Sécuriser les intégrations sur Anypoint Platform (Course #securing-integrations)

Programme chaque ligne est quelque chose que vous faites

5 modules · 15 sujets · dans l'ordre du cours

1. Module 1

   Chiffrer données, config et transport

   Objectif. Appliquer JCE, PGP et les secure properties afin qu'aucun identifiant ni payload sensible ne repose ni ne circule en clair.

   • Chiffrer les payloads avec le module Cryptography (JCE) en AES-256-GCM et scripter la rotation des clés par environnement
   • Appliquer PGP (clés, signature, armoring) aux échanges de fichiers partenaires sur les flux batch
   • Migrer les identifiants vers des secure properties chiffrées en AES-256, déverrouillées par des clés injectées au runtime
2. Module 2

   Fédérer l'identité, ne jamais la dupliquer

   Objectif. Intégrer Okta ou Ping comme source unique d'identité afin que l'accès plateforme comme les appels API passent par OAuth 2.0/OIDC.

   • Enregistrer Anypoint comme relying party d'Okta ou Ping via OIDC discovery, avec SAML en repli pour la console d'administration
   • Établir la confiance OAuth 2.0 entre API Manager et l'IdP d'entreprise : authorization code + PKCE pour les utilisateurs humains
   • Tester l'identité de bout en bout — émission, expiration des accès (p. ex. 15 min), refresh, révocation — par vérifications automatisées
3. Module 3

   Réduire le rayon d'explosion réseau

   Objectif. Concevoir le VPC Anypoint, les règles firewall et les liens privés afin que seuls les ports voulus répondent et que le trafic interne passe en mTLS.

   • Dimensionner le VPC Anypoint : plage CIDR privée, DNS interne, exposition publique réduite au 443 derrière load balancers
   • Écrire des allow-lists firewall et des IP egress fixes afin que les partenaires ne mettent en liste blanche que vos gateways
   • Relier l'on-premise par VPN avec mTLS adossé à une chaîne de CA interne — aucun certificat auto-signé en production
4. Module 4

   Des preuves de conformité en continu

   Objectif. Instrumenter masquage, logs et contrôle d'accès afin que les preuves HIPAA/PCI-DSS s'accumulent en continu, pas en sprint d'audit.

   • Cartographier les points de contact PHI et PAN dans les flows et placer le masquage avant chaque appender de log
   • Configurer l'auditabilité : transfert des logs vers le SIEM, rétention 12 mois, rôles à privilège minimal par environnement
   • Noter les contrôles face aux checkpoints HIPAA et PCI-DSS et transformer les écarts en backlog de remédiation daté et attribué
5. Module 5

   Toute entrée est hostile

   Objectif. Durcir les API Carelink contre les payloads malformés et malveillants sans creuser le budget de +8 ms par contrôle.

   • Valider le JSON/XML entrant contre les schémas au gateway ; rejeter tôt en 400 plutôt que d'empoisonner les flows aval
   • Neutraliser les vecteurs d'injection : requêtes Database paramétrées, XSLT/XPath durci, défenses XXE et expansion d'entités
   • Plafonner taille et profondeur des requêtes (p. ex. 1 Mo, imbrication XML ≤ 10) et contre-tester chaque limite par fuzzing

Références & documentation officielle chaque affirmation ci-dessus a une source

Module 1

• Configurer la cryptographie JCEDoc MuleSoft
• Configurer la cryptographie PGPDoc MuleSoft
• Propriétés de configuration sécuriséesDoc MuleSoft

Module 2

• OpenID Connect Core 1.0Spécification
• Configurer la gestion d'identité OpenID Connect dans Anypoint PlatformDoc MuleSoft

Module 3

• Architecture réseau CloudHub 2.0Doc MuleSoft

Module 4

• Journalisation d'audit dans Anypoint PlatformDoc MuleSoft

Module 5

• Politique XML Threat ProtectionDoc MuleSoft

Dans la filière Gestion & sécurité des API