Seminar Gravitee API Management – Plugin- und Policy-Entwicklung

Das Entwicklungsseminar erstellt eine eigene Gravitee-Policy vom fachlichen Vertrag bis zum produktionsfähigen Plugin. Entwicklungsumgebung, Descriptoren, Konfigurationsschema, API-Typen und Phasen, asynchrone Verarbeitung, Tests, Paketierung, Rollout, Kompatibilität, Telemetrie und Wartung werden vollständig durchlaufen.

Seminarprofil

Die Inhalte werden als zusammenhängende Arbeitsstrecke aufgebaut. Jedes Modul verbindet Einordnung, Konfiguration, kontrollierte Tests und betriebliche Dokumentation. Entscheidungen werden nicht als Einzeloptionen betrachtet, sondern in Bezug auf API-Lifecycle, Security, Consumer und Betrieb bewertet.

Zielgruppe

Java-Entwickler, Gravitee-Erweiterungsentwickler, API-Plattformteams, Softwarearchitekten und technische Maintainer

Voraussetzungen

Sichere Java-, Maven- oder Gradle- und Testkenntnisse sowie Verständnis von HTTP, API-Gateways und Gravitee Policies

Lernziele

• Plattformbild, Rollen und Kernkomponenten fachlich einordnen, zielgerichtet konfigurieren und mit überprüfbaren Kriterien absichern
• Plugin-Architektur und Entwicklungsumgebung fachlich einordnen, zielgerichtet konfigurieren und mit überprüfbaren Kriterien absichern
• Eigene Policy implementieren und testen fachlich einordnen, zielgerichtet konfigurieren und mit überprüfbaren Kriterien absichern
• Policies, Flows und Ausführungsphasen fachlich einordnen, zielgerichtet konfigurieren und mit überprüfbaren Kriterien absichern
• Kontextdaten und Gravitee Expression Language fachlich einordnen, zielgerichtet konfigurieren und mit überprüfbaren Kriterien absichern
• Security-Architektur und Defense in Depth fachlich einordnen, zielgerichtet konfigurieren und mit überprüfbaren Kriterien absichern
• Plugin-Betrieb, Release und Wartung fachlich einordnen, zielgerichtet konfigurieren und mit überprüfbaren Kriterien absichern
• die zusätzlichen Vertiefungsmodule zu einer konsistenten Gravitee-Arbeitsstrecke verbinden
• Änderungen, Tests, Risiken und Betriebsanforderungen nachvollziehbar dokumentieren

Inhaltsübersicht

1. Plattformbild, Rollen und Kernkomponenten
2. Plugin-Architektur und Entwicklungsumgebung
3. Eigene Policy implementieren und testen
4. Policies, Flows und Ausführungsphasen
5. Kontextdaten und Gravitee Expression Language
6. Security-Architektur und Defense in Depth
7. Plugin-Betrieb, Release und Wartung
8. Upgrades, Breaking Changes und Kompatibilität
9. Tests, Abnahme und Qualitätsnachweis
10. Durchgängiges Praxisprojekt und Betriebsübergabe
11. Durchgängiges Praxisprojekt, Abnahme und Transfer in den Betriebsprozess

Seminarinhalte

1. Plattformbild, Rollen und Kernkomponenten

Dieses Modul ordnet plattformbild, rollen und kernkomponenten in die Gravitee-Plattform ein und überführt die fachlichen Anforderungen in einen reproduzierbaren technischen Ablauf. Konfiguration, Sicherheitswirkung, Fehlerverhalten und Betriebsrelevanz werden gemeinsam geprüft.

• Gateway, Management API, Management Console und Developer Portal im Zusammenspiel
• Organisationen, Environments, APIs, Applications, Plans und Subscriptions
• Control Plane, Data Plane, Self-Hosted-, Cloud- und Hybrid-Betriebsmodelle
• Abgrenzung von API Gateway, API Management, Developer Experience und Governance

Schrittweise Umsetzung

1. Ein Zielbild mit Produzenten, Konsumenten, Plattformdiensten und Verantwortlichkeiten zeichnen.
2. Control-Plane- und Data-Plane-Komponenten den benötigten Sicherheitszonen zuordnen.
3. Ein Environment mit Namens-, Rollen- und Mandantenvorgaben strukturieren.
4. Die Entscheidung für Self-Hosted, Cloud oder Hybrid anhand nachvollziehbarer Kriterien dokumentieren.

2. Plugin-Architektur und Entwicklungsumgebung

Dieses Modul ordnet plugin-architektur und entwicklungsumgebung in die Gravitee-Plattform ein und überführt die fachlichen Anforderungen in einen reproduzierbaren technischen Ablauf. Konfiguration, Sicherheitswirkung, Fehlerverhalten und Betriebsrelevanz werden gemeinsam geprüft.

• Plugin-Typen, Policy-Lifecycle, Classloading und Abhängigkeiten
• Build, Paketierung, Descriptoren, Konfiguration und Schema
• API-Typen, unterstützte Phasen und Kompatibilitätsmatrix
• Lokale Testumgebung, Debugging und Versionsstrategie

Schrittweise Umsetzung

1. Entwicklungsumgebung und reproduzierbaren Build für ein minimales Plugin vorbereiten.
2. Descriptor, Konfigurationsschema und unterstützte API-Typen definieren.
3. Plugin paketieren, installieren und den Ladezustand am Gateway kontrollieren.
4. Versions- und Kompatibilitätsregeln für mehrere APIM-Stände dokumentieren.

3. Eigene Policy implementieren und testen

Dieses Modul ordnet eigene policy implementieren und testen in die Gravitee-Plattform ein und überführt die fachlichen Anforderungen in einen reproduzierbaren technischen Ablauf. Konfiguration, Sicherheitswirkung, Fehlerverhalten und Betriebsrelevanz werden gemeinsam geprüft.

• Policy-Vertrag, Konfiguration, Eingaben, Ausgaben und Fehlercodes
• Request-, Response-, Message-, Publish- und Subscribe-Verarbeitung
• Asynchronität, Ressourcenverbrauch, Threading und sichere Bibliotheken
• Unit-, Integrations-, Kompatibilitäts- und Negativtests

Schrittweise Umsetzung

1. Anforderung in einen kleinen, testbaren Policy-Vertrag mit klaren Grenzen überführen.
2. Konfiguration und Verarbeitung mit kontrollierter Fehlerbehandlung implementieren.
3. Normalfall, Grenzwerte, ungültige Daten und konkurrierende Requests automatisiert testen.
4. Policy im Gateway integrieren, Telemetrie prüfen und einen reproduzierbaren Release erzeugen.

4. Policies, Flows und Ausführungsphasen

Dieses Modul ordnet policies, flows und ausführungsphasen in die Gravitee-Plattform ein und überführt die fachlichen Anforderungen in einen reproduzierbaren technischen Ablauf. Konfiguration, Sicherheitswirkung, Fehlerverhalten und Betriebsrelevanz werden gemeinsam geprüft.

• Request-, Response-, Publish-, Subscribe- und Message-Phasen
• API-, Plan- und Plattform-Flows sowie Bedingungen und Selektoren
• Transformations-, Routing-, Filter-, Cache-, Quota- und Security-Policies
• Policy-Reihenfolge, Fehlerbehandlung, Ausdruckssprache und Seiteneffekte

Schrittweise Umsetzung

1. Einen Flow mit eindeutiger Zielsetzung und passender Ausführungsphase modellieren.
2. Policies in fachlich nachvollziehbarer Reihenfolge konfigurieren und Bedingungen ergänzen.
3. Normalfall, Grenzwert und Fehlerfall mit reproduzierbaren Requests testen.
4. Auswirkung, Laufzeitkosten und Fehlerverhalten im Betriebsnachweis dokumentieren.

5. Kontextdaten und Gravitee Expression Language

Dieses Modul ordnet kontextdaten und gravitee expression language in die Gravitee-Plattform ein und überführt die fachlichen Anforderungen in einen reproduzierbaren technischen Ablauf. Konfiguration, Sicherheitswirkung, Fehlerverhalten und Betriebsrelevanz werden gemeinsam geprüft.

• Request-, Response-, Application-, Subscription- und API-Kontext
• Header, Pfade, Parameter, Attribute, Claims und Umgebungswerte
• Bedingte Flows, dynamische Werte und wiederverwendbare Ausdrücke
• Sicherer Umgang mit Nullwerten, Typen und sensiblen Daten

Schrittweise Umsetzung

1. Verfügbare Kontextobjekte für einen konkreten Request erfassen.
2. Eine Bedingung für Pfad, Methode, Plan und Claim schrittweise aufbauen.
3. Dynamische Header und Attribute setzen, ohne vertrauliche Werte zu protokollieren.
4. Fehlende Werte, falsche Typen und unerwartete Eingaben kontrolliert behandeln.

6. Security-Architektur und Defense in Depth

Dieses Modul ordnet security-architektur und defense in depth in die Gravitee-Plattform ein und überführt die fachlichen Anforderungen in einen reproduzierbaren technischen Ablauf. Konfiguration, Sicherheitswirkung, Fehlerverhalten und Betriebsrelevanz werden gemeinsam geprüft.

• Bedrohungsmodell für Gateway, Management, Portal, Backends und Konsumenten
• TLS, mTLS, Netzwerksegmentierung, Trust Stores und Zertifikatslebenszyklen
• Least Privilege, Secrets, technische Konten und administrative Trennung
• Schutz gegen Missbrauch, Injection, Datenabfluss und Fehlkonfiguration

Schrittweise Umsetzung

1. Assets, Vertrauensgrenzen, Angriffswege und Schutzmaßnahmen in einem Bedrohungsmodell festhalten.
2. TLS- und mTLS-Beziehungen zwischen Client, Gateway, Management und Backend planen.
3. Secrets und Zertifikate mit Eigentümer, Ablage, Rotation und Ablaufüberwachung erfassen.
4. Ein Hardening-Backlog priorisieren und mit überprüfbaren Kontrollen versehen.

7. Plugin-Betrieb, Release und Wartung

Dieses Modul ordnet plugin-betrieb, release und wartung in die Gravitee-Plattform ein und überführt die fachlichen Anforderungen in einen reproduzierbaren technischen Ablauf. Konfiguration, Sicherheitswirkung, Fehlerverhalten und Betriebsrelevanz werden gemeinsam geprüft.

• Signierung, Freigabe, Artefaktablage und Lieferkette
• Rollout, Kompatibilität, Konfigurationsmigration und Rollback
• Metriken, Logs, Supportfähigkeit und Performance
• Deprecation, Sicherheitsupdates und Verantwortlichkeiten

Schrittweise Umsetzung

1. Releasekriterien, Artefaktnachweise und Freigabeverantwortung festlegen.
2. Plugin in Test und Produktion mit gestuftem Rollout bereitstellen.
3. Fehlverhalten über Metriken und Logs erkennen und einen Rollback ausführen.
4. Wartungsplan für APIM-Upgrades, Bibliotheken, Schwachstellen und Deprecation erstellen.

8. Upgrades, Breaking Changes und Kompatibilität

Dieses Modul ordnet upgrades, breaking changes und kompatibilität in die Gravitee-Plattform ein und überführt die fachlichen Anforderungen in einen reproduzierbaren technischen Ablauf. Konfiguration, Sicherheitswirkung, Fehlerverhalten und Betriebsrelevanz werden gemeinsam geprüft.

• Release Notes, Zwischenversionen, Deprecations und Plugin-Abhängigkeiten
• Datenbank-, Repository-, Gateway- und UI-spezifische Schritte
• Rolling Upgrade, Wartungsfenster und gemischte Versionsstände
• Preflight, Backup, Test, Rückfall und Nachkontrolle

Schrittweise Umsetzung

1. Aktuellen Stand, Zielversion, Zwischenversionen und abhängige Plugins erfassen.
2. Upgrade-Schritte, manuelle Aktionen und Rückfallpunkte in eine Runbook-Struktur überführen.
3. Upgrade in einer repräsentativen Staging-Umgebung mit Regressionstests ausführen.
4. Produktion kontrolliert aktualisieren und technische sowie fachliche Nachkontrollen dokumentieren.

9. Tests, Abnahme und Qualitätsnachweis

Dieses Modul ordnet tests, abnahme und qualitätsnachweis in die Gravitee-Plattform ein und überführt die fachlichen Anforderungen in einen reproduzierbaren technischen Ablauf. Konfiguration, Sicherheitswirkung, Fehlerverhalten und Betriebsrelevanz werden gemeinsam geprüft.

• Smoke-, Contract-, Security-, Last-, Resilienz- und Regressionstests
• Testdaten, Environments, Mocking und reproduzierbare Requests
• Akzeptanzkriterien für API, Gateway, Portal und Betrieb
• Automatisierung, Nachweise und Freigabeentscheidung

Schrittweise Umsetzung

1. Risiken und Anforderungen in eine priorisierte Testmatrix überführen.
2. Reproduzierbare Tests für Zugriff, Policies, Fehler und Backend-Verhalten erstellen.
3. Last- und Ausfalltests mit klaren Grenzwerten und Messpunkten ausführen.
4. Befunde, Restrestrisiken und Freigabeentscheidung nachvollziehbar dokumentieren.

10. Durchgängiges Praxisprojekt und Betriebsübergabe

Dieses Modul ordnet durchgängiges praxisprojekt und betriebsübergabe in die Gravitee-Plattform ein und überführt die fachlichen Anforderungen in einen reproduzierbaren technischen Ablauf. Konfiguration, Sicherheitswirkung, Fehlerverhalten und Betriebsrelevanz werden gemeinsam geprüft.

• API-Produkt von Design über Security und Policies bis Veröffentlichung
• Automatisierte Bereitstellung und kontrollierte Promotion
• Analytics, Alerting, Diagnose und Wiederanlauf
• Dokumentation, Rollen, Abnahme und Übergabe

Schrittweise Umsetzung

1. Ein realistisches API-Produkt mit Zielgruppe, Spezifikation und Schutzbedarf planen.
2. API, Plan, Policies, Portalinhalt und Consumerzugriff implementieren.
3. Deployment, Monitoring, Alerting und ein definiertes Fehlerbild praktisch durchführen.
4. Abnahmeunterlagen, Betriebscheckliste und Verantwortungsübergabe fertigstellen.

Praxisprojekt

Die Übungen werden in einem zusammenhängenden Szenario durchgeführt. Das Szenario beginnt mit Anforderungen und Verantwortlichkeiten und endet mit einer technisch sowie organisatorisch prüfbaren Übergabe.

1. Ausgangslage, Zielgruppe, Schutzbedarf, Lastprofil und Akzeptanzkriterien erfassen.
2. Gravitee-Struktur, API- oder Plattformobjekte und benötigte Rollen modellieren.
3. Konfiguration in kleinen, nachvollziehbaren Änderungen umsetzen und versionieren.
4. Normalfall, Grenzwert, Sicherheitsfehler und technischen Ausfall reproduzierbar testen.
5. Metriken, Logs, Auditdaten und fachliche Prüfpunkte zur Bewertung heranziehen.
6. Betriebs-, Support- und Änderungsverfahren mit Zuständigkeiten und Rückfalloptionen dokumentieren.

Weiterführende Vertiefung

• Policies, Flows und Gateway-Logik
• Migration, Upgrades und V2-zu-V4-Modernisierung