Risoluzione dei problemi di autorizzazione in Airflow con l'integrazione di Azure Entra ID

Risoluzione degli errori di autorizzazione OAuth nel flusso d'aria con approcci di scripting multipli

Prima soluzione: script backend Python per l'autorizzazione OAuth

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Approccio backend alternativo: configurazione del flusso d'aria utilizzando JWKS e OpenID per la convalida sicura dei token

Un'altra soluzione backend incentrata sulla configurazione di OpenID Connect e JSON Web Key Set in Airflow

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Script frontend: JavaScript per la gestione delle autorizzazioni OAuth

Un approccio JavaScript per la gestione dei reindirizzamenti e degli errori OAuth sul frontend

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Domande essenziali sull'integrazione di Azure Entra ID con Airflow

1. Qual è lo scopo del AUTH_ROLES_MAPPING parametro nel flusso d'aria?
2. IL AUTH_ROLES_MAPPING Il parametro connette i ruoli di Azure ai ruoli Airflow, consentendo assegnazioni di ruolo automatizzate in base alle appartenenze ai gruppi in Azure. Ciò semplifica il controllo degli accessi assegnando le autorizzazioni appropriate agli utenti che accedono tramite Azure Entra ID.
3. Come funziona il jwks_uri funzionare con la configurazione OAuth?
4. IL jwks_uri definisce l'URI in cui è possibile recuperare le chiavi pubbliche di Azure per la verifica del token JWT. Questo passaggio è fondamentale per convalidare l'autenticità dei token, impedendo l'accesso non autorizzato.
5. Perché sta impostando il file redirect_uri nei provider OAuth è importante?
6. IL redirect_uri indica ad Azure dove inviare gli utenti dopo l'autenticazione riuscita. Questo è spesso impostato sull'endpoint Airflow che gestisce le risposte OAuth, consentendo un'integrazione fluida tra Azure e Airflow.
7. È possibile assegnare più ruoli a un singolo gruppo ID Entra di Azure?
8. Sì, è possibile mappare più ruoli a un singolo gruppo di Azure, consentendo flessibilità nell'assegnazione delle autorizzazioni. Ad esempio, sia i ruoli "Amministratore" che quelli "Visualizzatore" possono essere associati a un gruppo per sovrapporre le autorizzazioni.
9. Qual è il modo migliore per risolvere gli errori "Set di chiavi Web JSON non valide"?
10. Garantire il jwks_uri sia correttamente configurato e accessibile. Spesso si verificano errori se l'endpoint non è raggiungibile o se le chiavi ID Entra di Azure vengono memorizzate in modo errato nella cache in Airflow.
11. Come funziona il client_kwargs l'ambito migliora la sicurezza?
12. IL client_kwargs l'ambito limita i dati a cui Airflow può accedere da un profilo utente, imponendo un accesso limitato alle informazioni sensibili, che è fondamentale per la conformità nelle impostazioni aziendali.
13. Abilita WTF_CSRF_ENABLED migliorare la sicurezza?
14. SÌ, WTF_CSRF_ENABLED fornisce protezione contro la falsificazione delle richieste intersito per Airflow, impedendo richieste non autorizzate. Questo flag è altamente consigliato negli ambienti di produzione per una maggiore sicurezza.
15. Come posso gestire una richiesta di accesso negata?
16. Esaminare i ruoli utente in Azure per verificare che siano assegnati correttamente. Inoltre, verifica authorize_url e la mappatura dei gruppi siano corretti, poiché queste impostazioni influiscono sul successo dell'autenticazione.
17. Posso usare un provider OAuth diverso da Azure?
18. Sì, Airflow supporta altri provider OAuth come Google o Okta modificando i parametri specifici del provider in OAUTH_PROVIDERS. Ogni provider può avere URL e requisiti di configurazione univoci.

Considerazioni finali sulla protezione del flusso d'aria con Azure Entra ID

L'integrazione di Azure Entra ID con Airflow può semplificare l'autenticazione tra le organizzazioni. Configurando attentamente i parametri OAuth come jwks_uri e accedi agli URL dei token, stai stabilendo connessioni sicure che riducono al minimo il rischio di accesso non autorizzato. Questo livello di sicurezza è essenziale per qualsiasi organizzazione basata sui dati.

Le mappature dei ruoli in Azure consentono una strategia di accesso scalabile e basata sui ruoli in Airflow. Con queste mappature, la gestione degli utenti e l'assegnazione delle autorizzazioni diventano più efficienti, soprattutto nei team più grandi. Una chiara comprensione di queste configurazioni può rendere la configurazione dell'autorizzazione più resistente alle future esigenze di sicurezza. 🔒