Azure Entra ID Entegrasyonu ile Hava Akışındaki Yetkilendirme Sorunlarını Çözme

Çoklu Komut Dosyası Yaklaşımlarıyla Hava Akışındaki OAuth Yetkilendirme Hatalarını Çözme

İlk Çözüm - OAuth Yetkilendirmesi için Python Arka Uç Komut Dosyası

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Alternatif Arka Uç Yaklaşımı - Güvenli Belirteç Doğrulaması için JWKS ve OpenID Kullanan Hava Akışı Yapılandırması

Airflow'ta OpenID Connect ve JSON Web Anahtar Seti yapılandırmasına odaklanan başka bir arka uç çözümü

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Ön Uç Komut Dosyası - OAuth Yetkilendirme İşlemi için JavaScript

OAuth yönlendirmelerini ve ön uçtaki hataları işlemeye yönelik bir JavaScript yaklaşımı

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Azure Entra ID'yi Airflow ile Tümleştirmeye İlişkin Temel Sorular

1. Amacı nedir? AUTH_ROLES_MAPPING Hava akışındaki parametre?
2. AUTH_ROLES_MAPPING parametresi, Azure rollerini Airflow rollerine bağlayarak Azure'daki grup üyeliklerine dayalı otomatik rol atamalarına olanak tanır. Bu, Azure Entra ID aracılığıyla oturum açan kullanıcılara uygun izinler atayarak erişim kontrolünü basitleştirir.
3. Nasıl jwks_uri OAuth kurulumunda çalışıyor musunuz?
4. jwks_uri JWT belirteci doğrulaması için Azure'un ortak anahtarlarının alınabileceği URI'yi tanımlar. Bu adım, tokenlerin orijinalliğini doğrulamak ve yetkisiz erişimi önlemek için çok önemlidir.
5. Neden ayarlanıyor? redirect_uri OAuth sağlayıcılarında önemli mi?
6. redirect_uri Başarılı kimlik doğrulamanın ardından Azure'a kullanıcıları nereye göndereceğini söyler. Bu genellikle OAuth yanıtlarını işleyen Airflow uç noktası olarak ayarlanır ve Azure ile Airflow arasında sorunsuz entegrasyona olanak tanır.
7. Tek bir Azure Entra ID grubuna birden fazla rol atanabilir mi?
8. Evet, birden çok rol tek bir Azure grubuna eşlenebilir, bu da izinlerin atanmasında esneklik sağlar. Örneğin, izinlerin çakışması nedeniyle hem "Yönetici" hem de "Görüntüleyici" rolleri bir grupla ilişkilendirilebilir.
9. "Geçersiz JSON Web Anahtarı Kümesi" hatalarını gidermenin en iyi yolu nedir?
10. Şunlardan emin olun: jwks_uri doğru yapılandırılmış ve erişilebilir. Uç noktaya ulaşılamadığında veya Azure Entra ID anahtarları Airflow'ta yanlış şekilde önbelleğe alındığında hatalar sıklıkla ortaya çıkar.
11. Nasıl client_kwargs kapsam güvenliği artırıyor mu?
12. client_kwargs kapsam, Airflow'un bir kullanıcı profilinden erişebileceği verileri sınırlayarak, kurumsal ayarlarda uyumluluk açısından önemli olan hassas bilgilere erişimin kısıtlanmasını zorunlu kılar.
13. Etkinleştiriyor mu WTF_CSRF_ENABLED güvenliği artırmak mı?
14. Evet, WTF_CSRF_ENABLED Yetkisiz istekleri önleyerek Hava Akışı için Siteler Arası İstek Sahteciliği koruması sağlar. Bu işaret, ek güvenlik için üretim ortamlarında şiddetle tavsiye edilir.
15. Reddedilen bir oturum açma isteğini nasıl halledebilirim?
16. Doğru şekilde atandıklarını doğrulamak için Azure'daki kullanıcı rollerini inceleyin. Ek olarak, doğrulayın authorize_url ve grup eşleme doğrudur çünkü bu ayarlar kimlik doğrulama başarısını etkiler.
17. Azure'dan farklı bir OAuth sağlayıcısı kullanabilir miyim?
18. Evet, Airflow, sağlayıcıya özel parametreleri ayarlayarak Google veya Okta gibi diğer OAuth sağlayıcılarını destekler. OAUTH_PROVIDERS. Her sağlayıcının benzersiz URL'leri ve yapılandırma gereksinimleri olabilir.

Azure Entra ID ile Hava Akışını Güvenceye Alma Konusunda Son Düşünceler

Azure Entra ID'nin Airflow ile entegre edilmesi, kuruluşlar arasında kimlik doğrulamayı kolaylaştırabilir. OAuth parametrelerini dikkatlice yapılandırarak jwks_uri ve belirteç URL'lerine erişerek, yetkisiz erişim riskini en aza indiren güvenli bağlantılar kurmuş olursunuz. Bu düzeyde bir güvenlik, veriye dayalı her kuruluş için gereklidir.

Azure'daki rol eşlemeleri Airflow'ta ölçeklenebilir, rol tabanlı bir erişim stratejisine olanak tanır. Bu eşlemelerle, özellikle büyük ekiplerde kullanıcıları yönetmek ve izinleri atamak daha verimli hale gelir. Bu yapılandırmaların net bir şekilde anlaşılması, yetkilendirme kurulumunuzun gelecekteki güvenlik gereksinimlerine karşı daha dayanıklı olmasını sağlayabilir. 🔒