OpenCTI平台中OpenBAS API与前端链接分离配置的技术方案

背景介绍

在企业安全架构中，OpenCTI平台与OpenBAS系统的集成是一个常见需求。然而，在采用零信任代理（如Google Cloud的Identity-Aware Proxy）的安全部署场景下，系统间通信面临特殊挑战。

问题分析

当OpenCTI和OpenBAS部署在零信任代理后方时，系统间API调用与用户访问需要不同的URL配置：

1. API通信：需要直接使用内部服务名称或私有IP地址绕过代理认证
2. 用户访问：需要通过代理提供的公开URL

当前OpenCTI配置中，xtm.openbas_url参数同时用于API通信和前端链接生成，无法满足这种分离需求。

技术解决方案

最新版本中引入了xtm.openbas_api_url配置项，实现了：

• 完全覆盖原有的${XTM_OPENBAS_URL}/apiAPI端点
• 保持原有前端链接生成逻辑不变
• 向后兼容现有配置

典型配置示例：

{
    "xtm": {
        "openbas_url": "https://openbas.example.com",
        "openbas_api_url": "https://openbas-server.default.svc.cluster.local/api"
    }
}

实现原理

该方案通过以下方式工作：

1. API客户端优先使用openbas_api_url配置
2. 用户界面链接继续使用openbas_url生成
3. 未配置openbas_api_url时回退到原有行为

应用价值

这一改进使得企业能够：

1. 在保持严格安全策略的同时实现系统集成
2. 无需修改应用代码即可适应不同网络环境
3. 为终端用户提供一致的访问体验

最佳实践建议

对于类似架构的企业，建议：

1. 明确区分内部通信和外部访问的端点
2. 在Kubernetes环境中使用完整的服务DNS名称
3. 定期检查配置以确保安全策略的有效性

该功能已由社区贡献者实现并合并到主分支，体现了OpenCTI平台对多样化部署场景的良好支持。