„Airflow“ autorizacijos problemų sprendimas naudojant „Azure Entra ID“ integraciją

OAuth autorizacijos klaidų sprendimas oro sraute naudojant kelis scenarijų metodus

Pirmasis sprendimas – Python Backend scenarijus, skirtas OAuth autorizacijai

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Alternatyvus foninis metodas – oro srauto konfigūracija naudojant JWKS ir OpenID saugiam prieigos rakto patvirtinimui

Kitas vidinis sprendimas, kuriame pagrindinis dėmesys skiriamas „OpenID Connect“ ir JSON žiniatinklio raktų rinkinio konfigūracijai „Airflow“.

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Frontend scenarijus – „JavaScript“, skirta OAuth autorizacijos tvarkymui

„JavaScript“ metodas, skirtas tvarkyti „OAuth“ peradresavimus ir klaidas sąsajoje

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Pagrindiniai klausimai apie Azure Entra ID integravimą su oro srautu

1. Koks yra tikslas AUTH_ROLES_MAPPING parametras oro sraute?
2. The AUTH_ROLES_MAPPING parametras sujungia „Azure“ vaidmenis su „Airflow“ vaidmenimis, įgalindamas automatinį vaidmenų priskyrimą pagal „Azure“ grupės narystes. Tai supaprastina prieigos valdymą, priskiriant atitinkamus leidimus vartotojams, prisijungiantiems per Azure Entra ID.
3. Kaip veikia jwks_uri dirbti su OAuth sąranka?
4. The jwks_uri apibrėžia URI, iš kurio galima gauti „Azure“ viešuosius raktus, kad būtų galima patikrinti JWT prieigos raktą. Šis žingsnis yra labai svarbus norint patvirtinti žetonų autentiškumą ir užkirsti kelią neteisėtai prieigai.
5. Kodėl nustatoma redirect_uri ar „OAuth“ teikėjai svarbūs?
6. The redirect_uri nurodo „Azure“, kur siųsti vartotojus po sėkmingo autentifikavimo. Tai dažnai nustatoma kaip „Airflow“ galutinis taškas, tvarkantis „OAuth“ atsakymus, todėl „Azure“ ir „Airflow“ galima sklandžiai integruoti.
7. Ar vienai Azure Entra ID grupei galima priskirti kelis vaidmenis?
8. Taip, keli vaidmenys gali būti susieti su viena „Azure“ grupe, kad būtų galima lanksčiai priskirti leidimus. Pavyzdžiui, ir „Administratoriaus“, ir „Žiūrėjo“ vaidmenys gali būti susieti su persidengiančių leidimų grupe.
9. Koks yra geriausias būdas pašalinti klaidas „Netinkamas JSON žiniatinklio raktų rinkinys“?
10. Užtikrinti, jwks_uri yra tinkamai sukonfigūruotas ir pasiekiamas. Klaidos dažnai įvyksta, jei galutinis taškas nepasiekiamas arba jei „Azure Entra ID“ raktai yra neteisingai saugomi „Airflow“ talpykloje.
11. Kaip veikia client_kwargs apimtis padidina saugumą?
12. The client_kwargs apimtis riboja duomenis, kuriuos „Airflow“ gali pasiekti iš vartotojo profilio, todėl apribojama prieiga prie neskelbtinos informacijos, o tai yra labai svarbu siekiant atitikties įmonės nustatymuose.
13. Įgalina WTF_CSRF_ENABLED pagerinti saugumą?
14. taip, WTF_CSRF_ENABLED užtikrina oro srauto apsaugą nuo kelių svetainių užklausų klastojimo, užkertant kelią neteisėtoms užklausoms. Ši žyma labai rekomenduojama gamybos aplinkoje, kad būtų užtikrintas didesnis saugumas.
15. Kaip galiu tvarkyti atmestą prisijungimo užklausą?
16. Peržiūrėkite „Azure“ naudotojų vaidmenis, kad įsitikintumėte, jog jie tinkamai priskirti. Be to, patikrinkite authorize_url ir grupės susiejimas yra teisingi, nes šie nustatymai turi įtakos autentifikavimo sėkmei.
17. Ar galiu naudoti kitą „OAuth“ teikėją nei „Azure“?
18. Taip, „Airflow“ palaiko kitus „OAuth“ teikėjus, pvz., „Google“ ar „Okta“, koreguodamas konkrečius teikėjo parametrus OAUTH_PROVIDERS. Kiekvienas teikėjas gali turėti unikalius URL adresus ir konfigūracijos reikalavimus.

Paskutinės mintys apie oro srauto užtikrinimą naudojant Azure Entra ID

„Azure Entra ID“ integravimas su „Airflow“ gali supaprastinti autentifikavimą visose organizacijose. Kruopščiai sukonfigūruodami OAuth parametrus, pvz., jwks_uri ir prieigos prieigos rakto URL, užmezgate saugius ryšius, kurie sumažina neteisėtos prieigos riziką. Šis saugumo lygis yra būtinas bet kuriai duomenimis pagrįstai organizacijai.

„Azure“ vaidmenų priskyrimas leidžia taikyti keičiamo dydžio, vaidmenimis pagrįstą prieigos strategiją „Airflow“. Naudojant šiuos susiejimus, vartotojų valdymas ir leidimų priskyrimas tampa efektyvesnis, ypač didesnėse komandose. Aiškus šių konfigūracijų supratimas gali padaryti jūsų prieigos teisės sąranką atsparesnę būsimiems saugos poreikiams. 🔒