Beheben von Autorisierungsproblemen in Airflow mit Azure Entra ID-Integration

Beheben von OAuth-Autorisierungsfehlern in Airflow mit mehreren Skriptansätzen

Erste Lösung – Python-Backend-Skript für die OAuth-Autorisierung

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Alternativer Backend-Ansatz – Airflow-Konfiguration mit JWKS und OpenID für sichere Token-Validierung

Eine weitere Backend-Lösung mit Schwerpunkt auf der Konfiguration von OpenID Connect und JSON Web Key Set in Airflow

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Frontend-Skript – JavaScript für die OAuth-Autorisierungsverarbeitung

Ein JavaScript-Ansatz zur Behandlung von OAuth-Weiterleitungen und -Fehlern im Frontend

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Grundlegende Fragen zur Integration von Azure Entra ID mit Airflow

1. Was ist der Zweck des AUTH_ROLES_MAPPING Parameter im Luftstrom?
2. Der AUTH_ROLES_MAPPING Der Parameter verbindet Azure-Rollen mit Airflow-Rollen und ermöglicht so automatisierte Rollenzuweisungen basierend auf Gruppenmitgliedschaften in Azure. Dies vereinfacht die Zugriffskontrolle, indem Benutzern, die sich über Azure Entra ID anmelden, entsprechende Berechtigungen zugewiesen werden.
3. Wie funktioniert die jwks_uri Funktioniert das OAuth-Setup?
4. Der jwks_uri Definiert den URI, unter dem die öffentlichen Schlüssel von Azure für die JWT-Token-Überprüfung abgerufen werden können. Dieser Schritt ist entscheidend für die Validierung der Authentizität von Token und verhindert unbefugten Zugriff.
5. Warum wird das eingestellt? redirect_uri bei OAuth-Anbietern wichtig?
6. Der redirect_uri teilt Azure mit, wohin Benutzer nach erfolgreicher Authentifizierung weitergeleitet werden sollen. Dies ist häufig so eingestellt, dass der Airflow-Endpunkt OAuth-Antworten verarbeitet, was eine reibungslose Integration zwischen Azure und Airflow ermöglicht.
7. Können einer einzelnen Azure Entra ID-Gruppe mehrere Rollen zugewiesen werden?
8. Ja, einer einzelnen Azure-Gruppe können mehrere Rollen zugeordnet werden, was eine flexible Zuweisung von Berechtigungen ermöglicht. Beispielsweise können einer Gruppe sowohl die Rollen „Administrator“ als auch „Betrachter“ zugeordnet werden, um überlappende Berechtigungen zu erhalten.
9. Wie lässt sich der Fehler „Ungültiger JSON-Webschlüsselsatz“ am besten beheben?
10. Stellen Sie sicher, dass jwks_uri korrekt konfiguriert und zugänglich ist. Fehler treten häufig auf, wenn der Endpunkt nicht erreichbar ist oder Azure Entra-ID-Schlüssel falsch in Airflow zwischengespeichert werden.
11. Wie funktioniert die client_kwargs Umfang die Sicherheit erhöhen?
12. Der client_kwargs Der Geltungsbereich begrenzt die Daten, auf die Airflow über ein Benutzerprofil zugreifen kann, und erzwingt so einen eingeschränkten Zugriff auf vertrauliche Informationen, was für die Compliance in Unternehmensumgebungen von entscheidender Bedeutung ist.
13. Aktiviert WTF_CSRF_ENABLED Sicherheit verbessern?
14. Ja, WTF_CSRF_ENABLED Bietet Cross-Site Request Forgery-Schutz für Airflow und verhindert so unbefugte Anfragen. Dieses Flag wird in Produktionsumgebungen für zusätzliche Sicherheit dringend empfohlen.
15. Wie kann ich mit einer abgelehnten Anmeldeanfrage umgehen?
16. Überprüfen Sie die Benutzerrollen in Azure, um sicherzustellen, dass sie richtig zugewiesen sind. Überprüfen Sie außerdem authorize_url und Gruppenzuordnung sind korrekt, da diese Einstellungen Auswirkungen auf den Authentifizierungserfolg haben.
17. Kann ich einen anderen OAuth-Anbieter als Azure verwenden?
18. Ja, Airflow unterstützt andere OAuth-Anbieter wie Google oder Okta durch Anpassen der anbieterspezifischen Parameter in OAUTH_PROVIDERS. Jeder Anbieter kann einzigartige URLs und Konfigurationsanforderungen haben.

Abschließende Gedanken zur Sicherung des Luftstroms mit Azure Entra ID

Durch die Integration von Azure Entra ID mit Airflow kann die Authentifizierung organisationsübergreifend optimiert werden. Durch sorgfältige Konfiguration von OAuth-Parametern wie dem jwks_uri und Zugriffstoken-URLs stellen Sie sichere Verbindungen her, die das Risiko eines unbefugten Zugriffs minimieren. Dieses Maß an Sicherheit ist für jedes datengesteuerte Unternehmen von entscheidender Bedeutung.

Rollenzuordnungen in Azure ermöglichen eine skalierbare, rollenbasierte Zugriffsstrategie in Airflow. Mit diesen Zuordnungen wird die Verwaltung von Benutzern und die Zuweisung von Berechtigungen effizienter, insbesondere in größeren Teams. Ein klares Verständnis dieser Konfigurationen kann Ihre Autorisierungseinrichtung widerstandsfähiger gegenüber zukünftigen Sicherheitsanforderungen machen. 🔒