حل مشكلات الترخيص في تدفق الهواء باستخدام تكامل Azure Entra ID

حل أخطاء تفويض OAuth في تدفق الهواء باستخدام أساليب البرمجة النصية المتعددة

الحل الأول - البرنامج النصي Python Backend لترخيص OAuth

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

النهج الخلفي البديل - تكوين تدفق الهواء باستخدام JWKS وOpenID للتحقق من صحة الرمز المميز

حل خلفي آخر مع التركيز على تكوين OpenID Connect وJSON Web Key Set في Airflow

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Frontend Script - JavaScript للتعامل مع تفويض OAuth

أسلوب JavaScript للتعامل مع عمليات إعادة توجيه OAuth والأخطاء على الواجهة الأمامية

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

أسئلة أساسية حول دمج Azure Entra ID مع Airflow

1. ما هو الغرض من AUTH_ROLES_MAPPING المعلمة في تدفق الهواء؟
2. ال AUTH_ROLES_MAPPING تربط المعلمة أدوار Azure بأدوار Airflow، مما يتيح تعيينات الأدوار التلقائية بناءً على عضويات المجموعة في Azure. يعمل هذا على تبسيط التحكم في الوصول عن طريق تعيين الأذونات المناسبة للمستخدمين الذين يقومون بتسجيل الدخول عبر معرف Azure Entra.
3. كيف jwks_uri العمل في إعداد OAuth؟
4. ال jwks_uri يحدد URI حيث يمكن استرداد مفاتيح Azure العامة للتحقق من رمز JWT. تعتبر هذه الخطوة ضرورية للتحقق من صحة الرموز المميزة، ومنع الوصول غير المصرح به.
5. لماذا يتم تعيين redirect_uri في مقدمي OAuth المهم؟
6. ال redirect_uri يخبر Azure بالمكان الذي سيتم إرسال المستخدمين إليه بعد المصادقة الناجحة. يتم تعيين هذا غالبًا على نقطة نهاية Airflow التي تتعامل مع استجابات OAuth، مما يسمح بالتكامل السلس بين Azure وAirflow.
7. هل يمكن تعيين أدوار متعددة لمجموعة Azure Entra ID واحدة؟
8. نعم، يمكن تعيين أدوار متعددة لمجموعة Azure واحدة، مما يتيح المرونة في تعيين الأذونات. على سبيل المثال، يمكن ربط كل من أدوار "المسؤول" و"العارض" بمجموعة من أجل الأذونات المتداخلة.
9. ما هي أفضل طريقة لاستكشاف أخطاء "مجموعة مفاتيح ويب JSON غير الصالحة" وإصلاحها؟
10. تأكد من jwks_uri تم تكوينه بشكل صحيح ويمكن الوصول إليه. تحدث الأخطاء غالبًا إذا تعذر الوصول إلى نقطة النهاية أو إذا تم تخزين مفاتيح Azure Entra ID مؤقتًا بشكل غير صحيح في Airflow.
11. كيف client_kwargs نطاق تعزيز الأمن؟
12. ال client_kwargs يحد النطاق من البيانات التي يمكن لـ Airflow الوصول إليها من ملف تعريف المستخدم، مما يفرض تقييد الوصول إلى المعلومات الحساسة، وهو أمر أساسي للامتثال في إعدادات الشركة.
13. هل تمكين WTF_CSRF_ENABLED تحسين الأمن؟
14. نعم، WTF_CSRF_ENABLED يوفر الحماية من تزوير الطلب عبر المواقع لتدفق الهواء، مما يمنع الطلبات غير المصرح بها. يوصى بشدة بهذه العلامة في بيئات الإنتاج لمزيد من الأمان.
15. كيف يمكنني التعامل مع طلب تسجيل الدخول المرفوض؟
16. قم بمراجعة أدوار المستخدم في Azure للتأكد من تعيينها بشكل صحيح. بالإضافة إلى ذلك، تحقق authorize_url وتعيين المجموعة صحيح، حيث تؤثر هذه الإعدادات على نجاح المصادقة.
17. هل يمكنني استخدام موفر OAuth مختلف عن Azure؟
18. نعم، يدعم Airflow موفري OAuth الآخرين مثل Google أو Okta عن طريق ضبط المعلمات الخاصة بالموفر OAUTH_PROVIDERS. قد يكون لدى كل مزود عناوين URL فريدة ومتطلبات تكوين.

الأفكار النهائية حول تأمين تدفق الهواء باستخدام Azure Entra ID

يمكن أن يؤدي دمج Azure Entra ID مع Airflow إلى تبسيط المصادقة عبر المؤسسات. من خلال تكوين معلمات OAuth بعناية مثل ملف jwks_uri والوصول إلى عناوين URL المميزة، فإنك تقوم بإنشاء اتصالات آمنة تقلل من مخاطر الوصول غير المصرح به. يعد هذا المستوى من الأمان ضروريًا لأي مؤسسة تعتمد على البيانات.

تسمح تعيينات الأدوار في Azure بإستراتيجية وصول قابلة للتطوير وقائمة على الأدوار في Airflow. باستخدام هذه التعيينات، تصبح إدارة المستخدمين وتعيين الأذونات أكثر كفاءة، خاصة في الفرق الكبيرة. إن الفهم الواضح لهذه التكوينات يمكن أن يجعل إعداد الترخيص الخاص بك أكثر مرونة لاحتياجات الأمان المستقبلية. 🔒