Présentation

L'API REST de Maximo est un outil puissant pour échanger des données avec des applications externes, mais il est important de s'assurer que l'accès n'est accordé qu'à ceux qui en ont besoin. Dans cet article, nous explorerons les meilleures pratiques pour améliorer la sécurité de l'API REST de Maximo, en nous concentrant spécifiquement sur la sécurité de la structure des objets, les modèles de sécurité à privilèges minimaux, la création de groupes de sécurité et l'utilisation de clés d'API pour l'intégration.

Comprendre la sécurité de la structure des objets dans Maximo‍

La sécurité de la structure des objets est un élément clé de la sécurisation de l'API REST de Maximo. Par défaut, les structures d'objets créées par l'utilisateur et la majorité des structures d'objets prêtes à l'emploi dans Maximo sont ouvertes et peuvent être utilisées par les utilisateurs Maximo authentifiés. Cela signifie que tout utilisateur disposant d'informations d'identification pouvant se connecter au système peut accéder aux données exposées par les structures d'objets via l'API REST. Pour corriger cette vulnérabilité, il est important d'activer la propriété système « mxe.int.enableosauth ». Cette propriété applique l'accès à la structure d'objet accordé explicitement, ce qui signifie que les utilisateurs ne peuvent accéder qu'aux structures d'objets qui leur ont été accordées. Cette fonctionnalité permet aux administrateurs de gérer la sécurité à l'aide de groupes de sécurité dans Maximo et garantit que les utilisateurs ne peuvent accéder qu'aux données auxquelles ils ont été autorisés à accéder.

‍Modèle de sécurité du moindre privilège pour les intégrations d'API dans Maximo‍

La mise en œuvre d'un modèle de sécurité minimum ou de moindre privilège est une bonne pratique pour améliorer la sécurité dans Maximo. Au lieu d'utiliser un seul utilisateur avec un accès de niveau administrateur, des utilisateurs dédiés avec un accès limité peuvent être créés pour chaque intégration, en utilisant des groupes de sécurité pour contrôler les privilèges d'accès. En créant un groupe de sécurité distinct pour chaque intégration et en leur accordant uniquement l'accès nécessaire à l'exécution de leurs tâches, le risque d'accès non autorisé est minimisé. Dans la pratique, un utilisateur d'intégration ne disposera d'aucune application Maximo frontale et n'accèdera à Maximo que via l'API. Les structures d'objets accordées seront pour la plupart en lecture seule, quelques privilégiés bénéficiant d'un accès de sauvegarde, d'insertion et de suppression.

Comment utiliser les clés API pour l'intégration dans Maximo et améliorer la sécurité

L'utilisation de clés d'API pour l'intégration est une option sécurisée qui fonctionne avec SOAP, les API REST et les autres API de Maximo. Les clés API constituent une meilleure alternative que l'utilisation de noms d'utilisateur et de mots de passe, car elles sont plus sécurisées. Les clés d'API sont la seule méthode pour vous authentifier auprès de l'API Manage une fois que vous passez à Maximo Application Suite. Ils ont également l'avantage de fonctionner que vous utilisiez l'authentification NATIVE, LDAP ou SAML. Lorsque vous utilisez des clés API, il est important de s'assurer qu'elles sont créées et distribuées de manière sécurisée. En outre, les clés d'API doivent être révoquées lorsqu'elles ne sont plus nécessaires.

Que pouvez-vous faire aujourd'hui ?‍

• Vérifiez la propriété système mxe.int.enableosauth. Si tel est le cas, votre système nécessite déjà que la sécurité soit explicitement accordée.
  

• Auditez votre système pour déterminer quels processus ou intégrations doivent se connecter aux structures d'objets via les API de Maixmo. Cela peut être accompli de différentes manières et peut être fastidieux. La documentation et les journaux de mise en œuvre vous y aideront.
  
  
• Vérifiez que la sécurité de la structure d'objet est configurée pour toutes les structures d'objets utilisées. Documentation IBM : https://www.ibm.com/support/pages/node/6417041
  
  
• Créez des utilisateurs et des groupes de sécurité dédiés pour chaque système connecté à Maximo via une API. Dans le passé, l'utilisation de MXINTADM était courante. Plusieurs systèmes utilisant le même utilisateur pour se connecter présentent un risque de sécurité mais empêcheront la mise en œuvre des principes de moindre accès.
  
  
• Éloignez tous les accès à l'API de l'utilisation de MAXAUTH (nom d'utilisateur et mot de passe) et utilisez plutôt une APIKEY pour vous authentifier. Tous les systèmes ne pourront pas utiliser une clé APIKEY, mais implémentez-en une là où vous le pouvez. Cela permettra également de pérenniser votre système lors de la migration vers Maximo Application Suite.
  
  
• Vérifiez votre travail en examinant l'accès depuis la base de données. La sécurité de la structure des objets est stockée dans la table APPLICATIONAUTH, tout comme la sécurité des applications. La consultation de ce tableau vous permettra de vérifier rapidement la sécurité réelle accordée à chaque groupe de sécurité.

‍

sélectionnez * dans applicationauth

où se trouve l'application (sélectionnez intobjectname dans MAXINTOBJECT)

et le nom de l'option dans ('READ', 'SAVE', 'INSERT', 'DELETE')

‍

La mise en œuvre des meilleures pratiques pour sécuriser l'API REST de Maximo avec la sécurité de la structure des objets est essentielle pour prévenir les failles de sécurité et garantir que l'accès n'est accordé qu'à ceux qui en ont besoin. En comprenant la sécurité de la structure des objets, en exécutant un modèle de sécurité minimum ou au moins à privilèges, en créant des groupes de sécurité et en utilisant des clés API pour l'intégration, vous pouvez vous assurer que seuls les utilisateurs autorisés peuvent accéder au système et minimiser le risque d'accès non autorisé. Le respect de ces meilleures pratiques et fonctionnalités de sécurité permet de mettre en place un système sécurisé et robuste qui minimise le risque de violations de données et d'accès non autorisé.

Une considération importante est la nécessité de revoir et de mettre à jour régulièrement vos paramètres de sécurité. À mesure que les exigences commerciales et informatiques évoluent, il est important de revoir vos paramètres de sécurité pour vous assurer qu'ils sont toujours adaptés à vos besoins. Des audits de sécurité réguliers peuvent aider à identifier les vulnérabilités et à fournir des recommandations pour améliorer la sécurité.