Autorisatieproblemen in Airflow oplossen met Azure Entra ID-integratie

OAuth-autorisatiefouten in de luchtstroom oplossen met meerdere scriptbenaderingen

Eerste oplossing: Python Backend-script voor OAuth-autorisatie

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Alternatieve backend-aanpak - Airflow-configuratie met behulp van JWKS en OpenID voor veilige tokenvalidatie

Nog een backend-oplossing met een focus op OpenID Connect en JSON Web Key Set-configuratie in Airflow

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Frontend-script - JavaScript voor OAuth-autorisatieafhandeling

Een JavaScript-aanpak voor het afhandelen van OAuth-omleidingen en fouten op de frontend

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Essentiële vragen over het integreren van Azure Entra ID met Airflow

1. Wat is het doel van de AUTH_ROLES_MAPPING parameter in luchtstroom?
2. De AUTH_ROLES_MAPPING parameter verbindt Azure-rollen met Airflow-rollen, waardoor geautomatiseerde roltoewijzingen mogelijk zijn op basis van groepslidmaatschappen in Azure. Dit vereenvoudigt de toegangscontrole door de juiste machtigingen toe te wijzen aan gebruikers die zich aanmelden via Azure Entra ID.
3. Hoe werkt de jwks_uri werken in de OAuth-installatie?
4. De jwks_uri definieert de URI waar de openbare sleutels van Azure kunnen worden opgehaald voor JWT-tokenverificatie. Deze stap is cruciaal voor het valideren van de authenticiteit van tokens en het voorkomen van ongeautoriseerde toegang.
5. Waarom is het instellen van de redirect_uri bij OAuth-providers belangrijk?
6. De redirect_uri vertelt Azure waar gebruikers naartoe moeten worden gestuurd na succesvolle authenticatie. Dit wordt vaak ingesteld op het Airflow-eindpunt dat OAuth-reacties afhandelt, waardoor een soepele integratie tussen Azure en Airflow mogelijk is.
7. Kunnen meerdere rollen worden toegewezen aan één Azure Entra ID-groep?
8. Ja, er kunnen meerdere rollen worden toegewezen aan één Azure-groep, waardoor flexibiliteit bij het toewijzen van machtigingen mogelijk is. Zowel de rollen 'Beheerder' als 'Kijker' kunnen bijvoorbeeld aan een groep worden gekoppeld voor overlappende machtigingen.
9. Wat is de beste manier om fouten met ‘Ongeldige JSON-websleutelset’ op te lossen?
10. Zorg ervoor dat de jwks_uri correct is geconfigureerd en toegankelijk is. Er treden vaak fouten op als het eindpunt onbereikbaar is of als Azure Entra ID-sleutels onjuist in de cache zijn opgeslagen in Airflow.
11. Hoe werkt de client_kwargs mogelijkheden om de veiligheid te vergroten?
12. De client_kwargs reikwijdte beperkt de gegevens waartoe Airflow toegang heeft via een gebruikersprofiel, waardoor beperkte toegang tot gevoelige informatie wordt afgedwongen, wat essentieel is voor compliance in bedrijfsomgevingen.
13. Maakt het mogelijk WTF_CSRF_ENABLED de veiligheid verbeteren?
14. Ja, WTF_CSRF_ENABLED biedt bescherming tegen Cross-Site Request Forgery voor Airflow, waardoor ongeautoriseerde verzoeken worden voorkomen. Deze vlag wordt ten zeerste aanbevolen in productieomgevingen voor extra veiligheid.
15. Hoe kan ik een geweigerd aanmeldingsverzoek afhandelen?
16. Controleer gebruikersrollen in Azure om te bevestigen dat ze correct zijn toegewezen. Controleer bovendien authorize_url en groepstoewijzing zijn correct, omdat deze instellingen van invloed zijn op het succes van de authenticatie.
17. Kan ik een andere OAuth-provider gebruiken dan Azure?
18. Ja, Airflow ondersteunt andere OAuth-providers zoals Google of Okta door de providerspecifieke parameters aan te passen OAUTH_PROVIDERS. Elke provider kan unieke URL's en configuratievereisten hebben.

Laatste gedachten over het beveiligen van de luchtstroom met Azure Entra ID

Door Azure Entra ID te integreren met Airflow kan de authenticatie binnen organisaties worden gestroomlijnd. Door zorgvuldig OAuth-parameters zoals de jwks_uri en toegangstoken-URL's, brengt u veilige verbindingen tot stand die het risico op ongeautoriseerde toegang minimaliseren. Dit beveiligingsniveau is essentieel voor elke datagedreven organisatie.

Roltoewijzingen in Azure zorgen voor een schaalbare, op rollen gebaseerde toegangsstrategie in Airflow. Met deze mappings wordt het beheren van gebruikers en het toewijzen van rechten efficiënter, vooral in grotere teams. Een duidelijk begrip van deze configuraties kan uw autorisatie-instellingen beter bestand maken tegen toekomstige beveiligingsbehoeften. 🔒