Airflown valtuutusongelmien ratkaiseminen Azure Entra ID -integraatiolla

Ilmavirran OAuth-valtuutusvirheiden ratkaiseminen useilla komentosarjamenetelmillä

Ensimmäinen ratkaisu - Python-taustaohjelma OAuth-valtuutusta varten

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Vaihtoehtoinen taustaratkaisu – ilmavirran määritys JWKS:n ja OpenID:n avulla suojatun tunnuksen vahvistamiseen

Toinen taustaratkaisu, joka keskittyy OpenID Connectin ja JSON Web Key Setin määritykseen Airflowssa

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Frontend Script - JavaScript OAuth-valtuuksien käsittelyyn

JavaScript-lähestymistapa OAuth-uudelleenohjausten ja -virheiden käsittelyyn käyttöliittymässä

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Tärkeitä kysymyksiä Azure Entra ID:n integroimisesta Airflow:n kanssa

1. Mikä on tarkoitus AUTH_ROLES_MAPPING parametri Airflow-kohdassa?
2. The AUTH_ROLES_MAPPING parametri yhdistää Azure-roolit Airflow-rooleihin, mikä mahdollistaa Azuren ryhmäjäsenyyksiin perustuvat automaattiset roolimääritykset. Tämä yksinkertaistaa pääsyn valvontaa myöntämällä asianmukaiset käyttöoikeudet käyttäjille, jotka kirjautuvat sisään Azure Entra ID:n kautta.
3. Miten toimii jwks_uri toimiiko OAuth-asetuksissa?
4. The jwks_uri määrittää URI:n, josta Azuren julkiset avaimet voidaan hakea JWT-tunnuksen vahvistamista varten. Tämä vaihe on ratkaisevan tärkeä tokenien aitouden vahvistamiseksi ja luvattoman käytön estämiseksi.
5. Miksi asetetaan redirect_uri OAuth-palveluntarjoajat ovat tärkeitä?
6. The redirect_uri kertoo Azurelle, minne käyttäjät lähetetään onnistuneen todennuksen jälkeen. Tämä asetetaan usein OAuth-vastauksia käsittelevään Airflow-päätepisteeseen, mikä mahdollistaa sujuvan integroinnin Azuren ja Airflown välillä.
7. Voidaanko yhdelle Azure Entra ID -ryhmälle määrittää useita rooleja?
8. Kyllä, useita rooleja voidaan yhdistää yhteen Azure-ryhmään, mikä mahdollistaa joustavuuden käyttöoikeuksien määrittämisessä. Esimerkiksi sekä "järjestelmänvalvoja"- että "katselija"-roolit voidaan liittää ryhmään päällekkäisiä käyttöoikeuksia varten.
9. Mikä on paras tapa "Virheellinen JSON-verkkoavainsarja" -virheiden vianmääritys?
10. Varmista, että jwks_uri on oikein määritetty ja käytettävissä. Virheitä ilmenee usein, jos päätepisteeseen ei saada yhteyttä tai jos Azure Entra ID -avaimet on tallennettu väärin Airflown välimuistiin.
11. Kuinka toimii client_kwargs laajuus lisää turvallisuutta?
12. The client_kwargs laajuus rajoittaa tietoja, joita Airflow voi käyttää käyttäjäprofiilista, mikä pakottaa rajoitetun pääsyn arkaluontoisiin tietoihin, mikä on avain vaatimustenmukaisuuden kannalta yritysasetuksissa.
13. Ottaa käyttöön WTF_CSRF_ENABLED parantaa turvallisuutta?
14. Kyllä, WTF_CSRF_ENABLED tarjoaa Cross-Site Request Forgery -suojan Airflowlle, mikä estää luvattomat pyynnöt. Tämä lippu on erittäin suositeltavaa tuotantoympäristöissä turvallisuuden lisäämiseksi.
15. Miten voin käsitellä evättyä kirjautumispyyntöä?
16. Tarkista käyttäjäroolit Azuressa varmistaaksesi, että ne on määritetty oikein. Lisäksi tarkista authorize_url ja ryhmäkartoitus ovat oikein, koska nämä asetukset vaikuttavat todennuksen onnistumiseen.
17. Voinko käyttää eri OAuth-palveluntarjoajaa kuin Azure?
18. Kyllä, Airflow tukee muita OAuth-palveluntarjoajia, kuten Googlea tai Oktaa, säätämällä palveluntarjoajakohtaisia ​​parametreja OAUTH_PROVIDERS. Jokaisella palveluntarjoajalla voi olla yksilölliset URL-osoitteet ja määritysvaatimukset.

Viimeisiä ajatuksia ilmavirran turvaamisesta Azure Entra ID:llä

Azure Entra ID:n integrointi Airflow:n kanssa voi tehostaa todennusta eri organisaatioissa. Määrittämällä huolellisesti OAuth-parametrit, kuten jwks_uri ja käyttötunnisteiden URL-osoitteita, luot suojattuja yhteyksiä, jotka minimoivat luvattoman käytön riskin. Tämä suojaustaso on olennainen jokaiselle tietopohjaiselle organisaatiolle.

Roolikartoitukset Azuressa mahdollistavat skaalautuvan, roolipohjaisen pääsystrategian Airflowssa. Näiden kartoitusten avulla käyttäjien hallinta ja käyttöoikeuksien myöntäminen tehostuvat erityisesti suuremmissa ryhmissä. Näiden kokoonpanojen selkeä ymmärtäminen voi tehdä valtuutusasetuksistasi kestävämpiä tulevia tietoturvatarpeita varten. 🔒