Riešenie problémov s autorizáciou v Airflow pomocou Azure Entra ID Integration

Riešenie chýb autorizácie OAuth v prúdení vzduchu pomocou viacerých skriptovacích prístupov

Prvé riešenie - Python Backend Script pre autorizáciu OAuth

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Alternatívny backendový prístup – konfigurácia prúdenia vzduchu pomocou JWKS a OpenID na bezpečné overenie tokenov

Ďalšie backendové riešenie so zameraním na konfiguráciu OpenID Connect a JSON Web Key Set v Airflow

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Frontend Script – JavaScript pre spracovanie autorizácie OAuth

Prístup JavaScript na spracovanie presmerovaní a chýb protokolu OAuth na frontende

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Základné otázky o integrácii Azure Entra ID s prúdením vzduchu

1. Aký je účel AUTH_ROLES_MAPPING parameter v Airflow?
2. The AUTH_ROLES_MAPPING Parameter spája roly Azure s rolami Airflow, čím umožňuje automatické priraďovanie rolí na základe členstva v skupine v Azure. To zjednodušuje riadenie prístupu priradením vhodných povolení používateľom prihlasujúcim sa cez Azure Entra ID.
3. Ako sa jwks_uri pracovať v nastavení OAuth?
4. The jwks_uri definuje URI, kde možno získať verejné kľúče Azure na overenie tokenov JWT. Tento krok je rozhodujúci pre overenie pravosti tokenov, čím sa zabráni neoprávnenému prístupu.
5. Prečo sa nastavuje redirect_uri v OAuth poskytovateľov dôležité?
6. The redirect_uri informuje Azure, kam má poslať používateľov po úspešnej autentifikácii. Toto je často nastavené na koncový bod Airflow spracovávajúci odpovede OAuth, čo umožňuje hladkú integráciu medzi Azure a Airflow.
7. Je možné priradiť viacero rolí k jednej skupine Azure Entra ID?
8. Áno, do jednej skupiny Azure je možné namapovať viacero rolí, čo umožňuje flexibilitu pri prideľovaní povolení. Napríklad roly „správca“ aj „divák“ môžu byť spojené so skupinou pre prekrývajúce sa povolenia.
9. Aký je najlepší spôsob riešenia chýb „Neplatná sada webových kľúčov JSON“?
10. Zabezpečte jwks_uri je správne nakonfigurovaný a prístupný. Chyby sa často vyskytujú, ak je koncový bod nedostupný alebo ak sú kľúče Azure Entra ID nesprávne uložené vo vyrovnávacej pamäti v Airflow.
11. Ako sa client_kwargs rozsah zvýšiť bezpečnosť?
12. The client_kwargs rozsah obmedzuje údaje, ku ktorým môže Airflow pristupovať z používateľského profilu, čím sa vynucuje obmedzený prístup k citlivým informáciám, čo je kľúčové pre dodržiavanie pravidiel v podnikových nastaveniach.
13. Umožňuje WTF_CSRF_ENABLED zlepšiť bezpečnosť?
14. áno, WTF_CSRF_ENABLED poskytuje ochranu proti falšovaniu požiadaviek medzi stránkami pre Airflow, čím zabraňuje neoprávneným požiadavkám. Tento príznak sa dôrazne odporúča v produkčnom prostredí pre zvýšenie bezpečnosti.
15. Ako môžem spracovať žiadosť o odmietnutie prihlásenia?
16. Skontrolujte roly používateľov v Azure, aby ste sa uistili, že sú správne priradené. Okrem toho overte authorize_url a skupinové mapovanie sú správne, pretože tieto nastavenia ovplyvňujú úspech autentifikácie.
17. Môžem použiť iného poskytovateľa OAuth ako Azure?
18. Áno, Airflow podporuje iných poskytovateľov OAuth ako Google alebo Okta úpravou parametrov špecifických pre daného poskytovateľa OAUTH_PROVIDERS. Každý poskytovateľ môže mať jedinečné adresy URL a požiadavky na konfiguráciu.

Záverečné myšlienky na zabezpečenie prúdenia vzduchu pomocou Azure Entra ID

Integrácia Azure Entra ID s Airflow môže zefektívniť autentifikáciu naprieč organizáciami. Starostlivou konfiguráciou parametrov OAuth, ako je napr jwks_uri a prístupové adresy URL tokenov, vytvárate zabezpečené pripojenia, ktoré minimalizujú riziko neoprávneného prístupu. Táto úroveň zabezpečenia je nevyhnutná pre každú organizáciu založenú na údajoch.

Mapovania rolí v Azure umožňujú škálovateľnú prístupovú stratégiu založenú na rolách v Airflow. S týmito mapovaniami sa správa používateľov a prideľovanie povolení stáva efektívnejšou, najmä vo väčších tímoch. Jasné pochopenie týchto konfigurácií môže spôsobiť, že vaše nastavenie autorizácie bude odolnejšie voči budúcim bezpečnostným potrebám. 🔒