Azure Entra ID انٹیگریشن کے ساتھ ایئر فلو میں اجازت کے مسائل کو حل کرنا

ایک سے زیادہ اسکرپٹنگ اپروچز کے ساتھ ایئر فلو میں OAuth کی اجازت کی خرابیوں کو حل کرنا

پہلا حل - OAuth کی اجازت کے لیے ازگر کا بیک اینڈ اسکرپٹ

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

متبادل بیک اینڈ اپروچ - محفوظ ٹوکن کی توثیق کے لیے JWKS اور OpenID کا استعمال کرتے ہوئے ایئر فلو کنفیگریشن

Airflow میں OpenID Connect اور JSON Web Key Set کنفیگریشن پر فوکس کے ساتھ ایک اور بیک اینڈ حل

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

فرنٹ اینڈ اسکرپٹ - جاوا اسکرپٹ برائے OAuth اتھارٹی ہینڈلنگ

فرنٹ اینڈ پر OAuth ری ڈائریکٹس اور غلطیوں سے نمٹنے کے لیے جاوا اسکرپٹ کا طریقہ

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Azure Entra ID کو Airflow کے ساتھ مربوط کرنے سے متعلق ضروری سوالات

1. کا مقصد کیا ہے AUTH_ROLES_MAPPING ایئر فلو میں پیرامیٹر؟
2. دی AUTH_ROLES_MAPPING پیرامیٹر Azure رولز کو Airflow رولز سے جوڑتا ہے، Azure میں گروپ ممبرشپ کی بنیاد پر خودکار رول اسائنمنٹس کو فعال کرتا ہے۔ یہ Azure Entra ID کے ذریعے لاگ ان کرنے والے صارفین کو مناسب اجازتیں تفویض کرکے رسائی کے کنٹرول کو آسان بناتا ہے۔
3. کیسے کرتا ہے jwks_uri OAuth سیٹ اپ میں کام کرتے ہیں؟
4. دی jwks_uri URI کی وضاحت کرتا ہے جہاں Azure کی عوامی چابیاں JWT ٹوکن کی تصدیق کے لیے حاصل کی جا سکتی ہیں۔ یہ قدم ٹوکنز کی صداقت کی توثیق کرنے، غیر مجاز رسائی کو روکنے کے لیے اہم ہے۔
5. کیوں ترتیب دے رہا ہے۔ redirect_uri OAuth فراہم کنندگان میں اہم ہے؟
6. دی redirect_uri Azure کو بتاتا ہے کہ کامیاب تصدیق کے بعد صارفین کو کہاں بھیجنا ہے۔ یہ اکثر ائیر فلو اینڈ پوائنٹ پر سیٹ کیا جاتا ہے OAuth کے جوابات کو ہینڈل کرتے ہوئے، Azure اور Airflow کے درمیان ہموار انضمام کی اجازت دیتا ہے۔
7. کیا ایک ہی Azure Entra ID گروپ کو متعدد کردار تفویض کیے جا سکتے ہیں؟
8. جی ہاں، متعدد کرداروں کو ایک ہی Azure گروپ میں میپ کیا جا سکتا ہے، جس سے اجازتیں تفویض کرنے میں لچک پیدا ہوتی ہے۔ مثال کے طور پر، "ایڈمن" اور "ناظر" دونوں کردار اوور لیپنگ اجازتوں کے لیے کسی گروپ کے ساتھ منسلک ہو سکتے ہیں۔
9. "غلط JSON ویب کلیدی سیٹ" کی خرابیوں کو دور کرنے کا بہترین طریقہ کیا ہے؟
10. یقینی بنائیں jwks_uri صحیح طریقے سے ترتیب دیا گیا ہے اور قابل رسائی ہے۔ خرابیاں اکثر اس صورت میں ہوتی ہیں جب اختتامی نقطہ ناقابل رسائی ہو یا Azure Entra ID کیز غلط طریقے سے Airflow میں کیش ہو جائیں۔
11. کیسے کرتا ہے client_kwargs دائرہ کار سیکورٹی کو بڑھانے؟
12. دی client_kwargs دائرہ کار صارف کے پروفائل سے ایئر فلو تک رسائی حاصل کرنے والے ڈیٹا کو محدود کرتا ہے، حساس معلومات تک محدود رسائی کو نافذ کرتا ہے، جو کارپوریٹ سیٹنگز میں تعمیل کے لیے کلید ہے۔
13. قابل بناتا ہے۔ WTF_CSRF_ENABLED سیکورٹی کو بہتر بنانے؟
14. ہاں، WTF_CSRF_ENABLED غیر مجاز درخواستوں کو روکتے ہوئے، ایئر فلو کے لیے کراس سائٹ درخواست کی جعلسازی سے تحفظ فراہم کرتا ہے۔ اضافی سیکورٹی کے لیے پیداواری ماحول میں اس جھنڈے کی انتہائی سفارش کی جاتی ہے۔
15. میں انکار شدہ سائن ان درخواست کو کیسے ہینڈل کر سکتا ہوں؟
16. Azure میں صارف کے کرداروں کا جائزہ لیں تاکہ یہ تصدیق ہو سکے کہ وہ صحیح طریقے سے تفویض کیے گئے ہیں۔ مزید برآں، تصدیق کریں۔ authorize_url اور گروپ میپنگ درست ہے، کیونکہ یہ سیٹنگز تصدیق کی کامیابی کو متاثر کرتی ہیں۔
17. کیا میں Azure سے مختلف OAuth فراہم کنندہ استعمال کر سکتا ہوں؟
18. ہاں، ایئر فلو دیگر OAuth فراہم کنندگان جیسے Google یا Okta کو فراہم کنندہ کے مخصوص پیرامیٹرز کو ایڈجسٹ کرکے سپورٹ کرتا ہے۔ OAUTH_PROVIDERS. ہر فراہم کنندہ کے پاس منفرد URLs اور کنفیگریشن کے تقاضے ہو سکتے ہیں۔

Azure Entra ID کے ساتھ ایئر فلو کو محفوظ بنانے کے بارے میں حتمی خیالات

Azure Entra ID کو Airflow کے ساتھ مربوط کرنا تمام تنظیموں میں تصدیق کو ہموار کر سکتا ہے۔ OAuth پیرامیٹرز کو احتیاط سے ترتیب دے کر جیسے jwks_uri اور ٹوکن URLs تک رسائی حاصل کریں، آپ محفوظ کنکشن قائم کر رہے ہیں جو غیر مجاز رسائی کے خطرے کو کم کرتے ہیں۔ سیکیورٹی کی یہ سطح کسی بھی ڈیٹا پر مبنی تنظیم کے لیے ضروری ہے۔

Azure میں رول میپنگز ایر فلو میں توسیع پذیر، کردار پر مبنی رسائی کی حکمت عملی کی اجازت دیتی ہیں۔ ان نقشوں کے ساتھ، صارفین کو منظم کرنا اور اجازتیں تفویض کرنا خاص طور پر بڑی ٹیموں میں زیادہ موثر ہو جاتا ہے۔ ان کنفیگریشنز کی واضح تفہیم آپ کے اجازت نامے کے سیٹ اپ کو مستقبل کی حفاظتی ضروریات کے لیے مزید لچکدار بنا سکتی ہے۔ 🔒