Løsning af autorisationsproblemer i Airflow med Azure Entra ID-integration

Løsning af OAuth-autorisationsfejl i luftstrøm med flere scriptmetoder

Første løsning - Python Backend Script til OAuth-autorisation

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Alternativ backend-tilgang - Airflow-konfiguration ved hjælp af JWKS og OpenID til sikker token-validering

Endnu en backend-løsning med fokus på OpenID Connect og JSON Web Key Set-konfiguration i Airflow

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Frontend Script - JavaScript til OAuth-autorisationshåndtering

En JavaScript-tilgang til håndtering af OAuth-omdirigeringer og fejl på frontend

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Væsentlige spørgsmål om integration af Azure Entra ID med Airflow

1. Hvad er formålet med AUTH_ROLES_MAPPING parameter i Airflow?
2. De AUTH_ROLES_MAPPING parameter forbinder Azure-roller til Airflow-roller, hvilket muliggør automatiserede rolletildelinger baseret på gruppemedlemskaber i Azure. Dette forenkler adgangskontrol ved at tildele passende tilladelser til brugere, der logger på via Azure Entra ID.
3. Hvordan virker jwks_uri arbejde i OAuth-opsætningen?
4. De jwks_uri definerer den URI, hvor Azures offentlige nøgler kan hentes til JWT-tokenbekræftelse. Dette trin er afgørende for at validere tokens ægthed, hvilket forhindrer uautoriseret adgang.
5. Hvorfor indstilles redirect_uri i OAuth-udbydere vigtigt?
6. De redirect_uri fortæller Azure, hvor brugerne skal sendes efter vellykket godkendelse. Dette er ofte indstillet til Airflow-slutpunktet, der håndterer OAuth-svar, hvilket muliggør jævn integration mellem Azure og Airflow.
7. Kan flere roller tildeles til en enkelt Azure Entra ID-gruppe?
8. Ja, flere roller kan tilknyttes en enkelt Azure-gruppe, hvilket giver mulighed for fleksibilitet ved tildeling af tilladelser. For eksempel kan både "Admin"- og "Seer"-roller være knyttet til en gruppe for overlappende tilladelser.
9. Hvad er den bedste måde at fejlfinde "Ugyldig JSON Web Key Set"-fejl på?
10. Sørg for jwks_uri er korrekt konfigureret og tilgængelig. Der opstår ofte fejl, hvis slutpunktet ikke er tilgængeligt, eller hvis Azure Entra ID-nøgler er forkert cachelagret i Airflow.
11. Hvordan virker client_kwargs omfang øge sikkerheden?
12. De client_kwargs omfanget begrænser de data, Airflow kan få adgang til fra en brugerprofil, og håndhæver begrænset adgang til følsomme oplysninger, hvilket er nøglen til overholdelse i virksomhedsindstillinger.
13. Aktiverer WTF_CSRF_ENABLED forbedre sikkerheden?
14. Ja, WTF_CSRF_ENABLED giver Cross-Site Request Forgery-beskyttelse til Airflow, hvilket forhindrer uautoriserede anmodninger. Dette flag anbefales stærkt i produktionsmiljøer for øget sikkerhed.
15. Hvordan kan jeg håndtere en afvist login-anmodning?
16. Gennemgå brugerroller i Azure for at bekræfte, at de er korrekt tildelt. Bekræft desuden authorize_url og gruppetilknytning er korrekte, da disse indstillinger påvirker godkendelsessuccesen.
17. Kan jeg bruge en anden OAuth-udbyder end Azure?
18. Ja, Airflow understøtter andre OAuth-udbydere som Google eller Okta ved at justere de udbyderspecifikke parametre i OAUTH_PROVIDERS. Hver udbyder kan have unikke URL'er og konfigurationskrav.

Sidste tanker om sikring af luftstrøm med Azure Entra ID

Integrering af Azure Entra ID med Airflow kan strømline godkendelse på tværs af organisationer. Ved omhyggeligt at konfigurere OAuth-parametre som f.eks jwks_uri og få adgang til token-URL'er, etablerer du sikre forbindelser, der minimerer risikoen for uautoriseret adgang. Dette sikkerhedsniveau er afgørende for enhver datadrevet organisation.

Rolletilknytninger i Azure giver mulighed for en skalerbar, rollebaseret adgangsstrategi i Airflow. Med disse kortlægninger bliver administration af brugere og tildeling af tilladelser mere effektiv, især i større teams. En klar forståelse af disse konfigurationer kan gøre din autorisationsopsætning mere modstandsdygtig over for fremtidige sikkerhedsbehov. 🔒