Gestion du cycle de vie des API avec API Manager (Course #api-lifecycle)

Programme chaque ligne est quelque chose que vous faites

6 modules · 18 sujets · dans l'ordre du cours

1. Module 1

   Des chaînes de policies qui tiennent la charge

   Objectif. Concevoir une chaîne de policies ordonnée dans API Manager afin que chaque endpoint partenaire applique rate limiting, throttling et CORS de façon vérifiée.

   • Calibrer Rate-Limiting et Spike-Control par contrat partenaire (p. ex. 50 req/s soutenu, burst 100 pendant 10 s) et vérifier le 429 côté consommateur
   • Configurer la policy CORS : origines, méthodes et en-têtes autorisés, cache de preflight, sans wildcard sur les endpoints partenaires
   • Ordonner la chaîne — Client-Id Enforcement avant throttling — et budgéter 1 à 3 ms de latence ajoutée par politique
2. Module 2

   Onboarding des consommateurs sous contrôle

   Objectif. Opérer l'enregistrement des applications dans API Manager afin que chaque consommateur détienne des identifiants révocables liés à un palier SLA.

   • Enregistrer les applications consommatrices dans API Manager et circonscrire leur visibilité via business groups et environnements
   • Émettre les couples client_id/client_secret et rattacher les contrats ; rotation des secrets tous les 90 jours sans coupure
   • Auditer trimestriellement le registre et révoquer les contrats orphelins (cible : aucune application inactive au-delà de 30 jours)
3. Module 3

   Le jeton fait foi, rien d'autre

   Objectif. Paramétrer les flux OAuth 2.0 et la validation JWT dans API Manager afin qu'un jeton non signé, expiré ou hors périmètre soit rejeté à la gateway.

   • Configurer les token policies OAuth 2.0 par scénario : client_credentials en machine-to-machine, authorization_code + PKCE pour les portails
   • Valider les signatures JWT localement depuis le JWKS de l'IdP et imposer les claims iss, aud et exp sans introspection distante
   • Mesurer le coût de chaque option (p. ex. JWKS en cache : 1 à 2 ms ; introspection distante : 20 à 50 ms) et tracer l'arbitrage
4. Module 4

   Versionner sans casser

   Objectif. Piloter versioning et dépréciation dans API Manager afin qu'aucune version héritée ne disparaisse avant l'extinction de son dernier contrat actif.

   • Verrouiller une stratégie unique — chemin URI (/v1) ou en-tête Accept — et l'inscrire dans vos règles de gouvernance API
   • Dérouler la dépréciation par états de cycle de vie : blocage des nouveaux contrats sur v1 et notification des consommateurs actifs 90 jours avant
   • Suivre la migration sur le dashboard des contrats jusqu'à zéro contrat actif sur les versions dépréciées (sortie visée : 90 jours)
5. Module 5

   Des paliers SLA prouvés à la gateway

   Objectif. Définir et faire respecter les paliers SLA afin que chaque partenaire consomme exactement son quota contractuel, preuves relevées à la gateway.

   • Modéliser les paliers Silver/Gold/Platinum (p. ex. 10, 50, 200 req/s) et rattacher chaque contrat d'application à un seul palier
   • Appliquer Client-Id Enforcement à la gateway afin qu'un appel sans contrat échoue vite en 401/403 sans atteindre les backends
   • Auditer l'usage par contrat dans l'analytics et renégocier les quotas dès qu'un partenaire tient plus de 80 % de son plafond
6. Module 6

   Projet fil rouge : un partenaire sur tout le cycle de vie

   Objectif. Conduire une fintech Alderbank à travers onboarding, SLA par palier, rotation d'identifiants et bascule de version — mesures à l'appui.

   • Enregistrer l'application, attacher le palier Or (50 req/s soutenus) et prouver le rejet 401 de tout appel sans contrat
   • Rotérer un client_secret compromis sans interruption ; les identifiants obsolètes meurent, les grants OAuth en cours survivent
   • Répéter la bascule v1 → v2 : fermer les nouveaux contrats, notifier à J-90, ramener les contrats v1 actifs à zéro

Références & documentation officielle chaque affirmation ci-dessus a une source

Module 1

• Politique Rate LimitingDoc MuleSoft

Module 2

• Applications clientes, contrats et identifiantsDoc MuleSoft

Module 3

• Types d'autorisation OAuth 2.0Spécification
• RFC 7519 : JSON Web Token (JWT)Spécification
• Politique JWT ValidationDoc MuleSoft

Module 4

• Déprécier une instance d'API dans API ManagerDoc MuleSoft

Module 5

• Comprendre les paliers SLADoc MuleSoft

Module 6

• Politique Client ID EnforcementDoc MuleSoft

Dans la filière Gestion & sécurité des API