Airflow autorizācijas problēmu risināšana, izmantojot Azure Entra ID integrāciju

OAuth autorizācijas kļūdu novēršana gaisa plūsmā, izmantojot vairākas skriptēšanas metodes

Pirmais risinājums — Python aizmugursistēmas skripts OAuth autorizācijai

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Alternatīva aizmugursistēmas pieeja — gaisa plūsmas konfigurācija, izmantojot JWKS un OpenID drošai marķiera validācijai

Vēl viens aizmugursistēmas risinājums, kas koncentrējas uz OpenID Connect un JSON Web Key Set konfigurāciju pakalpojumā Airflow

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Priekšgala skripts — JavaScript OAuth autorizācijas apstrādei

JavaScript pieeja OAuth novirzīšanas un kļūdu apstrādei priekšgalā

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Būtiski jautājumi par Azure Entra ID integrēšanu ar gaisa plūsmu

1. Kāds ir mērķis AUTH_ROLES_MAPPING parametrs Gaisa plūsma?
2. The AUTH_ROLES_MAPPING parametrs savieno Azure lomas ar Airflow lomām, iespējojot automatizētu lomu piešķiršanu, pamatojoties uz dalību grupām pakalpojumā Azure. Tas vienkāršo piekļuves kontroli, piešķirot atbilstošas ​​atļaujas lietotājiem, kuri piesakās, izmantojot Azure Entra ID.
3. Kā darbojas jwks_uri strādāt OAuth iestatījumos?
4. The jwks_uri definē URI, kurā var izgūt Azure publiskās atslēgas JWT marķiera pārbaudei. Šis solis ir ļoti svarīgs, lai apstiprinātu marķieru autentiskumu un novērstu nesankcionētu piekļuvi.
5. Kāpēc tiek iestatīts redirect_uri Vai OAuth pakalpojumu sniedzēji ir svarīgi?
6. The redirect_uri norāda Azure, kur nosūtīt lietotājus pēc veiksmīgas autentifikācijas. Tas bieži tiek iestatīts uz Airflow galapunktu, kas apstrādā OAuth atbildes, nodrošinot vienmērīgu integrāciju starp Azure un Airflow.
7. Vai vienai Azure Entra ID grupai var piešķirt vairākas lomas?
8. Jā, vienai Azure grupai var piesaistīt vairākas lomas, kas ļauj elastīgi piešķirt atļaujas. Piemēram, gan “Administratora”, gan “Skatītāja” lomas var būt saistītas ar grupu, lai iegūtu atļaujas, kas pārklājas.
9. Kāds ir labākais veids, kā novērst kļūdas “Nederīga JSON tīmekļa atslēgu kopa”?
10. Nodrošiniet jwks_uri ir pareizi konfigurēts un pieejams. Kļūdas bieži rodas, ja galapunkts nav sasniedzams vai Azure Entra ID atslēgas ir nepareizi kešatmiņā Airflow.
11. Kā darbojas client_kwargs joma palielina drošību?
12. The client_kwargs tvērums ierobežo datus, ko Airflow var piekļūt no lietotāja profila, nodrošinot ierobežotu piekļuvi sensitīvai informācijai, kas ir būtiska atbilstības nodrošināšanai korporatīvajos iestatījumos.
13. Iespējo WTF_CSRF_ENABLED uzlabot drošību?
14. Jā, WTF_CSRF_ENABLED nodrošina gaisa plūsmas aizsardzību pret dažādu vietņu pieprasījumu viltošanu, novēršot nesankcionētus pieprasījumus. Šis karodziņš ir ļoti ieteicams ražošanas vidēs, lai nodrošinātu papildu drošību.
15. Kā rīkoties ar noraidītu pierakstīšanās pieprasījumu?
16. Pārskatiet lietotāju lomas pakalpojumā Azure, lai pārliecinātos, ka tās ir pareizi piešķirtas. Turklāt pārbaudiet authorize_url un grupu kartēšana ir pareiza, jo šie iestatījumi ietekmē autentifikācijas panākumus.
17. Vai varu izmantot citu OAuth nodrošinātāju, nevis Azure?
18. Jā, Airflow atbalsta citus OAuth pakalpojumu sniedzējus, piemēram, Google vai Okta, pielāgojot pakalpojumu sniedzējam raksturīgos parametrus OAUTH_PROVIDERS. Katram pakalpojumu sniedzējam var būt unikāli URL un konfigurācijas prasības.

Pēdējās domas par gaisa plūsmas nodrošināšanu ar Azure Entra ID

Integrējot Azure Entra ID ar Airflow, var racionalizēt autentifikāciju dažādās organizācijās. Rūpīgi konfigurējot OAuth parametrus, piemēram, jwks_uri un piekļuves pilnvaras URL, jūs izveidojat drošus savienojumus, kas samazina nesankcionētas piekļuves risku. Šis drošības līmenis ir būtisks jebkurai uz datiem balstītai organizācijai.

Lomu kartēšana pakalpojumā Azure nodrošina mērogojamu, uz lomām balstītu piekļuves stratēģiju Airflow. Izmantojot šos kartējumus, lietotāju pārvaldība un atļauju piešķiršana kļūst efektīvāka, īpaši lielākās komandās. Skaidra izpratne par šīm konfigurācijām var padarīt jūsu autorizācijas iestatījumu noturīgāku pret turpmākajām drošības vajadzībām. 🔒