Introducción

La API REST de Maximo es una herramienta poderosa para intercambiar datos con aplicaciones externas, pero es importante garantizar que el acceso se conceda solo a quienes lo necesitan. En este artículo, analizaremos las mejores prácticas para mejorar la seguridad en la API REST de Maximo, centrándonos específicamente en la seguridad de la estructura de objetos, los modelos de seguridad con privilegios mínimos, la creación de grupos de seguridad y el uso de claves de API para la integración.

Comprensión de la seguridad de la estructura de objetos en Maximo‍

La seguridad de la estructura de objetos es un componente clave para proteger la API REST de Maximo. De forma predeterminada, las estructuras de objetos creadas por los usuarios y la mayoría de las estructuras de objetos listas para usar de Maximo están abiertas y disponibles para que las usen los usuarios autenticados de Maximo. Esto significa que cualquier usuario con credenciales que puedan iniciar sesión en el sistema puede acceder a los datos expuestos por las estructuras de objetos a través de la API REST. Para corregir esta vulnerabilidad, es importante activar la propiedad del sistema «mxe.int.enableosauth». Esta propiedad impone el acceso a la estructura de objetos otorgado de forma explícita, lo que significa que los usuarios solo pueden acceder a las estructuras de objetos que se les han otorgado. Esta función permite a los administradores gestionar la seguridad con los grupos de seguridad de Maximo y garantiza que los usuarios solo puedan acceder a los datos a los que se les ha concedido acceso.

‍Modelo de seguridad con privilegios mínimos para integraciones de API en Maximo‍

La implementación de un modelo de seguridad con privilegios mínimos o mínimos es una práctica recomendada para mejorar la seguridad en Maximo. En lugar de utilizar un usuario con acceso de nivel de administrador, se pueden crear usuarios dedicados con acceso limitado para cada integración, utilizando grupos de seguridad para controlar los privilegios de acceso. Al crear un grupo de seguridad independiente para cada integración y concederles solo el acceso necesario para realizar sus tareas, se minimiza el riesgo de acceso no autorizado. En la práctica, un usuario de la integración no tendrá ninguna aplicación frontal de Maximo y solo accederá a Maximo a través de la API. Las estructuras de objetos concedidas se concederán en su mayoría a nivel de solo lectura, y a unas pocas se les concederá el acceso para guardar, insertar y eliminar.

Cómo usar las claves de API para la integración en Maximo y mejorar la seguridad

El uso de claves de API para la integración es una opción segura y funciona con las API de SOAP, REST y otras API de las que dispone Maximo. Las claves de API son una mejor alternativa que usar nombres de usuario y contraseñas, ya que son más seguras. Las claves de API son el único método para autenticarse con la API de administración una vez que te mudes a Maximo Application Suite. También tienen la ventaja de funcionar tanto si se utiliza la autenticación NATIVE, LDAP o SAML. Al usar claves de API, es importante asegurarse de que se crean y distribuyen de manera segura. Además, las claves de API se deben revocar cuando ya no se necesitan.

¿Qué puede hacer hoy?‍

• Compruebe la propiedad del sistema mxe.int.enableosauth. Si esto es cierto, su sistema ya requiere que se otorgue la seguridad de forma explícita.
  

• Audite su sistema para determinar qué procesos o integraciones deberían conectarse a las estructuras de objetos a través de las API de Maixmo. Esto se puede lograr de diferentes maneras y puede resultar tedioso. La documentación y los registros de implementación le ayudarán a hacerlo.
  
  
• Compruebe que todas las estructuras de objetos utilizadas tengan configurada la seguridad de la estructura de objetos. Documentación de IBM: https://www.ibm.com/support/pages/node/6417041
  
  
• Cree usuarios y grupos de seguridad dedicados para cada sistema que esté conectado a Maximo a través de una API. En el pasado, el uso de MXINTADM era común. Varios sistemas que utilizan al mismo usuario para conectarse representan un riesgo para la seguridad, pero impiden la implementación de los principios de acceso mínimo.
  
  
• Elimine todos los accesos a la API del uso de MAXAUTH (nombre de usuario y contraseña) y, en su lugar, utilice una APIKEY para autenticarse. No todos los sistemas podrán utilizar una APIKEY, pero hay que implementar una cuando sea posible. Esto también ayudará a que su sistema esté preparado para el futuro cuando pase a Maximo Application Suite.
  
  
• Comprueba tu trabajo consultando el acceso desde el lado de la base de datos. La seguridad de la estructura de objetos se almacena en la tabla APPLICATIONAUTH, al igual que la seguridad de las aplicaciones. Si marca esta tabla, podrá comprobar rápidamente la seguridad real que se otorga a cada grupo de seguridad.

‍

seleccione * de applicationauth

dónde está la aplicación (seleccione intobjectname de MAXINTOBJECT)

y el nombre de la opción en ('LEER', 'GUARDAR', 'INSERTAR', 'ELIMINAR')

‍

La implementación de las mejores prácticas para proteger la API REST de Maximo con la seguridad de la estructura de objetos es fundamental para evitar las vulnerabilidades de seguridad y garantizar que el acceso se conceda solo a quienes lo necesitan. Al comprender la seguridad de la estructura de objetos, ejecutar un modelo de seguridad mínimo o al menos con privilegios, crear grupos de seguridad y utilizar las claves de API para la integración, puede asegurarse de que solo los usuarios autorizados puedan acceder al sistema y minimizar el riesgo de acceso no autorizado. Seguir estas prácticas recomendadas y funciones de seguridad permite disponer de un sistema seguro y sólido que minimiza el riesgo de filtraciones de datos y de accesos no autorizados.

Una consideración importante es la necesidad de revisar y actualizar periódicamente la configuración de seguridad. A medida que cambian los requisitos empresariales y de TI, es importante revisar la configuración de seguridad para asegurarse de que sigue siendo adecuada para sus necesidades. Las auditorías de seguridad periódicas pueden ayudar a identificar las vulnerabilidades y ofrecer recomendaciones para mejorar la seguridad.