Lösa auktoriseringsproblem i Airflow med Azure Entra ID-integration

Lösning av OAuth-auktoriseringsfel i luftflödet med flera skriptmetoder

Första lösningen - Python Backend-skript för OAuth-auktorisering

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Alternativ Backend Approach - Luftflödeskonfiguration med JWKS och OpenID för säker tokenvalidering

Ytterligare en backend-lösning med fokus på OpenID Connect och JSON Web Key Set-konfiguration i Airflow

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Frontend-skript - JavaScript för OAuth-auktoriseringshantering

En JavaScript-metod för att hantera OAuth-omdirigeringar och fel på frontend

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Viktiga frågor om att integrera Azure Entra ID med Airflow

1. Vad är syftet med AUTH_ROLES_MAPPING parameter i luftflöde?
2. De AUTH_ROLES_MAPPING parametern kopplar Azure-roller till Airflow-roller, vilket möjliggör automatiska rolltilldelningar baserade på gruppmedlemskap i Azure. Detta förenklar åtkomstkontrollen genom att tilldela lämpliga behörigheter till användare som loggar in via Azure Entra ID.
3. Hur fungerar jwks_uri fungerar i OAuth-installationen?
4. De jwks_uri definierar URI:en där Azures publika nycklar kan hämtas för JWT-tokenverifiering. Detta steg är avgörande för att validera tokens äkthet och förhindra obehörig åtkomst.
5. Varför ställs in redirect_uri i OAuth-leverantörer viktigt?
6. De redirect_uri talar om för Azure vart användarna ska skickas efter framgångsrik autentisering. Detta är ofta inställt på Airflow-slutpunkten som hanterar OAuth-svar, vilket möjliggör smidig integration mellan Azure och Airflow.
7. Kan flera roller tilldelas en enda Azure Entra ID-grupp?
8. Ja, flera roller kan mappas till en enda Azure-grupp, vilket möjliggör flexibilitet vid tilldelning av behörigheter. Till exempel kan både "Admin" och "Viewer" roller kopplas till en grupp för överlappande behörigheter.
9. Vad är det bästa sättet att felsöka "Ogiltig JSON Web Key Set"-fel?
10. Se till att jwks_uri är korrekt konfigurerad och tillgänglig. Fel uppstår ofta om slutpunkten inte går att nå eller om Azure Entra ID-nycklar är felaktigt cachade i Airflow.
11. Hur fungerar client_kwargs omfattning förbättra säkerheten?
12. De client_kwargs räckvidden begränsar den data som Airflow kan komma åt från en användarprofil, vilket upprätthåller begränsad åtkomst till känslig information, vilket är nyckeln till efterlevnad i företagsinställningar.
13. Aktiverar WTF_CSRF_ENABLED förbättra säkerheten?
14. Ja, WTF_CSRF_ENABLED ger Cross-Site Request Forgery-skydd för Airflow, vilket förhindrar obehöriga förfrågningar. Denna flagga rekommenderas starkt i produktionsmiljöer för ökad säkerhet.
15. Hur kan jag hantera en nekad inloggningsförfrågan?
16. Granska användarroller i Azure för att bekräfta att de är korrekt tilldelade. Dessutom, verifiera authorize_url och gruppmappning är korrekta, eftersom dessa inställningar påverkar autentiseringsframgången.
17. Kan jag använda en annan OAuth-leverantör än Azure?
18. Ja, Airflow stöder andra OAuth-leverantörer som Google eller Okta genom att justera de leverantörsspecifika parametrarna i OAUTH_PROVIDERS. Varje leverantör kan ha unika webbadresser och konfigurationskrav.

Sista tankar om att säkra luftflödet med Azure Entra ID

Att integrera Azure Entra ID med Airflow kan effektivisera autentisering mellan organisationer. Genom att noggrant konfigurera OAuth-parametrar som jwks_uri och tillgång till token-URL:er upprättar du säkra anslutningar som minimerar risken för obehörig åtkomst. Denna säkerhetsnivå är avgörande för alla datadrivna organisationer.

Rollmappningar i Azure möjliggör en skalbar, rollbaserad åtkomststrategi i Airflow. Med dessa mappningar blir det mer effektivt att hantera användare och tilldela behörigheter, särskilt i större team. En tydlig förståelse för dessa konfigurationer kan göra din auktoriseringskonfiguration mer motståndskraftig mot framtida säkerhetsbehov. 🔒