Thema-architectuur Werken met API's

Aanleiding

In 2017 zijn gemeenten, VNG en leveranciers onder de naam ‘Common Ground’ een nieuwe informatiekundige weg ingeslagen. Een belangrijk doel daarbij was om data niet meer op te slaan binnen 'silo-systemen' maar om data (ook) op een gestandaardiseerde manier beschikbaar te stellen voor hergebruik. Ontsluiten van data uit registraties gebeurt via 'Application Programming Interfaces' (APIs), software-interfaces voor andere software. Om te zorgen dat API's zoveel mogelijk op een vergelijkbare manier werken wordt gebruik gemaakt van API-standaarden. Meer werken met API's stelt nieuwe eisen aan de inrichting van de informatievoorziening. Beschikbaar stellen van data via API's moet verantwoord, betrouwbaar en voldoende snel plaatsvinden. Daarvoor moeten zaken zoals authenticatie, autorisatie en beveiliging goed geregeld zijn.

Doel

De thema-architectuur 'Werken met API's' werkt een aantal vraagstukken uit die naar boven komen als er (meer) wordt gewerkt met API's. Een eerste vraagstuk dat is opgepakt is wat er nodig is om te zorgen dat gebruik van API's verantwoord plaats vindt. Het gaat daarbij om vragen zoals 'Is duidelijk wie data wil gebruiken?', 'Is er voldoende doelbinding aanwezig om gebruik toe te staan?', 'is te verantwoorden waarom bepaalde data is gebruikt?'. Identiteit- en toegangsbeheer speelt daarbij een belangrijke rol. Pas als er sprake is van een betrouwbare identiteit én toegangsbevoegdheid mag toegang tot een API worden verleend.

Architectuur

De GEMMA gebruikt service-oriëntatie als leidende architectuurstijl. Daarbij maken applicatiecomponenten via gestandaardiseerde API's van elkaars services gebruik. Een belangrijke stap daarbij is het bepalen van grenzen. Bijvoorbeeld bij het beslissen welke componenten bepaalde data en functionaliteit moeten leveren. En of gebruik wordt gemaakt van een centrale voorziening of er juist meer toegewerkt wordt naar een gedistribueerd applicatielandschap.

Het belangrijk aspect dat binnen deze thema-architectuur is uitgewerkt is hoe toegangsbeheer plaats moet vinden binnen applicatielandschap waar met API's wordt gewerkt. Mechanismen voor toegang en informatiebeveiliging zoals Role- (RBAC) en Attribute- based Access (ABAC) zijn dan niet meer altijd voldoende. Ze zijn vaak te grofmazig en ongeschikt om goed te kunnen verantwoorden wie wanneer voor welk doel data heeft gebruikt. Om de toegang tot systemen en bronnen goed te kunnen beheren is een ontwikkeling richting 'Policy Based Access' nodig. Daarbij worden verschillende type beleidsregels gedefinieerd die worden gebruikt om betrouwbaar vast te stellen of of toegang tot een API geoorloofd is of niet. Hiervoor zijn zowel technische als organisatorische veranderingen nodig.

De ontkoppeling die werken met API's met zich meebrengt vereist een architectuur waarbij geen enkele gebruiker of systeem inherent vertrouwd mag worden. Ook niet de afnemers die zich binnen dezelfde (netwerk)omgeving bevinden. Gebruikers en apparaten moeten altijd worden geverifieerd en geautoriseerd op basis van hun identiteit en alleen toegang krijgen tot bronnen die ze nodig hebben. Dit type architectuur wordt aangeduid met de term 'Zero Trust Architectuur' waarbij het 'niets-en-niemand-vertrouwen principe' geldt. Algemene aspecten van een Zero Trust Architectuur worden uitgewerkt in de thema-architectuur Privacy en Beveiliging. Hier wordt met name beschreven wat daarbij in relatie tot gebruik van API's relevant is.

Product

• Inleiding identiteit- en toegangsbeheer
• RBAC, ABAC en PBAC toegangscontrole
• Werken met APIs informatiearchitectuur
• Werken met APIs Begrippenkader

Meer informatie

Zero trust architectuur:

• What about zero trust? (NCSC)
• Factsheet Bereid u voor op zero trust
• NIST 800-207 Zero Trust Architecture

NORA:

• Themapatroon identity & access management
• Patroon voor Access management

Weergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat.

Systematische en meestal in een informatiesysteem opgeslagen beschrijvingen van instanties van concepten.

Afkorting van 'application programming interface': een manier om twee of meer computerprogramma's met elkaar te laten communiceren. Het is een soort software-interface die een dienst aanbiedt aan andere stukjes software.

Het geheel van mensen, middelen en maatregelen, gericht op de informatiebehoefte van de organisatie.

Het aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit.

Het proces van het toekennen van rechten voor de toegang tot geautomatiseerde functies en/of gegevens in ICT voorzieningen.

De fundamentele concepten of eigenschappen van een systeem in zijn omgeving belichaamd in zijn elementen, relaties en in de principes van zijn ontwerp en evolutie.

De eenheid van wezen, volkomen overeenstemming en gelijkheid. Dat wat uniek of eigen is aan iets of iemand. Het kan daarbij gaan om zowel personen als organisaties of landen.

De eenheid van wezen, volkomen overeenstemming en gelijkheid. Dat wat uniek of eigen is aan iets of iemand. Het kan daarbij gaan om zowel personen als organisaties of landen.

De fundamentele concepten of eigenschappen van een systeem in zijn omgeving belichaamd in zijn elementen, relaties en in de principes van zijn ontwerp en evolutie.

De GEMeentelijke ModelArchitectuur met een verzameling samenhangende kaders, richtlijnen, referentiemodellen en standaarden die gemeenten helpt bij het inrichten van hun IT-omgeving en processen.

Een manier van denken in termen van services, service-based ontwikkeling en de uitkomsten van services.

Groepering van services die aan afnemers worden aangeboden, met als doel het bevorderen van uniformiteit en efficiëntie binnen de overheid.

Het proces van vaststellen van de vereiste betrouwbaarheid van informatiesystemen in termen van vertrouwelijkheid, beschikbaarheid en integriteit alsmede het treffen, onderhouden en controleren van een samenhangend pakket van bijbehorende maatregelen.

Iedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem.

Een samenhangende set Diensten, Bedrijfsobjecten en/of Representaties die onder in een Overeenkomst beschreven voorwaarden kan worden afgenomen.

Betekenisvolle gegevens.