Rješavanje problema s autorizacijom u protoku zraka s integracijom Azure Entra ID-a

Rješavanje pogrešaka OAuth autorizacije u protoku zraka s višestrukim pristupima skriptiranju

Prvo rješenje - Python pozadinska skripta za OAuth autorizaciju

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Alternativni pozadinski pristup - konfiguracija protoka zraka pomoću JWKS-a i OpenID-a za provjeru valjanosti sigurnosnog tokena

Još jedno pozadinsko rješenje s fokusom na konfiguraciju OpenID Connect i JSON Web Key Set u Airflowu

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Frontend skripta - JavaScript za rukovanje OAuth autorizacijom

JavaScript pristup za rukovanje OAuth preusmjeravanjima i pogreškama na sučelju

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Osnovna pitanja o integraciji Azure Entra ID-a s protokom zraka

1. Koja je svrha AUTH_ROLES_MAPPING parametar u protoku zraka?
2. The AUTH_ROLES_MAPPING parametar povezuje Azure uloge s Airflow ulogama, omogućujući automatizirane dodjele uloga na temelju članstva u grupi u Azureu. To pojednostavljuje kontrolu pristupa dodjeljivanjem odgovarajućih dopuštenja korisnicima koji se prijavljuju putem Azure Entra ID-a.
3. Kako se jwks_uri raditi u postavkama OAutha?
4. The jwks_uri definira URI gdje se Azureovi javni ključevi mogu dohvatiti za provjeru JWT tokena. Ovaj korak je ključan za provjeru autentičnosti tokena, sprječavanje neovlaštenog pristupa.
5. Zašto je postavljanje redirect_uri u OAuth pružateljima važno?
6. The redirect_uri govori Azureu kamo poslati korisnike nakon uspješne autentifikacije. Ovo je često postavljeno na krajnju točku Airflow koja rukuje OAuth odgovorima, što omogućuje glatku integraciju između Azurea i Airflowa.
7. Može li se više uloga dodijeliti jednoj grupi Azure Entra ID-a?
8. Da, više uloga može se mapirati u jednu Azure grupu, što omogućuje fleksibilnost u dodjeljivanju dopuštenja. Na primjer, i uloge "Administrator" i "Gledatelj" mogu se pridružiti grupi za preklapajuće dozvole.
9. Koji je najbolji način za otklanjanje pogrešaka "Invalid JSON Web Key Set"?
10. Osigurajte jwks_uri je ispravno konfiguriran i dostupan. Pogreške se često događaju ako je krajnja točka nedostupna ili ako su Azure Entra ID ključevi neispravno predmemorirani u Airflowu.
11. Kako se client_kwargs opseg povećati sigurnost?
12. The client_kwargs opseg ograničava podatke kojima Airflow može pristupiti iz korisničkog profila, provodeći ograničeni pristup osjetljivim informacijama, što je ključno za usklađenost u korporativnim postavkama.
13. Omogućuje WTF_CSRF_ENABLED poboljšati sigurnost?
14. Da, WTF_CSRF_ENABLED pruža Cross-Site Request Forgery zaštitu za Airflow, sprječavajući neovlaštene zahtjeve. Ova se zastavica toplo preporučuje u proizvodnim okruženjima za dodatnu sigurnost.
15. Kako mogu riješiti odbijeni zahtjev za prijavu?
16. Pregledajte korisničke uloge u Azureu kako biste potvrdili da su ispravno dodijeljene. Dodatno, potvrdite authorize_url i grupno mapiranje su ispravni jer ove postavke utječu na uspjeh provjere autentičnosti.
17. Mogu li koristiti drugog OAuth pružatelja usluga od Azure?
18. Da, Airflow podržava druge OAuth pružatelje kao što su Google ili Okta prilagođavanjem parametara specifičnih za pružatelja u OAUTH_PROVIDERS. Svaki pružatelj usluga može imati jedinstvene URL-ove i konfiguracijske zahtjeve.

Završne misli o osiguravanju protoka zraka s Azure Entra ID-om

Integracija Azure Entra ID-a s Airflowom može pojednostaviti autentifikaciju u organizacijama. Pažljivim konfiguriranjem OAuth parametara kao što je jwks_uri i URL-ove pristupnih tokena, uspostavljate sigurne veze koje smanjuju rizik od neovlaštenog pristupa. Ova razina sigurnosti ključna je za svaku organizaciju koja se temelji na podacima.

Mapiranje uloga u Azureu omogućuje skalabilnu strategiju pristupa temeljenu na ulogama u Airflowu. S ovim mapiranjem, upravljanje korisnicima i dodjeljivanje dopuštenja postaje učinkovitije, posebno u većim timovima. Jasno razumijevanje ovih konfiguracija može vašu postavku autorizacije učiniti otpornijom na buduće sigurnosne potrebe. 🔒