Řešení problémů s autorizací v Airflow pomocí Azure Entra ID Integration

Řešení chyb autorizace OAuth v proudění vzduchu pomocí vícenásobných skriptovacích přístupů

První řešení - Python Backend Script pro autorizaci OAuth

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Alternativní backendový přístup – konfigurace proudění vzduchu pomocí JWKS a OpenID pro bezpečné ověření tokenu

Další backendové řešení se zaměřením na OpenID Connect a konfiguraci JSON Web Key Set v Airflow

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Frontend Script – JavaScript pro zpracování autorizace OAuth

Přístup pomocí JavaScriptu pro zpracování přesměrování OAuth a chyb na frontendu

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Základní otázky o integraci Azure Entra ID s Airflow

1. Jaký je účel AUTH_ROLES_MAPPING parametr v Průtok vzduchu?
2. The AUTH_ROLES_MAPPING Parametr propojuje role Azure s rolemi Airflow a umožňuje automatické přidělování rolí na základě členství ve skupinách v Azure. To zjednodušuje řízení přístupu přiřazením příslušných oprávnění uživatelům, kteří se přihlašují prostřednictvím Azure Entra ID.
3. Jak se jwks_uri pracovat v nastavení OAuth?
4. The jwks_uri definuje URI, kde lze načíst veřejné klíče Azure pro ověření tokenu JWT. Tento krok je zásadní pro ověření pravosti tokenů, čímž se zabrání neoprávněnému přístupu.
5. Proč se nastavuje redirect_uri v OAuth poskytovatelé důležité?
6. The redirect_uri řekne Azure, kam má poslat uživatele po úspěšném ověření. Toto je často nastaveno na koncový bod Airflow zpracovávající odpovědi OAuth, což umožňuje hladkou integraci mezi Azure a Airflow.
7. Lze k jedné skupině Azure Entra ID přiřadit více rolí?
8. Ano, na jednu skupinu Azure lze namapovat více rolí, což umožňuje flexibilitu při přidělování oprávnění. Například role „Správce“ i „Prohlížeč“ mohou být spojeny se skupinou pro překrývající se oprávnění.
9. Jaký je nejlepší způsob odstraňování chyb „Neplatná sada webových klíčů JSON“?
10. Zajistěte jwks_uri je správně nakonfigurován a přístupný. K chybám často dochází, pokud je koncový bod nedostupný nebo pokud jsou klíče Azure Entra ID nesprávně uloženy v mezipaměti v Airflow.
11. Jak se client_kwargs rozsah zvýšit bezpečnost?
12. The client_kwargs rozsah omezuje data, ke kterým má Airflow přístup z uživatelského profilu, a vynucuje si omezený přístup k citlivým informacím, což je klíčové pro dodržování předpisů v podnikovém nastavení.
13. Umožňuje aktivaci WTF_CSRF_ENABLED zlepšit bezpečnost?
14. Ano, WTF_CSRF_ENABLED poskytuje ochranu proti padělání požadavků mezi stránkami pro proudění vzduchu a zabraňuje neoprávněným požadavkům. Tento příznak je vysoce doporučen v produkčním prostředí pro větší zabezpečení.
15. Jak mohu zpracovat zamítnutý požadavek na přihlášení?
16. Zkontrolujte uživatelské role v Azure a ověřte, že jsou správně přiřazeny. Navíc ověřte authorize_url a mapování skupin jsou správné, protože tato nastavení ovlivňují úspěšnost ověření.
17. Mohu použít jiného poskytovatele OAuth než Azure?
18. Ano, Airflow podporuje další poskytovatele OAuth, jako je Google nebo Okta, úpravou parametrů specifických pro poskytovatele OAUTH_PROVIDERS. Každý poskytovatel může mít jedinečné adresy URL a požadavky na konfiguraci.

Závěrečné myšlenky na zabezpečení proudění vzduchu pomocí Azure Entra ID

Integrace Azure Entra ID s Airflow může zjednodušit ověřování napříč organizacemi. Pečlivým nastavením parametrů OAuth, jako je např jwks_uri a přístupové adresy URL tokenů, vytváříte zabezpečená připojení, která minimalizují riziko neoprávněného přístupu. Tato úroveň zabezpečení je nezbytná pro jakoukoli organizaci založenou na datech.

Mapování rolí v Azure umožňuje škálovatelnou strategii přístupu založenou na rolích v Airflow. S těmito mapováními je správa uživatelů a přidělování oprávnění efektivnější, zejména ve větších týmech. Jasné pochopení těchto konfigurací může učinit vaše nastavení autorizace odolnější vůči budoucím potřebám zabezpečení. 🔒