イタリア行政府にとっての Apigee と相互運用モデル（Modl）

※この投稿は米国時間 2024 年 8 月 10 日に、Google Cloud blog に投稿されたものの抄訳です。

イタリア行政府とその顧客、サプライヤー、システム インテグレータは、Apigee API Management によって、Agency for Digital Italy（AgID）が設計した新しい相互運用モデルへの完全なコンプライアンスを実現しています（参照元: 新しい相互運用モデル - ModI）。

Modl プラットフォームを実現する Apigee

Modl の重要な側面として、API を最優先にしたアプローチの適用を促すことが挙げられます。これにより、すべての関係者やサービスのアクセシビリティと相互運用性が最大化されます。

Apigee は、Modl に準拠したインタラクションの基盤として機能します。

行政府や他の機関が、さまざまな Apigee 機能を使って、Modl 認証を必要とする取り組みやプログラムでどのようにコンプライアンスを実現しているかを以下で説明します。

ハイブリッド クラウドとマルチクラウドのデプロイ行政組織にはそれぞれに独自の IT 環境があります。オンプレミスでデジタル サービスをホストしている組織もあれば、パブリック クラウド プロバイダでホストすることを好む組織もあるでしょう。1 つ以上のクラウド ハイパースケーラーに移行するデジタル革命の最中だという組織もあれば、統合プログラムに取り組んでいる組織もあるかもしれません。したがって、さまざまな種類のデプロイモデルをサポートできる API 管理プラットフォームを選ぶことが重要です。

Apigee によってアーキテクチャの自由度が向上するため、行政機関は独自のデータセンターや任意のパブリック クラウドなど、あらゆる場所に API をデプロイできます。たとえば、独自の Kubernetes クラスタ内のコンテナ化されたランタイム サービスで Apigee をホストし管理することも、Google に管理をまかせて Google Cloud 上で Apigee を使用することもできます。

Apigee でサポートされているデプロイ プラットフォームと運用モデルの詳細をご覧ください。

トラフィック管理とコントロール ポリシーModI ガイドラインには、行政機関のインタラクションとデジタル サービスの利用がどのように行われるべきかが記されています。

Apigee は API プロキシのポリシーを使って、コードを記述せずに API の動作をプログラムしています。そうすることで、組織はセキュリティ コントロール、レート制限、変換、メディエーションなどの一般的な機能を追加することが可能となります。行政府は、50 を超える堅牢な一連のポリシー（以下の画像）から必要なものを選択して、各 API の動作、トラフィック、セキュリティ、サービス品質（QoS）といったプロパティを操作、管理できます。さらに Apigee は、JavaScript アプリケーションなどのカスタム スクリプトとコードをサポートしており、API 機能を拡張できます。

モニタリングとロギングモニタリングとロギングも、API のデザインと開発において重要な役割を果たします。これを踏まえると、行政機関は、利用するデジタルサービスにこのような機能を提供できる API 管理プラットフォームを選択することが重要です。

Apigee なら、行政機関は組み込み型のカスタム API 分析ダッシュボードを利用して、API トラフィックから得られた重要な情報を分析することにより、利用急増の調査、パフォーマンスの改善、改善機会の特定を行うことができます。さらに、Apigee は API プロキシフローをデバッグし、コンソールまたは分散トレース ソリューション内で、API トランザクションの詳細をすべて調査できるようにします。行政機関は、API パフォーマンスやレイテンシをモニタリングしたり、異常なトラフィック パターンを特定したり、予測できない動作に関する通知を受け取ったりすることで、問題領域を素早く特定することができます。

ML ベースの不正行為の検出による API セキュリティの自動化政府と行政は、以前にも増してサイバーセキュリティ攻撃の対象になっています。API セキュリティのリスクを最小化、もしくは排除するために、政府機関や行政機関はすべての必要な予防策を行うべきです。

Apigee は Advanced API Security という、構成ミス、悪意のある bot 攻撃、重大な不正行為から API を保護するアドオン機能を提供しています。Advanced API Security は、マネージド API を定期的に評価して、Modl のセキュリティ基準を満たしていない API プロキシを明らかにし、問題が検出された場合は推奨される対応方法を提示します。ML を活用したダッシュボードは、多数の bot アラート内のパターンを検出して重要なインシデントに素早く反応することで、重大な API の不正使用を正確に特定します。

Apigee によって行政機関は、Modl に沿ったプロファイルを簡単に定義し、デジタル サービスのガイドライン準拠状況を評価するために使用できます。

次に、行政機関が Modl コンプライアンスへの取り組みのために Apigee をどのように活用できるかについて、詳細を見ていきましょう。

Apigee 内で Modl のガイドラインとパターンを適用する方法

これまでご覧いただいたように、Modl ガイドラインには、API を通してデジタル サービスを公開、使用する際に行政機関が準拠しなければならない一連の要件が集約されています。

これらの推奨事項は、ニーズの特定、組織、セマンティクス、手法、セキュリティ、National Digital Data Platform （PDND） の相互運用性を確保するプロセスなどの要素に対処します。さらに、ガイドラインの規制機関によって要件の適用レベルも定義されており、義務か任意かが示されています。 

すべての要件が API 管理に関連しているわけではありませんが、Apigee を活用することで、行政機関は特定のガイドラインに準拠できます。Apigee は特に、手法とセキュリティに関する Modl 要件を満たすために組み合わせて使用できる、すべての構成要素を提供します。

たとえば、Apigee によって行政機関は、REST と SOAP 両方のプロトコルでデジタル サービスを公開できます。サービスの公開に加えて、Apigee を使うと、他の機関によって公開されたダウンストリームのデジタル サービスを起動することもできます（REST と SOAP の両方で可能）。

ペイロードの検証は、Apigee が提供するすぐに使用できるポリシーによって実現されます。たとえば、OpenAPI Specification Validation ポリシーや SOAP Message Validation ポリシーなどがあります。

さらに行政機関は、Modl で推奨されているように、これらのインタラクションのためのトランスポート プロトコルとして TLS や mTLS を設定できます。

ModI 要件に基づいてアプリケーション レベルのセキュリティに対処できるよう、Apigee は次のすぐに使えるポリシーを提供しています。

さらに Apigee は、デジタル サービスへのアクセスに使用されるクーポンを精査したり、クーポンに含まれる情報に基づいて正しいアクションを適用したりするための、すぐに使えるポリシーを提供しています。

すでにお伝えしたように、Apigee を使用すれば、他の行政機関によって公開されたデジタル サービスを起動したり、必要に応じて 1 つ以上のダウンストリーム デジタル サービスをオーケストレートしたりすることもできます。こういった場合には、以下のようなすぐに使えるポリシーも役立ちます。

Modl ガイドラインに準拠した形でデジタル サービスを公開して使用するためには、すぐに使えるポリシーを「組み合わせる」必要があります。これを実現するために、行政機関は、さまざまな Modl 要件に対処するための事前構成された一連のポリシーフローを作成できます。

事前構成済みのフローは Apigee 内の共有フローに組み込むことができ、デベロッパーはこれらをデジタル サービスの公開時や使用時に再利用できます。共有フローは、API プロキシや他の共有フローから FlowCallout ポリシーを使って呼び出されます。

共有フローを構成して全員が使用できるようにするために、行政機関には中心となるチームが必要です。

Apigee で対象の共有フローが使用可能になると、特定のデジタル サービスを公開、起動するために定義されたロジックに含めることができるようになります。

ModI のためのアクセンチュア アクセラレータ

Apigee にはアクセンチュアのような、これらの特定の Modl コンプライアンス フローにすでに取り組んでいるパートナーがいます。

アクセンチュアはソリューションの重要性を認識しており、独自のイノベーション センター内、具体的にはローマのアクセンチュア クラウド イノベーション センター（ACIC）にて、Modl のすべての要件とガイドラインをカバーするために、Modl コンプライアンス フローを開発しています。クラウド イノベーション センターでは、特に顧客独自のビジネスニーズに対処するためにカスタマイズされたクラウド ソリューションに重点を置いています。

戦略的な立場として ACIC は、クラウド主導のビジネス変革のための業界知識、アジリティ、技術的専門知識を提供するだけでなく、公的機関に固有の規制要件の厳密な遵守を保証する、ソブリン クラウドに特化したセンター オブ エクセレンスとしての機能も果たします。これにより、政府の規制を遵守しながら顧客ニーズに対応し、Apigee 技術に対する理解と専門性を高めるための理想的な環境が生まれます。

次のセクションでは、Apigee を活用して ModI コンプライアンス フローを実現するためのアクセンチュアの取り組みについて、さらに詳しく掘り下げていきます。

アクセンチュアのアクセラレータは、顧客が ModI に準拠した Apigee 環境を構築できるよう、すぐに使えるソリューションを提供することを目的としています。

アクセラレータは以下のプロセスに従っています。

• 公的書類の分析

• Modl 要件の収集

• Modl 要件のカテゴライズ

分析の結果、API 管理レベルでの影響がある、ModI へのコンプライアンスに必要な一連の要件が導き出され、以下のように分類されました。

• ネイティブにサポート: Apigee のすぐに使える機能によってネイティブに要件が満たされます。

• カスタム: 再利用可能な共有フローの開発によって要件が満たされます。  

• プロシージャル: それぞれのサービスの開発時に要件が適用される必要があり、API デベロッパーが担当します。「デベロッパー ハンドブック」内に集約されます。

カテゴリ別の要件の内訳は以下の通りです。

アクセンチュアのアクセラレータは、興味を持った顧客が簡単に採用できるよう、Google Marketplace を通じて提供される予定です。対象の Apigee 組織に簡単に統合できる、すぐに使えるパッケージとして公開されます。この時点で、顧客は各 API プロキシに対して適用する ModI 要件を選択し、関連付けられた共有フローを選ぶことができます。

Google Cloud コンソールで Apigee を使用して ModI 要件を適用する方法の例は以下の通りです。GitOps モードにも同じ方法を利用できます。  

1. API プロキシを作成する

2. API 情報を入力する

3. API プロキシをデプロイする

4. API プロキシを編集する

5. Modl 要件を適用するために共有フローを選択する

6. API プロキシをアップデートする

まとめ

Apigee API Management と Google Cloud パートナーは、イタリア行政府のデジタル化に役立つ機能を提供できます。イタリア政府が行政府のあらゆるレベルで行っている大規模な投資と公開入札のおかげで、この機会の迅速な活用が可能となり、国民や企業は、イタリアおよび欧州連合全体で物資、人、サービス、データの移動を円滑に行えるようになるはずです。

詳細情報は Apigee 担当者にお問い合わせください。

ー セールス エンジニア Filippo Lambiente

ー アクセンチュア