Azure Entra ID એકીકરણ સાથે એરફ્લોમાં અધિકૃતતાના મુદ્દાઓનું નિરાકરણ

બહુવિધ સ્ક્રિપ્ટીંગ અભિગમો સાથે એરફ્લોમાં OAuth અધિકૃતતા ભૂલોને ઉકેલવી

પ્રથમ ઉકેલ - OAuth અધિકૃતતા માટે Python બેકએન્ડ સ્ક્રિપ્ટ

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

વૈકલ્પિક બેકએન્ડ અભિગમ - સુરક્ષિત ટોકન માન્યતા માટે JWKS અને OpenID નો ઉપયોગ કરીને એરફ્લો ગોઠવણી

એરફ્લોમાં ઓપનઆઈડી કનેક્ટ અને JSON વેબ કી સેટ રૂપરેખાંકન પર ફોકસ સાથે અન્ય બેકએન્ડ સોલ્યુશન

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

ફ્રન્ટએન્ડ સ્ક્રિપ્ટ - OAuth અધિકૃતતા હેન્ડલિંગ માટે JavaScript

OAuth રીડાયરેક્ટ અને ફ્રન્ટએન્ડ પરની ભૂલોને હેન્ડલ કરવા માટે JavaScript અભિગમ

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

એરફ્લો સાથે Azure Entra ID ને એકીકૃત કરવા પરના આવશ્યક પ્રશ્નો

1. નો હેતુ શું છે AUTH_ROLES_MAPPING એરફ્લોમાં પરિમાણ?
2. આ AUTH_ROLES_MAPPING પરિમાણ Azure ભૂમિકાઓને એરફ્લો ભૂમિકાઓ સાથે જોડે છે, Azure માં જૂથ સભ્યપદ પર આધારિત સ્વચાલિત ભૂમિકા સોંપણીઓને સક્ષમ કરે છે. આ Azure Entra ID દ્વારા લોગ ઇન કરનારા વપરાશકર્તાઓને યોગ્ય પરવાનગીઓ સોંપીને ઍક્સેસ નિયંત્રણને સરળ બનાવે છે.
3. કેવી રીતે કરે છે jwks_uri OAuth સેટઅપમાં કામ કરો છો?
4. આ jwks_uri URI ને વ્યાખ્યાયિત કરે છે જ્યાં JWT ટોકન વેરિફિકેશન માટે Azureની સાર્વજનિક કીઓ મેળવી શકાય છે. આ પગલું ટોકન્સની અધિકૃતતાને માન્ય કરવા, અનધિકૃત ઍક્સેસને રોકવા માટે નિર્ણાયક છે.
5. શા માટે સેટ કરી રહ્યું છે redirect_uri OAuth પ્રદાતાઓમાં મહત્વપૂર્ણ છે?
6. આ redirect_uri સફળ પ્રમાણીકરણ પછી વપરાશકર્તાઓને ક્યાં મોકલવા તે Azureને જણાવે છે. આ ઘણીવાર એરફ્લો એન્ડપોઇન્ટ હેન્ડલિંગ OAuth પ્રતિસાદો પર સેટ કરવામાં આવે છે, જે Azure અને એરફ્લો વચ્ચે સરળ એકીકરણને મંજૂરી આપે છે.
7. શું એક જ Azure Entra ID જૂથને બહુવિધ ભૂમિકાઓ સોંપી શકાય?
8. હા, બહુવિધ ભૂમિકાઓને એક જ Azure જૂથમાં મેપ કરી શકાય છે, પરવાનગીઓ સોંપવામાં સુગમતા આપે છે. દાખલા તરીકે, "એડમિન" અને "દર્શક" બંને ભૂમિકાઓ ઓવરલેપિંગ પરવાનગીઓ માટે જૂથ સાથે સાંકળી શકાય છે.
9. "અમાન્ય JSON વેબ કી સેટ" ભૂલોનું નિવારણ કરવાની શ્રેષ્ઠ રીત કઈ છે?
10. ખાતરી કરો jwks_uri યોગ્ય રીતે રૂપરેખાંકિત અને સુલભ છે. જો એન્ડપોઇન્ટ પહોંચી ન શકાય તેવું હોય અથવા એરફ્લોમાં Azure Entra ID કીઓ ખોટી રીતે કેશ કરવામાં આવી હોય તો ઘણીવાર ભૂલો થાય છે.
11. કેવી રીતે કરે છે client_kwargs અવકાશ સુરક્ષા વધારવા?
12. આ client_kwargs અવકાશ વપરાશકર્તા પ્રોફાઇલમાંથી એરફ્લો ઍક્સેસ કરી શકે તે ડેટાને મર્યાદિત કરે છે, સંવેદનશીલ માહિતીની પ્રતિબંધિત ઍક્સેસને લાગુ કરીને, જે કોર્પોરેટ સેટિંગ્સમાં અનુપાલન માટે ચાવીરૂપ છે.
13. સક્ષમ કરે છે WTF_CSRF_ENABLED સુરક્ષા સુધારવા?
14. હા, WTF_CSRF_ENABLED એરફ્લો માટે ક્રોસ-સાઇટ વિનંતી બનાવટી સુરક્ષા પ્રદાન કરે છે, અનધિકૃત વિનંતીઓને અટકાવે છે. વધારાની સુરક્ષા માટે ઉત્પાદન વાતાવરણમાં આ ધ્વજની ખૂબ ભલામણ કરવામાં આવે છે.
15. હું નકારવામાં આવેલી સાઇન-ઇન વિનંતીને કેવી રીતે હેન્ડલ કરી શકું?
16. Azure માં વપરાશકર્તાની ભૂમિકાઓની સમીક્ષા કરો કે તેઓ યોગ્ય રીતે સોંપવામાં આવ્યા છે તેની ખાતરી કરો. વધુમાં, ચકાસો authorize_url અને જૂથ મેપિંગ યોગ્ય છે, કારણ કે આ સેટિંગ્સ પ્રમાણીકરણની સફળતાને અસર કરે છે.
17. શું હું Azure કરતાં અલગ OAuth પ્રદાતાનો ઉપયોગ કરી શકું?
18. હા, એરફ્લોમાં પ્રદાતા-વિશિષ્ટ પરિમાણોને સમાયોજિત કરીને Google અથવા Okta જેવા અન્ય OAuth પ્રદાતાઓને સમર્થન આપે છે OAUTH_PROVIDERS. દરેક પ્રદાતા પાસે અનન્ય URL અને ગોઠવણી આવશ્યકતાઓ હોઈ શકે છે.

Azure Entra ID વડે એરફ્લો સુરક્ષિત કરવા પર અંતિમ વિચારો

એરફ્લો સાથે Azure Entra ID ને એકીકૃત કરવાથી સમગ્ર સંસ્થાઓમાં પ્રમાણીકરણને સુવ્યવસ્થિત કરી શકાય છે. જેમ કે OAuth પરિમાણોને કાળજીપૂર્વક ગોઠવીને jwks_uri અને ટોકન URL ને ઍક્સેસ કરો, તમે સુરક્ષિત જોડાણો સ્થાપિત કરી રહ્યાં છો જે અનધિકૃત ઍક્સેસના જોખમને ઘટાડે છે. કોઈપણ ડેટા-સંચાલિત સંસ્થા માટે સુરક્ષાનું આ સ્તર આવશ્યક છે.

Azure માં રોલ મેપિંગ્સ એરફ્લોમાં સ્કેલેબલ, રોલ-આધારિત એક્સેસ વ્યૂહરચના માટે પરવાનગી આપે છે. આ મેપિંગ્સ સાથે, વપરાશકર્તાઓનું સંચાલન કરવું અને પરવાનગીઓ સોંપવી વધુ કાર્યક્ષમ બને છે, ખાસ કરીને મોટી ટીમોમાં. આ રૂપરેખાંકનોની સ્પષ્ટ સમજ તમારા અધિકૃત સેટઅપને ભવિષ્યની સુરક્ષા જરૂરિયાતો માટે વધુ સ્થિતિસ્થાપક બનાવી શકે છે. 🔒