Resolución de problemas de autorización en Airflow con la integración de Azure Entra ID

Resolver errores de autorización de OAuth en Airflow con múltiples enfoques de secuencias de comandos

Primera solución: secuencia de comandos de backend de Python para autorización de OAuth

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Enfoque de backend alternativo: configuración de flujo de aire utilizando JWKS y OpenID para la validación segura de tokens

Otra solución backend centrada en OpenID Connect y la configuración del conjunto de claves web JSON en Airflow

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Script frontend: JavaScript para el manejo de autorizaciones de OAuth

Un enfoque de JavaScript para manejar redirecciones y errores de OAuth en la interfaz

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Preguntas esenciales sobre la integración de Azure Entra ID con Airflow

1. ¿Cuál es el propósito de la AUTH_ROLES_MAPPING parámetro en flujo de aire?
2. El AUTH_ROLES_MAPPING El parámetro conecta los roles de Azure con los roles de Airflow, lo que permite asignaciones de roles automatizadas basadas en membresías de grupos en Azure. Esto simplifica el control de acceso al asignar permisos adecuados a los usuarios que inician sesión a través de Azure Entra ID.
3. ¿Cómo funciona el jwks_uri ¿Funciona en la configuración de OAuth?
4. El jwks_uri define el URI donde se pueden recuperar las claves públicas de Azure para la verificación del token JWT. Este paso es crucial para validar la autenticidad de los tokens y evitar el acceso no autorizado.
5. ¿Por qué se establece el redirect_uri ¿Importante en los proveedores de OAuth?
6. El redirect_uri le indica a Azure dónde enviar a los usuarios después de una autenticación exitosa. A menudo, esto se configura en el punto final de Airflow que maneja las respuestas de OAuth, lo que permite una integración fluida entre Azure y Airflow.
7. ¿Se pueden asignar varios roles a un único grupo de Azure Entra ID?
8. Sí, se pueden asignar varios roles a un único grupo de Azure, lo que permite flexibilidad en la asignación de permisos. Por ejemplo, los roles "Administrador" y "Visor" se pueden asociar con un grupo para superponer permisos.
9. ¿Cuál es la mejor manera de solucionar los errores de “Conjunto de claves web JSON no válido”?
10. Asegurar el jwks_uri está correctamente configurado y accesible. A menudo se producen errores si no se puede acceder al punto final o si las claves de ID de Azure Entra se almacenan en caché incorrectamente en Airflow.
11. ¿Cómo funciona el client_kwargs alcance mejorar la seguridad?
12. El client_kwargs El alcance limita los datos a los que Airflow puede acceder desde un perfil de usuario, lo que impone un acceso restringido a información confidencial, que es clave para el cumplimiento en entornos corporativos.
13. ¿Habilitar WTF_CSRF_ENABLED mejorar la seguridad?
14. Sí, WTF_CSRF_ENABLED proporciona protección contra falsificación de solicitudes entre sitios para Airflow, evitando solicitudes no autorizadas. Esta bandera es muy recomendable en entornos de producción para mayor seguridad.
15. ¿Cómo puedo manejar una solicitud de inicio de sesión denegada?
16. Revise los roles de usuario en Azure para confirmar que estén asignados correctamente. Además, verifique authorize_url y el mapeo de grupos son correctos, ya que estas configuraciones afectan el éxito de la autenticación.
17. ¿Puedo utilizar un proveedor de OAuth diferente al de Azure?
18. Sí, Airflow admite otros proveedores de OAuth como Google u Okta ajustando los parámetros específicos del proveedor en OAUTH_PROVIDERS. Cada proveedor puede tener URL y requisitos de configuración únicos.

Reflexiones finales sobre cómo proteger el flujo de aire con Azure Entra ID

La integración de Azure Entra ID con Airflow puede optimizar la autenticación en todas las organizaciones. Al configurar cuidadosamente los parámetros de OAuth como el jwks_uri y acceder a las URL de los tokens, está estableciendo conexiones seguras que minimizan el riesgo de acceso no autorizado. Este nivel de seguridad es esencial para cualquier organización basada en datos.

Las asignaciones de roles en Azure permiten una estrategia de acceso escalable basada en roles en Airflow. Con estas asignaciones, la gestión de usuarios y la asignación de permisos se vuelve más eficiente, especialmente en equipos más grandes. Una comprensión clara de estas configuraciones puede hacer que su configuración de autorización sea más resistente a futuras necesidades de seguridad. 🔒