Menyelesaikan Masalah Otorisasi di Airflow dengan Integrasi Azure Entra ID

Mengatasi Kesalahan Otorisasi OAuth di Airflow dengan Pendekatan Skrip Berganda

Solusi Pertama - Skrip Backend Python untuk Otorisasi OAuth

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Pendekatan Backend Alternatif - Konfigurasi Aliran Udara Menggunakan JWKS dan OpenID untuk Validasi Token Aman

Solusi backend lain dengan fokus pada konfigurasi OpenID Connect dan JSON Web Key Set di Airflow

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Skrip Frontend - JavaScript untuk Penanganan Otorisasi OAuth

Pendekatan JavaScript untuk menangani pengalihan dan kesalahan OAuth di frontend

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Pertanyaan Penting tentang Mengintegrasikan Azure Entra ID dengan Airflow

1. Apa tujuan dari AUTH_ROLES_MAPPING parameter dalam Aliran Udara?
2. Itu AUTH_ROLES_MAPPING parameter menghubungkan peran Azure ke peran Airflow, memungkinkan penetapan peran otomatis berdasarkan keanggotaan grup di Azure. Hal ini menyederhanakan kontrol akses dengan memberikan izin yang sesuai kepada pengguna yang masuk melalui ID Azure Entra.
3. Bagaimana caranya jwks_uri berfungsi di pengaturan OAuth?
4. Itu jwks_uri mendefinisikan URI tempat kunci publik Azure dapat diambil untuk verifikasi token JWT. Langkah ini penting untuk memvalidasi keaslian token dan mencegah akses tidak sah.
5. Mengapa pengaturan itu redirect_uri di penyedia OAuth penting?
6. Itu redirect_uri memberi tahu Azure ke mana harus mengirim pengguna setelah autentikasi berhasil. Hal ini sering kali diatur ke titik akhir Airflow yang menangani respons OAuth, sehingga memungkinkan integrasi yang lancar antara Azure dan Airflow.
7. Bisakah beberapa peran ditetapkan ke satu grup ID Azure Entra?
8. Ya, beberapa peran dapat dipetakan ke satu grup Azure, sehingga memungkinkan fleksibilitas dalam menetapkan izin. Misalnya, peran "Admin" dan "Pemirsa" dapat dikaitkan dengan grup untuk izin yang tumpang tindih.
9. Apa cara terbaik untuk memecahkan masalah kesalahan “Kumpulan Kunci Web JSON Tidak Valid”?
10. Pastikan jwks_uri dikonfigurasi dengan benar dan dapat diakses. Kesalahan sering terjadi jika titik akhir tidak dapat dijangkau atau jika kunci ID Azure Entra salah di-cache di Airflow.
11. Bagaimana caranya client_kwargs ruang lingkup meningkatkan keamanan?
12. Itu client_kwargs cakupannya membatasi data yang dapat diakses Airflow dari profil pengguna, sehingga memberlakukan akses terbatas ke informasi sensitif, yang merupakan kunci kepatuhan dalam pengaturan perusahaan.
13. Apakah memungkinkan WTF_CSRF_ENABLED meningkatkan keamanan?
14. Ya, WTF_CSRF_ENABLED memberikan perlindungan Pemalsuan Permintaan Lintas Situs untuk Aliran Udara, mencegah permintaan yang tidak sah. Tanda ini sangat direkomendasikan di lingkungan produksi untuk keamanan tambahan.
15. Bagaimana cara menangani permintaan masuk yang ditolak?
16. Tinjau peran pengguna di Azure untuk mengonfirmasi bahwa peran tersebut ditetapkan dengan benar. Selain itu, verifikasi authorize_url dan pemetaan grup sudah benar, karena pengaturan ini memengaruhi keberhasilan autentikasi.
17. Bisakah saya menggunakan penyedia OAuth yang berbeda dari Azure?
18. Ya, Airflow mendukung penyedia OAuth lain seperti Google atau Okta dengan menyesuaikan parameter khusus penyedia OAUTH_PROVIDERS. Setiap penyedia mungkin memiliki URL unik dan persyaratan konfigurasi.

Pemikiran Akhir tentang Mengamankan Aliran Udara dengan Azure Entra ID

Mengintegrasikan Azure Entra ID dengan Airflow dapat menyederhanakan autentikasi di seluruh organisasi. Dengan mengonfigurasi parameter OAuth secara hati-hati seperti jwks_uri dan mengakses URL token, Anda membangun koneksi aman yang meminimalkan risiko akses tidak sah. Tingkat keamanan ini penting bagi organisasi berbasis data mana pun.

Pemetaan peran di Azure memungkinkan strategi akses berbasis peran yang skalabel di Airflow. Dengan pemetaan ini, pengelolaan pengguna dan pemberian izin menjadi lebih efisien, terutama di tim yang lebih besar. Pemahaman yang jelas tentang konfigurasi ini dapat membuat pengaturan otorisasi Anda lebih tahan terhadap kebutuhan keamanan di masa depan. 🔒