Azure Entra ID 통합을 통해 Airflow의 권한 부여 문제 해결

여러 스크립팅 접근 방식을 사용하여 Airflow의 OAuth 인증 오류 해결

첫 번째 솔루션 - OAuth 인증을 위한 Python 백엔드 스크립트

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

대체 백엔드 접근 방식 - 보안 토큰 검증을 위해 JWKS 및 OpenID를 사용한 Airflow 구성

Airflow의 OpenID Connect 및 JSON 웹 키 세트 구성에 중점을 둔 또 다른 백엔드 솔루션

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

프런트엔드 스크립트 - OAuth 인증 처리를 위한 JavaScript

프런트엔드에서 OAuth 리디렉션 및 오류를 처리하기 위한 JavaScript 접근 방식

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Azure Entra ID를 Airflow와 통합하는 데 대한 필수 질문

1. 의 목적은 무엇입니까? AUTH_ROLES_MAPPING Airflow의 매개변수?
2. 그만큼 AUTH_ROLES_MAPPING 매개변수는 Azure 역할을 Airflow 역할에 연결하여 Azure의 그룹 멤버십을 기반으로 자동화된 역할 할당을 활성화합니다. 이는 Azure Entra ID를 통해 로그인하는 사용자에게 적절한 권한을 할당하여 액세스 제어를 단순화합니다.
3. 어떻게 jwks_uri OAuth 설정에서 작업하시나요?
4. 그만큼 jwks_uri JWT 토큰 확인을 위해 Azure의 공개 키를 검색할 수 있는 URI를 정의합니다. 이 단계는 토큰의 신뢰성을 검증하고 무단 액세스를 방지하는 데 중요합니다.
5. 설정하는 이유는 무엇입니까? redirect_uri OAuth 공급자가 중요합니까?
6. 그만큼 redirect_uri 인증에 성공한 후 사용자를 보낼 위치를 Azure에 알려줍니다. 이는 OAuth 응답을 처리하는 Airflow 엔드포인트로 설정되는 경우가 많으므로 Azure와 Airflow 간의 원활한 통합이 가능합니다.
7. 단일 Azure Entra ID 그룹에 여러 역할을 할당할 수 있나요?
8. 예, 여러 역할을 단일 Azure 그룹에 매핑하여 권한을 유연하게 할당할 수 있습니다. 예를 들어, "관리자" 및 "뷰어" 역할은 중복되는 권한을 위해 그룹과 연결될 수 있습니다.
9. "잘못된 JSON 웹 키 세트" 오류를 해결하는 가장 좋은 방법은 무엇입니까?
10. 보장 jwks_uri 올바르게 구성되어 있고 액세스할 수 있습니다. 엔드포인트에 연결할 수 없거나 Azure Entra ID 키가 Airflow에 잘못 캐시된 경우 오류가 자주 발생합니다.
11. 어떻게 client_kwargs 범위가 보안을 강화합니까?
12. 그만큼 client_kwargs 범위는 Airflow가 사용자 프로필에서 액세스할 수 있는 데이터를 제한하여 기업 설정 규정 준수의 핵심인 민감한 정보에 대한 액세스를 제한합니다.
13. 활성화합니까 WTF_CSRF_ENABLED 보안을 강화?
14. 예, WTF_CSRF_ENABLED Airflow에 대한 교차 사이트 요청 위조 보호 기능을 제공하여 무단 요청을 방지합니다. 이 플래그는 보안 강화를 위해 프로덕션 환경에서 적극 권장됩니다.
15. 거부된 로그인 요청을 처리하려면 어떻게 해야 하나요?
16. Azure에서 사용자 역할을 검토하여 올바르게 할당되었는지 확인하세요. 추가적으로 확인해보세요 authorize_url 및 그룹 매핑이 정확합니다. 이러한 설정은 인증 성공에 영향을 미치기 때문입니다.
17. Azure가 아닌 다른 OAuth 공급자를 사용할 수 있나요?
18. 예, Airflow는 다음에서 공급자별 매개변수를 조정하여 Google 또는 Okta와 같은 다른 OAuth 공급자를 지원합니다. OAUTH_PROVIDERS. 각 공급자마다 고유한 URL 및 구성 요구 사항이 있을 수 있습니다.

Azure Entra ID를 사용한 공기 흐름 보안에 대한 최종 생각

Azure Entra ID를 Airflow와 통합하면 조직 전체에서 인증을 간소화할 수 있습니다. 다음과 같은 OAuth 매개변수를 신중하게 구성하여 jwks_uri 토큰 URL에 액세스하면 무단 액세스 위험을 최소화하는 보안 연결이 설정됩니다. 이러한 수준의 보안은 모든 데이터 기반 조직에 필수적입니다.

Azure의 역할 매핑은 Airflow에서 확장 가능한 역할 기반 액세스 전략을 허용합니다. 이러한 매핑을 사용하면 특히 대규모 팀에서 사용자 관리 및 권한 할당이 더욱 효율적이 됩니다. 이러한 구성을 명확하게 이해하면 향후 보안 요구 사항에 대한 탄력성을 강화할 수 있는 인증 설정을 만들 수 있습니다. 🔒