Resolució de problemes d'autorització a Airflow amb la integració d'Azure Entra ID

Resolució d'errors d'autorització d'OAuth al flux d'aire amb diversos enfocaments de scripting

Primera solució: Script de Python Backend per a l'autorització OAuth

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Enfocament de backend alternatiu: configuració del flux d'aire mitjançant JWKS i OpenID per a la validació segura del testimoni

Una altra solució de backend centrada en la configuració OpenID Connect i JSON Web Key Set a Airflow

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Script d'interfície: JavaScript per a la gestió d'autoritzacions OAuth

Un enfocament de JavaScript per gestionar les redireccions i els errors d'OAuth a la interfície

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Preguntes essencials sobre la integració d'Azure Entra ID amb Airflow

1. Quina és la finalitat del AUTH_ROLES_MAPPING paràmetre a Airflow?
2. El AUTH_ROLES_MAPPING El paràmetre connecta els rols d'Azure amb els rols d'Airflow, permetent assignacions automatitzades de rols basades en les pertinences a grups a Azure. Això simplifica el control d'accés assignant els permisos adequats als usuaris que inicien sessió mitjançant Azure Entra ID.
3. Com funciona el jwks_uri treballeu a la configuració d'OAuth?
4. El jwks_uri defineix l'URI on es poden recuperar les claus públiques d'Azure per a la verificació del testimoni JWT. Aquest pas és crucial per validar l'autenticitat dels testimonis, evitant l'accés no autoritzat.
5. Per què s'estableix el redirect_uri important als proveïdors d'OAuth?
6. El redirect_uri indica a Azure on enviar els usuaris després de l'autenticació correcta. Sovint s'estableix al punt final d'Airflow que gestiona les respostes d'OAuth, cosa que permet una integració fluida entre Azure i Airflow.
7. Es poden assignar diversos rols a un únic grup d'identificació d'Azure Entra?
8. Sí, es poden assignar diversos rols a un únic grup d'Azure, la qual cosa permet flexibilitat en l'assignació de permisos. Per exemple, tant els rols "Administrador" com "Visor" es poden associar amb un grup per a permisos superposats.
9. Quina és la millor manera de solucionar els errors del "Conjunt de claus web JSON no vàlides"?
10. Assegureu-vos el jwks_uri està correctament configurat i accessible. Sovint es produeixen errors si el punt final no és accessible o si les claus d'identificació d'Azure Entra s'emmagatzemen incorrectament a la memòria cau a Airflow.
11. Com funciona el client_kwargs l'abast millorar la seguretat?
12. El client_kwargs L'abast limita les dades a les quals pot accedir Airflow des d'un perfil d'usuari, imposant l'accés restringit a la informació sensible, que és clau per al compliment de la configuració corporativa.
13. Fa l'habilitació WTF_CSRF_ENABLED millorar la seguretat?
14. Sí, WTF_CSRF_ENABLED proporciona protecció contra la falsificació de sol·licituds entre llocs per a Airflow, evitant les sol·licituds no autoritzades. Aquesta marca és molt recomanable en entorns de producció per a més seguretat.
15. Com puc gestionar una sol·licitud d'inici de sessió denegada?
16. Reviseu els rols d'usuari a Azure per confirmar que estan assignats correctament. A més, verificar authorize_url i els mapes de grups són correctes, ja que aquests paràmetres afecten l'èxit de l'autenticació.
17. Puc utilitzar un proveïdor d'OAuth diferent de l'Azure?
18. Sí, Airflow admet altres proveïdors d'OAuth com Google o Okta ajustant els paràmetres específics del proveïdor a OAUTH_PROVIDERS. Cada proveïdor pot tenir URL únics i requisits de configuració.

Consideracions finals sobre la seguretat del flux d'aire amb Azure Entra ID

La integració d'Azure Entra ID amb Airflow pot agilitzar l'autenticació entre organitzacions. Configurant acuradament els paràmetres d'OAuth com el jwks_uri i els URL de testimoni d'accés, esteu establint connexions segures que minimitzen el risc d'accés no autoritzat. Aquest nivell de seguretat és essencial per a qualsevol organització basada en dades.

Els mapes de rols a Azure permeten una estratègia d'accés escalable i basada en rols a Airflow. Amb aquests mapes, la gestió dels usuaris i l'assignació de permisos esdevé més eficient, sobretot en equips més grans. Una comprensió clara d'aquestes configuracions pot fer que la configuració d'autorització sigui més resistent a les necessitats de seguretat futures. 🔒