Menyelesaikan Isu Kebenaran dalam Aliran Udara dengan Penyepaduan ID Azure Entra

Menyelesaikan Ralat Keizinan OAuth dalam Aliran Udara dengan Berbilang Pendekatan Skrip

Penyelesaian Pertama - Skrip Backend Python untuk Kebenaran OAuth

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Pendekatan Bahagian Belakang Alternatif - Konfigurasi Aliran Udara Menggunakan JWKS dan OpenID untuk Pengesahan Token Selamat

Satu lagi penyelesaian bahagian belakang dengan tumpuan pada OpenID Connect dan konfigurasi Set Kunci Web JSON dalam Aliran Udara

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Skrip Frontend - JavaScript untuk Pengendalian Kebenaran OAuth

Pendekatan JavaScript untuk mengendalikan ubah hala OAuth dan ralat pada bahagian hadapan

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Soalan Penting tentang Mengintegrasikan ID Azure Entra dengan Aliran Udara

1. Apakah tujuan AUTH_ROLES_MAPPING parameter dalam Aliran Udara?
2. The AUTH_ROLES_MAPPING parameter menghubungkan peranan Azure kepada peranan Aliran Udara, mendayakan penetapan peranan automatik berdasarkan keahlian kumpulan dalam Azure. Ini memudahkan kawalan akses dengan memberikan kebenaran yang sesuai kepada pengguna yang log masuk melalui ID Azure Entra.
3. Bagaimana caranya jwks_uri berfungsi dalam persediaan OAuth?
4. The jwks_uri mentakrifkan URI tempat kunci awam Azure boleh diambil untuk pengesahan token JWT. Langkah ini penting untuk mengesahkan ketulenan token, menghalang akses tanpa kebenaran.
5. Mengapa menetapkan redirect_uri dalam pembekal OAuth penting?
6. The redirect_uri memberitahu Azure tempat untuk menghantar pengguna selepas pengesahan berjaya. Ini selalunya ditetapkan kepada titik akhir Aliran Udara yang mengendalikan respons OAuth, membolehkan penyepaduan lancar antara Azure dan Aliran Udara.
7. Bolehkah berbilang peranan diberikan kepada satu kumpulan ID Azure Entra?
8. Ya, berbilang peranan boleh dipetakan kepada satu kumpulan Azure, membenarkan fleksibiliti dalam memberikan kebenaran. Sebagai contoh, kedua-dua peranan "Pentadbir" dan "Penonton" boleh dikaitkan dengan kumpulan untuk kebenaran bertindih.
9. Apakah cara terbaik untuk menyelesaikan ralat "Set Kunci Web JSON Tidak Sah"?
10. Memastikan jwks_uri dikonfigurasikan dengan betul dan boleh diakses. Ralat sering berlaku jika titik akhir tidak dapat dicapai atau jika kunci ID Azure Entra dicache secara tidak betul dalam Aliran Udara.
11. Bagaimana caranya client_kwargs skop meningkatkan keselamatan?
12. The client_kwargs skop mengehadkan data Aliran udara boleh akses daripada profil pengguna, menguatkuasakan akses terhad kepada maklumat sensitif, yang merupakan kunci untuk pematuhan dalam tetapan korporat.
13. Adakah membolehkan WTF_CSRF_ENABLED meningkatkan keselamatan?
14. ya, WTF_CSRF_ENABLED menyediakan perlindungan Pemalsuan Permintaan Rentas Tapak untuk Aliran Udara, menghalang permintaan yang tidak dibenarkan. Bendera ini sangat disyorkan dalam persekitaran pengeluaran untuk keselamatan tambahan.
15. Bagaimanakah saya boleh mengendalikan permintaan log masuk yang ditolak?
16. Semak peranan pengguna dalam Azure untuk mengesahkan ia diberikan dengan betul. Selain itu, sahkan authorize_url dan pemetaan kumpulan adalah betul, kerana tetapan ini memberi kesan kepada kejayaan pengesahan.
17. Bolehkah saya menggunakan pembekal OAuth yang berbeza daripada Azure?
18. Ya, Airflow menyokong penyedia OAuth lain seperti Google atau Okta dengan melaraskan parameter khusus pembekal dalam OAUTH_PROVIDERS. Setiap pembekal mungkin mempunyai URL unik dan keperluan konfigurasi.

Pemikiran Akhir tentang Menjaga Aliran Udara dengan ID Azure Entra

Mengintegrasikan ID Azure Entra dengan Aliran Udara boleh menyelaraskan pengesahan merentas organisasi. Dengan mengkonfigurasi parameter OAuth dengan teliti seperti jwks_uri dan mengakses URL token, anda sedang mewujudkan sambungan selamat yang meminimumkan risiko akses tanpa kebenaran. Tahap keselamatan ini penting untuk mana-mana organisasi dipacu data.

Pemetaan peranan dalam Azure membolehkan strategi akses berasaskan peranan yang boleh skala dalam Aliran Udara. Dengan pemetaan ini, mengurus pengguna dan memberikan kebenaran menjadi lebih cekap, terutamanya dalam pasukan yang lebih besar. Pemahaman yang jelas tentang konfigurasi ini boleh menjadikan persediaan kebenaran anda lebih berdaya tahan terhadap keperluan keselamatan masa hadapan. 🔒