Seminar Gravitee API Security, Policies und Traffic Management

Das Seminar vertieft die technische Absicherung und Laufzeitsteuerung von APIs im Gravitee Gateway. Sicherheitspläne, Policy-Flows, Ausdruckssprache, wiederverwendbare Richtlinien, Traffic Shaping, Validierung und kontrollierte Fehlerantworten werden in zusammenhängenden Schutzketten umgesetzt.

Inhaltsübersicht

• Seminarziele
• Inhalte
• Praxisübungen
• Zielgruppe
• Voraussetzungen
• Arbeitsweise

Seminarziele

Im Seminar werden folgende Kompetenzen aufgebaut:

• Sicherheitsanforderungen in Pläne, Policies, Ressourcen und Gateway-Konfiguration übersetzen
• API Key, JWT, OAuth 2.0 und mTLS passend zum Schutzbedarf einsetzen
• Flows, Phasen, Bedingungen und Gravitee Expression Language sicher beherrschen
• Traffic mit Rate Limit, Quota, Spike Arrest und weiteren Resilienzmustern steuern
• Payloads, Header, Rollen und Eingaben validieren und transformieren
• Shared Policy Groups, Debug Mode und Response Templates für standardisierte Schutzketten nutzen

Inhalte

Sicherheitsarchitektur am Gateway

• Bedrohungsmodell für öffentliche, Partner- und interne APIs
• TLS, mTLS, Netzwerkgrenzen und vertrauenswürdige Header
• Authentifizierung, Autorisierung, Traffic Control und Inhaltsprüfung
• Verantwortung zwischen Identity Provider, Gateway und Backend

Pläne und Zugriffsmodelle

• Keyless, Basic Authentication, API Key, JWT, OAuth2, Push und mTLS
• Anwendungen, Subscriptions, Genehmigung und Schlüsselrotation
• Scopes, Claims, Client IDs und Subscription-Auflösung
• Plan-Auswahlregeln und parallele Consumer-Modelle

Flows, Phasen und Ausdruckssprache

• API-, Plan- und Plattform-Flows
• Request-, Response-, Message- und Subscription-Phasen
• Bedingungen, Kontextattribute, Request-Daten und sichere Ausdrücke
• Reihenfolge, Unterbrechung und Fehlerpropagation

Traffic Management und Resilienz

• Rate Limit, Quota und Spike Arrest korrekt unterscheiden
• Cache, Retry, Timeout, Circuit Breaker und Health Check
• Dynamic Routing, Load Balancing und Failover-Muster
• Grenzwerte pro Plan, Anwendung, Schlüssel oder Kontext

Validierung, Transformation und Autorisierung

• JSON- und Schema-Validierung, Größen- und Inhaltsgrenzen
• Header-, Query- und Payload-Transformation
• CORS, IP Filtering, RBAC und kontextbezogene Regeln
• HTTP Callout, Assign Attributes und kontrollierte Anreicherung

Standardisierung und Wiederverwendung

• Shared Policy Groups für Sicherheits- und Traffic-Baselines
• Ressourcen, Secrets und zentrale Konfigurationsabhängigkeiten
• Versionierung, Test, Freigabe und kontrolliertes Deployment
• Einordnung eigener Policies und Plugin-Lifecycle

Test, Fehlerantworten und Nachweis

• Debug Mode und schrittweise Analyse einer Policy-Kette
• Response Templates und konsistente Fehlerverträge
• Logging, Audit und sicherheitsrelevante Metriken
• Negativtests für Authentifizierung, Autorisierung, Limits und Payloads

Praxisübungen

1. Eine API mit API-Key-, JWT- und OAuth2-Zugriffsvarianten modellieren und testen.
2. Eine Policy-Kette mit Bedingungen, Kontextattributen und Rollenprüfung aufbauen.
3. Rate Limit, Quota und Spike Arrest anhand unterschiedlicher Lastmuster vergleichen.
4. Eingaben validieren, sensible Header entfernen und eine kontrollierte Transformation umsetzen.
5. Eine Shared Policy Group als verbindliche Sicherheitsbaseline erstellen und einbinden.
6. Fehlerpfade im Debug Mode analysieren und einheitliche Response Templates konfigurieren.

Zielgruppe

API Engineers, Security Engineers, Plattformadministratoren, Integrationsentwickler und technische Architekten.

Voraussetzungen

Praktische Gravitee-Grundkenntnisse entsprechend dem Grundlagenseminar; Verständnis von HTTP, TLS, JWT und OAuth 2.0.

Arbeitsweise

Die Themen werden durch fachliche Einordnung, Demonstrationen und aufeinander aufbauende Übungen am System vermittelt. Konfigurationen werden geprüft, mit Negativtests belastet und anhand von Logs, Statusinformationen oder Metriken nachvollzogen. Die Übungen bilden einen durchgängigen technischen Anwendungsfall und vermeiden isolierte Klickfolgen ohne betrieblichen Zusammenhang.