Решавање проблема са ауторизацијом у Аирфлов-у помоћу Азуре Ентра ИД интеграције

Решавање грешака ауторизације ОАутх-а у протоку ваздуха са вишеструким приступима скриптама

Прво решење - Питхон позадинска скрипта за ОАутх ауторизацију

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Алтернативни позадински приступ – конфигурација протока ваздуха користећи ЈВКС и ОпенИД за безбедну проверу токена

Још једно позадинско решење са фокусом на ОпенИД Цоннецт и конфигурацију ЈСОН веб кључева у Аирфлов-у

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Фронтенд скрипта – ЈаваСцрипт за руковање ОАутх ауторизацијом

ЈаваСцрипт приступ за руковање ОАутх преусмеравањима и грешкама на фронтенду

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Основна питања о интеграцији Азуре Ентра ИД-а са Аирфлов-ом

1. Која је сврха AUTH_ROLES_MAPPING параметар у Аирфлов?
2. Тхе AUTH_ROLES_MAPPING параметар повезује Азуре улоге са Аирфлов улогама, омогућавајући аутоматизовано додељивање улога на основу чланства у групама у Азуре-у. Ово поједностављује контролу приступа додељивањем одговарајућих дозвола корисницима који се пријављују преко Азуре Ентра ИД-а.
3. Како се jwks_uri радити у ОАутх подешавању?
4. Тхе jwks_uri дефинише УРИ где се Азуре јавни кључеви могу преузети за верификацију ЈВТ токена. Овај корак је кључан за проверу аутентичности токена, спречавајући неовлашћени приступ.
5. Зашто је постављање redirect_uri у ОАутх добављачима важно?
6. Тхе redirect_uri говори Азуре-у где да пошаље кориснике након успешне аутентификације. Ово се често поставља на крајњу тачку Аирфлов која рукује ОАутх одговорима, омогућавајући глатку интеграцију између Азуре и Аирфлов-а.
7. Да ли се једној Азуре Ентра ИД групи може доделити више улога?
8. Да, више улога се може мапирати у једну Азуре групу, што омогућава флексибилност у додељивању дозвола. На пример, и улоге „Администратор“ и „Гледалац“ могу бити повезане са групом ради преклапања дозвола.
9. Који је најбољи начин да се отклоне грешке „Неважећи ЈСОН скуп веб кључева“?
10. Осигурајте jwks_uri је исправно конфигурисан и доступан. Често се јављају грешке ако је крајња тачка недоступна или ако су кључеви Азуре Ентра ИД-а погрешно кеширани у Аирфлов-у.
11. Како се client_kwargs опсег побољшања безбедности?
12. Тхе client_kwargs ограничава опсег података којима Аирфлов може приступити из корисничког профила, намећући ограничен приступ осетљивим информацијама, што је кључно за усклађеност у корпоративним подешавањима.
13. Омогућава WTF_CSRF_ENABLED побољшати безбедност?
14. да, WTF_CSRF_ENABLED пружа заштиту од фалсификовања захтева на више локација за проток ваздуха, спречавајући неовлашћене захтеве. Ова заставица се топло препоручује у производним окружењима ради додатне безбедности.
15. Како могу да решим захтев за одбијену пријаву?
16. Прегледајте улоге корисника у Азуре-у да бисте потврдили да су исправно додељене. Поред тога, проверите authorize_url и групно мапирање су исправни, јер ова подешавања утичу на успех аутентификације.
17. Да ли могу да користим другог ОАутх провајдера од Азуре-а?
18. Да, Аирфлов подржава друге ОАутх добављаче као што су Гоогле или Окта прилагођавањем параметара специфичних за добављача у OAUTH_PROVIDERS. Сваки провајдер може имати јединствене УРЛ адресе и конфигурационе захтеве.

Завршна размишљања о обезбеђивању протока ваздуха помоћу Азуре Ентра ИД-а

Интеграција Азуре Ентра ИД-а са Аирфлов-ом може поједноставити аутентификацију у свим организацијама. Пажљивим конфигурисањем ОАутх параметара као што је јвкс_ури и УРЛ-овима токена за приступ, успостављате безбедне везе које минимизирају ризик од неовлашћеног приступа. Овај ниво безбедности је од суштинског значаја за сваку организацију која се руководи подацима.

Мапирања улога у Азуре-у омогућавају скалабилну стратегију приступа засновану на улогама у Аирфлов-у. Са овим мапама, управљање корисницима и додељивање дозвола постаје ефикасније, посебно у већим тимовима. Јасно разумевање ових конфигурација може учинити ваше подешавање ауторизације отпорнијим на будуће безбедносне потребе. 🔒