Airflow autoriseerimisprobleemide lahendamine Azure Entra ID integratsiooniga

OAuthi autoriseerimisvigade lahendamine õhuvoos mitme skriptimismeetodiga

Esimene lahendus – Pythoni taustaprogrammi skript OAuthi autoriseerimiseks

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Alternatiivne taustarakendus – õhuvoo konfigureerimine, kasutades JWKS-i ja OpenID-d turvaliseks märgi kinnitamiseks

Veel üks taustalahendus, mis keskendub OpenID Connecti ja JSON-i veebivõtmekomplekti konfiguratsioonile Airflow'is

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Esikülje skript – JavaScript OAuthi autoriseerimise haldamiseks

JavaScripti lähenemisviis OAuthi ümbersuunamiste ja vigade käsitlemiseks kasutajaliideses

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Olulised küsimused Azure Entra ID integreerimise kohta Airflowga

1. Mis on eesmärk AUTH_ROLES_MAPPING parameeter õhuvoolus?
2. The AUTH_ROLES_MAPPING parameeter ühendab Azure'i rollid Airflow rollidega, võimaldades Azure'i grupiliikmesusel põhinevaid rollide automaatseid määramisi. See lihtsustab juurdepääsu kontrolli, määrates Azure Entra ID kaudu sisse logivatele kasutajatele vastavad õigused.
3. Kuidas toimib jwks_uri kas töötate OAuthi seadistuses?
4. The jwks_uri määrab URI, kust saab JWT märgi kinnitamiseks Azure'i avalikke võtmeid hankida. See samm on oluline žetoonide autentsuse kinnitamiseks ja volitamata juurdepääsu vältimiseks.
5. Miks seadistatakse redirect_uri Kas OAuthi pakkujad on olulised?
6. The redirect_uri ütleb Azure'ile, kuhu kasutajad pärast edukat autentimist saata. See on sageli seatud Airflow lõpp-punktile, mis käsitleb OAuthi vastuseid, võimaldades sujuvat integreerimist Azure'i ja Airflow'i vahel.
7. Kas ühele Azure Entra ID rühmale saab määrata mitu rolli?
8. Jah, mitu rolli saab vastendada ühele Azure'i rühmale, mis võimaldab lubade määramisel paindlikkust. Näiteks saab nii administraatori kui ka vaataja rolli seostada kattuvate õiguste rühmaga.
9. Milline on parim viis vigade „kehtetu JSON-i veebivõtmekomplekti” tõrkeotsinguks?
10. Tagada jwks_uri on õigesti konfigureeritud ja juurdepääsetav. Vead ilmnevad sageli siis, kui lõpp-punktile ei pääse juurde või kui Azure Entra ID võtmed on Airflow's valesti vahemällu salvestatud.
11. Kuidas toimib client_kwargs ulatus suurendab turvalisust?
12. The client_kwargs ulatus piirab andmeid, millele Airflow pääseb kasutajaprofiilist juurde, jõustades piiratud juurdepääsu tundlikule teabele, mis on ettevõtte seadete järgimisel võtmetähtsusega.
13. Võimaldab WTF_CSRF_ENABLED turvalisust parandada?
14. jah, WTF_CSRF_ENABLED pakub õhuvoolule kaitset saidiüleste päringu võltsimise eest, vältides volitamata päringuid. See lipp on turvalisuse suurendamiseks tootmiskeskkondades väga soovitatav.
15. Kuidas ma saan käsitleda keeldutud sisselogimistaotlust?
16. Vaadake üle Azure'i kasutajarollid, et veenduda, et need on õigesti määratud. Lisaks kontrollige authorize_url ja rühma vastendamine on õiged, kuna need sätted mõjutavad autentimise edukust.
17. Kas ma saan kasutada teist OAuthi pakkujat kui Azure?
18. Jah, Airflow toetab teisi OAuthi pakkujaid, nagu Google või Okta, kohandades teenusepakkujapõhiseid parameetreid OAUTH_PROVIDERS. Igal pakkujal võivad olla kordumatud URL-id ja konfiguratsiooninõuded.

Viimased mõtted õhuvoolu kindlustamiseks Azure Entra ID-ga

Azure Entra ID integreerimine Airflow-ga võib lihtsustada autentimist kõigis organisatsioonides. OAuthi parameetrite, näiteks jwks_uri ja juurdepääsulubade URL-idele, loote turvalised ühendused, mis minimeerivad volitamata juurdepääsu riski. See turvalisuse tase on iga andmepõhise organisatsiooni jaoks hädavajalik.

Rollide kaardistamine Azure'is võimaldab Airflow's skaleeritavat rollipõhist juurdepääsustrateegiat. Nende vastendustega muutub kasutajate haldamine ja lubade määramine tõhusamaks, eriti suuremates meeskondades. Nende konfiguratsioonide selge mõistmine võib muuta teie autoriseerimisseadistuse tulevaste turbevajaduste suhtes vastupidavamaks. 🔒