Rezolvarea problemelor de autorizare în Airflow cu integrarea Azure Entra ID

Rezolvarea erorilor de autorizare OAuth în fluxul de aer cu mai multe abordări de scriptare

Prima soluție - Script Python Backend pentru autorizarea OAuth

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Abordare backend alternativă - Configurarea fluxului de aer folosind JWKS și OpenID pentru validarea securizată a simbolurilor

O altă soluție de backend cu accent pe OpenID Connect și configurarea setului de chei web JSON în Airflow

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Script front-end - JavaScript pentru gestionarea autorizațiilor OAuth

O abordare JavaScript pentru gestionarea redirecționărilor și erorilor OAuth pe front-end

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Întrebări esențiale despre integrarea Azure Entra ID cu Airflow

1. Care este scopul AUTH_ROLES_MAPPING parametrul în Flux de aer?
2. The AUTH_ROLES_MAPPING parametrul conectează rolurile Azure la rolurile Airflow, permițând atribuirea automată a rolurilor bazate pe apartenența la grup în Azure. Acest lucru simplifică controlul accesului prin atribuirea de permisiuni adecvate utilizatorilor care se conectează prin Azure Entra ID.
3. Cum face jwks_uri lucrează în configurarea OAuth?
4. The jwks_uri definește URI-ul de unde pot fi preluate cheile publice Azure pentru verificarea jetonului JWT. Acest pas este crucial pentru validarea autenticității token-urilor, prevenind accesul neautorizat.
5. De ce se setează redirect_uri în furnizorii OAuth important?
6. The redirect_uri spune Azure unde să trimită utilizatorii după autentificarea cu succes. Acesta este adesea setat la punctul final Airflow care gestionează răspunsurile OAuth, permițând integrarea lină între Azure și Airflow.
7. Pot fi atribuite mai multe roluri unui singur grup Azure Entra ID?
8. Da, mai multe roluri pot fi mapate la un singur grup Azure, permițând flexibilitate în atribuirea permisiunilor. De exemplu, atât rolurile „Administrator”, cât și „Vizualizator” pot fi asociate cu un grup pentru permisiuni suprapuse.
9. Care este cea mai bună modalitate de a depana erorile „Set de chei web JSON nevalide”?
10. Asigurați jwks_uri este corect configurat și accesibil. Erorile apar adesea dacă punctul final nu este accesibil sau dacă cheile Azure Entra ID sunt memorate incorect în cache în Airflow.
11. Cum face client_kwargs domeniul de aplicare sporește securitatea?
12. The client_kwargs domeniul de aplicare limitează datele pe care Airflow le poate accesa dintr-un profil de utilizator, impunând accesul restricționat la informațiile sensibile, care este cheia pentru conformitate în setările corporative.
13. Face activarea WTF_CSRF_ENABLED îmbunătățirea securității?
14. Da, WTF_CSRF_ENABLED oferă protecție împotriva falsificării cererilor între site-uri pentru Airflow, prevenind solicitările neautorizate. Acest steag este foarte recomandat în mediile de producție pentru securitate sporită.
15. Cum pot gestiona o solicitare de conectare refuzată?
16. Examinați rolurile de utilizator în Azure pentru a vă confirma că sunt alocate corect. În plus, verificați authorize_url și maparea grupului sunt corecte, deoarece aceste setări influențează succesul autentificării.
17. Pot folosi un alt furnizor OAuth decât Azure?
18. Da, Airflow acceptă alți furnizori OAuth, cum ar fi Google sau Okta, ajustând parametrii specifici furnizorului în OAUTH_PROVIDERS. Fiecare furnizor poate avea adrese URL unice și cerințe de configurare.

Gânduri finale despre securizarea fluxului de aer cu Azure Entra ID

Integrarea Azure Entra ID cu Airflow poate simplifica autentificarea între organizații. Configurarea cu atenție a parametrilor OAuth precum jwks_uri și adresele URL de token de acces, stabiliți conexiuni sigure care minimizează riscul accesului neautorizat. Acest nivel de securitate este esențial pentru orice organizație bazată pe date.

Mapările de rol în Azure permit o strategie de acces scalabilă, bazată pe roluri, în Airflow. Cu aceste mapări, gestionarea utilizatorilor și alocarea de permisiuni devin mai eficiente, mai ales în echipele mai mari. O înțelegere clară a acestor configurații poate face configurația dvs. de autorizare mai rezistentă la nevoile viitoare de securitate. 🔒