Вирішення проблем авторизації в Airflow за допомогою інтеграції Azure Entra ID

Вирішення помилок авторизації OAuth у Airflow за допомогою кількох сценаріїв

Перше рішення – серверний скрипт Python для авторизації OAuth

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Альтернативний серверний підхід – конфігурація повітряного потоку за допомогою JWKS і OpenID для перевірки безпечних токенів

Ще одне серверне рішення з фокусом на конфігурації OpenID Connect і JSON Web Key Set у Airflow

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Сценарій інтерфейсу — JavaScript для обробки авторизації OAuth

Підхід JavaScript для обробки переспрямувань OAuth і помилок у інтерфейсі

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Основні запитання щодо інтеграції Azure Entra ID із Airflow

1. Яка мета AUTH_ROLES_MAPPING параметр у Airflow?
2. The AUTH_ROLES_MAPPING параметр з’єднує ролі Azure з ролями Airflow, уможливлюючи автоматичне призначення ролей на основі членства в групах в Azure. Це спрощує контроль доступу, призначаючи відповідні дозволи користувачам, які входять у систему через Azure Entra ID.
3. Як працює jwks_uri працювати в налаштуваннях OAuth?
4. The jwks_uri визначає URI, де можна отримати відкриті ключі Azure для перевірки маркера JWT. Цей крок має вирішальне значення для перевірки автентичності токенів і запобігання несанкціонованому доступу.
5. Чому встановлюється redirect_uri у постачальників OAuth важливо?
6. The redirect_uri повідомляє Azure, куди направляти користувачів після успішної автентифікації. Це часто встановлюється на кінцеву точку Airflow, яка обробляє відповіді OAuth, що забезпечує плавну інтеграцію між Azure і Airflow.
7. Чи можна призначити кілька ролей одній групі ідентифікаторів Azure Entra?
8. Так, кілька ролей можна зіставити з однією групою Azure, що забезпечує гнучкість у призначенні дозволів. Наприклад, ролі «Адміністратор» і «Переглядач» можна пов’язати з групою для накладання дозволів.
9. Який найкращий спосіб усунути помилки «Недійсний набір веб-ключів JSON»?
10. Забезпечити jwks_uri правильно налаштований і доступний. Помилки часто виникають, якщо кінцева точка недоступна або якщо ключі Azure Entra ID неправильно кешуються в Airflow.
11. Як працює client_kwargs сфера підвищення безпеки?
12. The client_kwargs обсяг обмежує дані, до яких Airflow може отримати доступ із профілю користувача, забезпечуючи обмежений доступ до конфіденційної інформації, яка є ключовою для відповідності в корпоративних налаштуваннях.
13. Вмикає WTF_CSRF_ENABLED покращити безпеку?
14. так WTF_CSRF_ENABLED забезпечує захист Airflow від міжсайтової підробки запитів, запобігаючи несанкціонованим запитам. Цей прапор настійно рекомендується використовувати у виробничих середовищах для додаткової безпеки.
15. Як я можу обробити відхилений запит на вхід?
16. Перегляньте ролі користувачів в Azure, щоб переконатися, що вони правильно призначені. Додатково перевірте authorize_url і зіставлення груп є правильними, оскільки ці налаштування впливають на успішність автентифікації.
17. Чи можу я використовувати інший постачальник OAuth, ніж Azure?
18. Так, Airflow підтримує інших постачальників OAuth, як-от Google або Okta, шляхом налаштування параметрів постачальника в OAUTH_PROVIDERS. Кожен постачальник може мати унікальні URL-адреси та вимоги до конфігурації.

Останні думки щодо захисту повітряного потоку за допомогою Azure Entra ID

Інтеграція Azure Entra ID із Airflow може оптимізувати автентифікацію в усіх організаціях. Ретельно налаштувавши параметри OAuth, наприклад jwks_uri і URL-адреси маркерів доступу, ви встановлюєте безпечні з’єднання, що мінімізує ризик несанкціонованого доступу. Цей рівень безпеки є важливим для будь-якої організації, що керується даними.

Зіставлення ролей в Azure дозволяє використовувати масштабовану стратегію доступу на основі ролей у Airflow. Завдяки цим зіставленням керування користувачами та призначення дозволів стає ефективнішим, особливо у великих командах. Чітке розуміння цих конфігурацій може зробити налаштування авторизації більш стійкими до майбутніх потреб безпеки. 🔒