Azure Entra ID 統合による Airflow の認証の問題の解決

複数のスクリプトアプローチを使用した Airflow での OAuth 認証エラーの解決

最初の解決策 - OAuth 認証用の Python バックエンド スクリプト

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

代替バックエンド アプローチ - 安全なトークン検証のための JWKS と OpenID を使用したエアフロー構成

Airflow での OpenID Connect と JSON Web Key Set 構成に焦点を当てた別のバックエンド ソリューション

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

フロントエンド スクリプト - OAuth 認証処理用の JavaScript

フロントエンドで OAuth リダイレクトとエラーを処理するための JavaScript アプローチ

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Azure Entra ID と Airflow の統合に関する重要な質問

1. の目的は何ですか AUTH_ROLES_MAPPING エアフローのパラメータ?
2. の AUTH_ROLES_MAPPING パラメーターは Azure ロールを Airflow ロールに接続し、Azure のグループ メンバーシップに基づいて自動ロール割り当てを有効にします。これにより、Azure Entra ID 経由でログインするユーザーに適切なアクセス許可が割り当てられ、アクセス制御が簡素化されます。
3. どうやって jwks_uri OAuth セットアップで動作しますか?
4. の jwks_uri JWT トークン検証のために Azure の公開キーを取得できる URI を定義します。このステップは、トークンの信頼性を検証し、不正アクセスを防ぐために重要です。
5. なぜ設定されているのか redirect_uri OAuth プロバイダーは重要ですか?
6. の redirect_uri 認証が成功した後、ユーザーの送信先を Azure に指示します。これは多くの場合、OAuth 応答を処理する Airflow エンドポイントに設定され、Azure と Airflow の間のスムーズな統合が可能になります。
7. 複数のロールを単一の Azure Entra ID グループに割り当てることはできますか?
8. はい、複数のロールを 1 つの Azure グループにマッピングできるため、アクセス許可を柔軟に割り当てることができます。たとえば、「管理者」と「閲覧者」の両方の役割をグループに関連付けて、権限を重複させることができます。
9. 「無効な JSON Web キー セット」エラーをトラブルシューティングする最善の方法は何ですか?
10. を確認してください。 jwks_uri 正しく構成されており、アクセス可能です。多くの場合、エンドポイントに到達できない場合、または Azure Entra ID キーが Airflow に誤ってキャッシュされている場合に、エラーが発生します。
11. どうやって client_kwargs スコープはセキュリティを強化しますか?
12. の client_kwargs スコープは、Airflow がユーザー プロファイルからアクセスできるデータを制限し、企業設定におけるコンプライアンスの鍵となる機密情報へのアクセス制限を強制します。
13. 有効にするかどうか WTF_CSRF_ENABLED セキュリティを向上させるには？
14. はい、 WTF_CSRF_ENABLED Airflow にクロスサイト リクエスト フォージェリ保護を提供し、不正なリクエストを防ぎます。セキュリティを強化するために、運用環境ではこのフラグを強く推奨します。
15. 拒否されたサインイン要求を処理するにはどうすればよいですか?
16. Azure のユーザー ロールを調べて、それらが正しく割り当てられていることを確認します。さらに、検証します authorize_url これらの設定は認証の成功に影響するため、グループ マッピングは正しいです。
17. Azure 以外の OAuth プロバイダーを使用できますか?
18. はい。Airflow は、プロバイダー固有のパラメーターを調整することで、Google や Okta などの他の OAuth プロバイダーをサポートします。 OAUTH_PROVIDERS。各プロバイダーには固有の URL と構成要件がある場合があります。

Azure Entra ID によるエアフローの保護に関する最終的な考え

Azure Entra ID を Airflow と統合すると、組織全体の認証を合理化できます。次のような OAuth パラメータを慎重に構成することで、 jwks_uri およびアクセス トークン URL を使用すると、不正アクセスのリスクを最小限に抑える安全な接続が確立されます。このレベルのセキュリティは、データ主導型の組織にとって不可欠です。

Azure のロール マッピングにより、Airflow でスケーラブルなロールベースのアクセス戦略が可能になります。これらのマッピングを使用すると、特に大規模なチームで、ユーザーの管理と権限の割り当てがより効率的になります。これらの構成を明確に理解することで、将来のセキュリティ ニーズに対する認証設定の回復力を高めることができます。 🔒