPIプログラムを立ち上げる50人規模のスタートアップに向いています。トレードオフとして、データの保存場所やゲートウェイのカスタマイズに対するコントロールが制限されます。
セルフホスト型。組織が自社インフラ上でゲートウェイソフトウェアを運用します。特定のネットワーク境界からデータを外部に出せない場合、例えば市民データを処理する政府機関などで必要となります。トレードオフとして、稼働率の維持、パッチ適用、スケーリングの責任が運用チームに課されます。
ハイブリッド型。管理プレーンはベンダー環境で稼働し、ゲートウェイは組織のネットワーク内で動作します。金融サービス企業であれば、トランザクションデータを自社データセンターで保持しながら、ベンダーが管理するポリシー管理の恩恵を受けることができます。このモデルでは、管理上のオーバーヘッドとランタイムのデータパスを明確に切り分けることができます。
Platform as a service (PaaS)による納品は、大半のクラウドホスト型ソリューションで採用されている提供方式です。基盤となるインフラは抽象化されており、組織は従量課金サービスとしてゲートウェイの利用容量を購入します。PaaSは参入障壁を低減しますが、APIコール数が月額費用を直接左右するため、慎重なコストモデリングが不可欠です。
最適なAPIマネジメントプラットフォームの選び方
組織が管理するAPIが20個未満で、主なユースケースが社内の開発者生産性向上である場合、充実したデベロッパーポータルと基本的な分析機能を備えた軽量プラットフォームで十分です。必要以上の機能を購入すると使われないソフトウェアが生まれ、シンプルなユースケースに対して重厚なツールを好まない開発者の導入意欲を損なうことになります。
外部の開発者がAPIに登録して認証情報を取得し、製品を構築するパートナーエコシステムを構築するなら、開発者portalの品質、self-serviceアクセスのワークフロー、段階的な割り当て量管理を優先してください。パートナーごとの利用状況データを表示する分析platformの機能は商業的に重要です。どのパートナーが価値を創出し、どのパートナーが契約上の使用量を超過しているかを把握することが不可欠だからです。
規制業界で事業を展開する組織にとって、コンプライアンスのログ記録ときめ細かな認可は必須です。監査ログを既存のSecurity Information and Event Management (SIEM)ツールにエクスポートできるか、gatewayがフィールドレベルで属性ベースのアクセス制御を適用できるかを確認してください。特定のJSONフィールド(マイナンバーなど)へのアクセスをブロックできるplatformは、endpoint全体へのアクセスを許可または拒否するだけのものより実質的に優れています。
複数のクラウドにわたって大規模にmicroservicesを運用している場合は、federated gatewayのサポートを評価してください。これは、製品チームが共有ポリシーの管理下で、変更のたびに中央の承認を必要とせずに独自のgatewayインスタンスをデプロイできる機能です。
APIインテグレーションplatformは、この評価において関連しながらも独自のカテゴリとして登場することが多いです。インテグレーションplatformがシステム間でデータを移動させる一方、API管理platformはそのデータへのアクセス方法を統制します。両者は代替手段としてではなく、補完的なレイヤーとして評価してください。
よくある質問。
チームがAPI管理に使うソフトウェアとは？
API gatewayとAPI管理platformの違いとは？
API管理はセキュリティをどのように向上させますか？
API管理における主な課題とは？
組織はいつAPI管理プラットフォームを必要とするのか？
API管理をより幅広い顧客データおよびエクスペリエンス戦略に組み込む方法を検討しているなら、Adobe Experience PlatformでエンタープライズグレードのAPIガバナンス、同意管理、リアルタイムデータのアクティベーションが単一のプラットフォームでどのように機能するかを確認することができます。
関連トピックス
https://business.adobe.com/fragments/resources/cards/thank-you-collections/rtcdp
