Reševanje težav z avtorizacijo v pretoku zraka z integracijo ID-ja Azure Entra

Odpravljanje napak avtorizacije OAuth v pretoku zraka z več pristopi k skriptnemu izvajanju

Prva rešitev – zaledni skript Python za avtorizacijo OAuth

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Alternativni zaledni pristop – konfiguracija zračnega toka z uporabo JWKS in OpenID za preverjanje varnega žetona

Še ena zaledna rešitev s poudarkom na konfiguraciji OpenID Connect in JSON Web Key Set v Airflow

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Frontend skript - JavaScript za ravnanje z avtorizacijo OAuth

Pristop JavaScript za obravnavanje preusmeritev in napak OAuth na sprednji strani

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Bistvena vprašanja o integraciji Azure Entra ID z Airflow

1. Kakšen je namen AUTH_ROLES_MAPPING parameter v pretoku zraka?
2. The AUTH_ROLES_MAPPING parameter povezuje vloge Azure z vlogami Airflow, kar omogoča avtomatsko dodeljevanje vlog na podlagi članstva v skupini v Azure. To poenostavlja nadzor dostopa z dodeljevanjem ustreznih dovoljenj uporabnikom, ki se prijavljajo prek Azure Entra ID.
3. Kako deluje jwks_uri deluje v nastavitvi OAuth?
4. The jwks_uri definira URI, kjer je mogoče pridobiti javne ključe Azure za preverjanje žetona JWT. Ta korak je ključnega pomena za preverjanje pristnosti žetonov in preprečevanje nepooblaščenega dostopa.
5. Zakaj je nastavitev redirect_uri pri ponudnikih OAuth pomembno?
6. The redirect_uri Azure pove, kam naj pošlje uporabnike po uspešnem preverjanju pristnosti. To je pogosto nastavljeno na končno točko Airflow, ki obravnava odzive OAuth, kar omogoča gladko integracijo med Azure in Airflow.
7. Ali je mogoče eni skupini ID-jev Azure Entra dodeliti več vlog?
8. Da, več vlog je mogoče preslikati v eno skupino Azure, kar omogoča prilagodljivost pri dodeljevanju dovoljenj. Na primer, vlogi »skrbnika« in »ogledovalca« sta lahko povezani s skupino za prekrivajoča se dovoljenja.
9. Kateri je najboljši način za odpravljanje napak »Neveljaven nabor spletnih ključev JSON«?
10. Zagotovite jwks_uri je pravilno konfiguriran in dostopen. Napake se pogosto pojavijo, če je končna točka nedosegljiva ali če so ključi Azure Entra ID nepravilno predpomnjeni v Airflow.
11. Kako deluje client_kwargs obseg povečati varnost?
12. The client_kwargs obseg omejuje podatke, do katerih lahko Airflow dostopa iz uporabniškega profila, in uveljavlja omejen dostop do občutljivih informacij, kar je ključnega pomena za skladnost v nastavitvah podjetja.
13. Omogoča WTF_CSRF_ENABLED izboljšati varnost?
14. ja WTF_CSRF_ENABLED zagotavlja Cross-Site Request Forgery zaščito za Airflow, ki preprečuje nepooblaščene zahteve. Ta zastavica je zelo priporočljiva v produkcijskih okoljih za dodatno varnost.
15. Kako lahko obravnavam zavrnjeno zahtevo za prijavo?
16. Preglejte uporabniške vloge v Azure, da potrdite, da so pravilno dodeljene. Poleg tega preverite authorize_url in preslikava skupine sta pravilna, saj te nastavitve vplivajo na uspešnost preverjanja pristnosti.
17. Ali lahko uporabim drugega ponudnika OAuth kot Azure?
18. Da, Airflow podpira druge ponudnike OAuth, kot sta Google ali Okta, tako da prilagodi parametre, specifične za ponudnika v OAUTH_PROVIDERS. Vsak ponudnik ima lahko edinstvene URL-je in konfiguracijske zahteve.

Končne misli o varovanju pretoka zraka z Azure Entra ID

Integracija Azure Entra ID z Airflow lahko poenostavi preverjanje pristnosti v organizacijah. S skrbno konfiguracijo parametrov OAuth, kot je jwks_uri in URL-jev žetonov za dostop, vzpostavljate varne povezave, ki zmanjšujejo tveganje nepooblaščenega dostopa. Ta stopnja varnosti je bistvena za vsako organizacijo, ki temelji na podatkih.

Preslikave vlog v Azure omogočajo razširljivo strategijo dostopa v Airflowu, ki temelji na vlogah. S temi preslikavami postane upravljanje uporabnikov in dodeljevanje dovoljenj učinkovitejše, zlasti v večjih skupinah. Jasno razumevanje teh konfiguracij lahko naredi vašo avtorizacijsko nastavitev bolj odporno na prihodnje varnostne potrebe. 🔒