Brontekst bekijken van Thema-architectuur Werken met API's

===Architectuur===
De GEMMA gebruikt service-oriëntatie als leidende architectuurstijl. Daarbij maken applicatiecomponenten via, bij voorkeur gestandaardiseerde, API's gebruik van elkaars services. Gebruik van API's is daarbij niets nieuws. Maar de manier waarop en het toenemend gebruik ervan maakt het belangrijk om binnen de architectuur uit te werken.     

Meer gebruik maken van API's vereist maatregelen op meerdere gebieden. In termen van architectuur raakt het zowel de bedrijfs-, informatie- als technische architectuur. Voor een overzicht en beschrijving van een veelheid aan benodigde generieke functies ('capability's') maken we gebruik van het 'API capability model' van de [https://docs.geostandaarden.nl/api/API-Strategie/ Nederlandse API Strategie]. Die functies beschrijven de bekwaamheden of vermogens waarover partijen moeten (gaan) beschikken om goed met API's te kunnen werken.     

De thema-architectuur werkt uit hoe toegangsbeheer plaats moet vinden binnen een applicatielandschap waar intensief van API's gebruik wordt gemaakt. Bekende mechanismen voor toegang en informatiebeveiliging, zoals Role- (RBAC) en Attribute- based Access (ABAC), zijn te grofmazig en bijvoorbeeld niet geschikt om te kunnen verantwoorden wie wanneer voor welk doel bepaalde data heeft gebruikt. Om de toegang tot systemen en bronnen via API's goed te kunnen beheren is een ontwikkeling richting 'Policy Based Access' nodig.  Daarbij worden beleidsregels gedefinieerd waarmee betrouwbaar is vast te stellen of toegang tot een API geoorloofd is of niet. Invoeren hiervan vereist zowel technische als organisatorische veranderingen en zal langere tijd vergen.    

De ontkoppeling die werken met API's met zich meebrengt vereist een architectuur waarbij geen enkele gebruiker, systeem of API inherent vertrouwd wordt (ook  afnemers binnen dezelfde (netwerk)omgeving niet). Er moet altijd verificatie en autorisatie op basis van identiteit plaatsvinden, op basis waarvan toegang tot bronnen wordt bepaald. De thema-architectuur beschrijft naast een aantal beveiligingsrichtlijnen voor API's, het type architectuur dat wordt aangeduid met de term 'Zero Trust Architectuur'. Een architectuur waarbinnen het 'niets-en-niemand-vertrouwen principe' geldt. Algemene aspecten van een Zero Trust Architectuur worden uitgewerkt in de [[Thema-architectuur Privacy en Informatiebeveiliging]]. Hier wordt met name beschreven wat in relatie tot gebruik van API's relevant is.     

{{Landingspagina
|titel1 = Producten
|inhoud1 =
* [[API Capability Model | API Capability Model]]
* [[WMA_Identiteit_en_Toegangbeheer | Inleiding identiteit- en toegangsbeheer]]
* [[WMA_RBAC_ABAC_en_PBAC | RBAC, ABAC en PBAC toegangscontrole]]
* [[WMA_Informatiearchitectuur | Werken met APIs informatiearchitectuur]]
* [[Beveiligingsrichtlijnen_voor_API%27s_en_webservices|Beveiligingsrichtlijnen voor APIs]]
* [[WMA_Begrippenkader | Werken met APIs Begrippenkader]]
* [[Toelichting gebruik van REST]]
|titel2 = Meer informatie
|inhoud2 = 
Zero trust architectuur:
* [https://www.ncsc.nl/actueel/weblog/weblog/2020/what-about-zero-trust What about zero trust? (NCSC)]
* [https://www.ncsc.nl/documenten/factsheets/2021/augustus/18/factsheet-bereid-u-voor-op-zero-trust Factsheet Bereid u voor op zero trust]
* [https://csrc.nist.gov/publications/detail/sp/800-207/final NIST 800-207 Zero Trust Architecture]

NORA:
* [https://www.noraonline.nl/wiki/Themapatroon_identity_%26_access_management Themapatroon identity & access management]
* [https://www.noraonline.nl/wiki/Patroon_voor_access_management Patroon voor Access management]
|hoogte = 450px
}}