Rozwiązywanie problemów z autoryzacją w przepływie powietrza dzięki integracji Azure Entra ID

Rozwiązywanie błędów autoryzacji OAuth w przepływie powietrza przy użyciu wielu podejść skryptowych

Pierwsze rozwiązanie — skrypt zaplecza Pythona do autoryzacji OAuth

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Alternatywne podejście do backendu — konfiguracja przepływu powietrza przy użyciu JWKS i OpenID do bezpiecznej weryfikacji tokenu

Kolejne rozwiązanie backendowe skupiające się na konfiguracji OpenID Connect i JSON Web Key Set w Airflow

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Skrypt frontendowy - JavaScript do obsługi autoryzacji OAuth

Podejście JavaScript do obsługi przekierowań i błędów OAuth na interfejsie

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Podstawowe pytania dotyczące integracji identyfikatora Azure Entra ID z przepływem powietrza

1. Jaki jest cel AUTH_ROLES_MAPPING parametr w przepływie powietrza?
2. The AUTH_ROLES_MAPPING parametr łączy role platformy Azure z rolami Airflow, umożliwiając automatyczne przypisywanie ról na podstawie członkostwa w grupach na platformie Azure. Upraszcza to kontrolę dostępu, przypisując odpowiednie uprawnienia użytkownikom logującym się za pośrednictwem Azure Entra ID.
3. Jak to jest jwks_uri pracować w konfiguracji OAuth?
4. The jwks_uri definiuje identyfikator URI, pod którym można pobrać klucze publiczne platformy Azure w celu weryfikacji tokenu JWT. Ten krok jest kluczowy dla sprawdzenia autentyczności tokenów i zapobiegania nieautoryzowanemu dostępowi.
5. Dlaczego ustawienie redirect_uri u dostawców OAuth jest ważne?
6. The redirect_uri informuje platformę Azure, dokąd wysłać użytkowników po pomyślnym uwierzytelnieniu. Często jest to ustawione na punkt końcowy Airflow obsługujący odpowiedzi OAuth, co umożliwia płynną integrację między platformą Azure i Airflow.
7. Czy do jednej grupy identyfikatorów Azure Entra można przypisać wiele ról?
8. Tak, do jednej grupy platformy Azure można zamapować wiele ról, co zapewnia elastyczność w przypisywania uprawnień. Na przykład role „Administrator” i „Przeglądający” można powiązać z grupą w celu nakładania się uprawnień.
9. Jaki jest najlepszy sposób rozwiązywania problemów z błędami „Nieprawidłowy zestaw kluczy internetowych JSON”?
10. Zapewnij jwks_uri jest poprawnie skonfigurowany i dostępny. Błędy często występują, jeśli punkt końcowy jest nieosiągalny lub jeśli klucze identyfikatora Azure Entra ID są niepoprawnie buforowane w przepływie powietrza.
11. Jak to jest client_kwargs zakres zwiększa bezpieczeństwo?
12. The client_kwargs zakres ogranicza dane, do których Airflow może uzyskać dostęp z profilu użytkownika, wymuszając ograniczony dostęp do poufnych informacji, co jest kluczowe dla zapewnienia zgodności w ustawieniach korporacyjnych.
13. Czy włączenie WTF_CSRF_ENABLED poprawić bezpieczeństwo?
14. Tak, WTF_CSRF_ENABLED zapewnia ochronę przed fałszowaniem żądań między witrynami dla przepływu powietrza, zapobiegając nieautoryzowanym żądaniom. Ta flaga jest wysoce zalecana w środowiskach produkcyjnych ze względu na dodatkowe bezpieczeństwo.
15. Jak mogę obsłużyć żądanie odmowy logowania?
16. Przejrzyj role użytkowników na platformie Azure, aby upewnić się, że zostały poprawnie przypisane. Dodatkowo zweryfikuj authorize_url i mapowanie grup są prawidłowe, ponieważ te ustawienia wpływają na powodzenie uwierzytelniania.
17. Czy mogę używać innego dostawcy protokołu OAuth niż platforma Azure?
18. Tak, Airflow obsługuje innych dostawców OAuth, takich jak Google lub Okta, dostosowując parametry specyficzne dla dostawcy w OAUTH_PROVIDERS. Każdy dostawca może mieć unikalne adresy URL i wymagania konfiguracyjne.

Ostatnie przemyślenia na temat zabezpieczania przepływu powietrza za pomocą identyfikatora Azure Entra ID

Integracja Azure Entra ID z Airflow może usprawnić uwierzytelnianie w organizacjach. Dzięki dokładnej konfiguracji parametrów protokołu OAuth, takich jak jwks_uri i adresy URL tokenów dostępu, ustanawiasz bezpieczne połączenia, które minimalizują ryzyko nieautoryzowanego dostępu. Ten poziom bezpieczeństwa jest niezbędny dla każdej organizacji opartej na danych.

Mapowania ról na platformie Azure umożliwiają skalowalną strategię dostępu opartą na rolach w Airflow. Dzięki tym mapowaniu zarządzanie użytkownikami i przypisywanie uprawnień staje się bardziej efektywne, szczególnie w większych zespołach. Dokładne zrozumienie tych konfiguracji może sprawić, że konfiguracja autoryzacji będzie bardziej odporna na przyszłe potrzeby w zakresie bezpieczeństwa. 🔒