Giải quyết các vấn đề về ủy quyền trong luồng không khí bằng tích hợp Azure Entra ID

Giải quyết các lỗi ủy quyền OAuth trong luồng không khí bằng nhiều phương pháp tiếp cận tập lệnh

Giải pháp đầu tiên - Tập lệnh phụ trợ Python để ủy quyền OAuth

# Import required modules and configure OAuth settings
import os
from flask import Flask, redirect, url_for, session
from flask_oauthlib.client import OAuth
# Define environment variables
tenant_id = os.getenv("AAD_TENANT_ID")
client_id = os.getenv("AAD_CLIENT_ID")
client_secret = os.getenv("AAD_CLIENT_SECRET")
app = Flask(__name__)
app.secret_key = 'supersecretkey'
oauth = OAuth(app)
# Define OAuth configuration with Flask-OAuthlib
azure = oauth.remote_app('azure',
    consumer_key=client_id,
    consumer_secret=client_secret,
    request_token_params={'scope': 'openid email profile'},
    base_url=f"https://login.microsoftonline.com/{tenant_id}",
    access_token_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token",
    authorize_url=f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize"
)
@app.route('/login')
def login():
    return azure.authorize(callback=url_for('authorized', _external=True))
# OAuth authorization callback route
@app.route('/oauth-authorized/azure')
def authorized():
    response = azure.authorized_response()
    if response is None or response.get('access_token') is None:
        return 'Access Denied'
    # Handle successful authorization response
    session['azure_token'] = (response['access_token'], '')
    return redirect(url_for('home'))
@azure.tokengetter
def get_azure_oauth_token():
    return session.get('azure_token')
# Run the Flask app
if __name__ == '__main__':
    app.run()

Phương pháp tiếp cận phụ trợ thay thế - Cấu hình luồng không khí bằng cách sử dụng JWKS và OpenID để xác thực mã thông báo an toàn

Một giải pháp phụ trợ khác tập trung vào cấu hình OpenID Connect và JSON Web Key Set trong Airflow

import os
from airflow.www.fab_security.manager import AUTH_OAUTH
# Required Airflow and custom modules for handling Azure OAuth
from airflow.auth.managers.fab.security_manager.override import FabAirflowSecurityManagerOverride
from airflow.utils.log.logging_mixin import LoggingMixin
class AzureAuthConfig:
    AAD_TENANT_ID = os.getenv('AAD_TENANT_ID')
    AAD_CLIENT_ID = os.getenv('AAD_CLIENT_ID')
    AAD_CLIENT_SECRET = os.getenv('AAD_CLIENT_SECRET')
AUTH_TYPE = AUTH_OAUTH
OAUTH_PROVIDERS = [{
    'name': 'azure',
    'remote_app': {
        'client_id': AzureAuthConfig.AAD_CLIENT_ID,
        'client_secret': AzureAuthConfig.AAD_CLIENT_SECRET,
        'authorize_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/authorize",
        'access_token_url': f"https://login.microsoftonline.com/{AzureAuthConfig.AAD_TENANT_ID}/oauth2/v2.0/token",
        'jwks_uri': 'https://login.microsoftonline.com/common/discovery/v2.0/keys',
        'redirect_uri': 'https://airflow.xyz.com/oauth-authorized/azure'
    }},
# Ensure authentication maps to the correct role group in Azure
AUTH_ROLES_MAPPING = {
    "airflow_nonprod_admin": ["Admin"],
    "airflow_nonprod_op": ["Op"],
    "airflow_nonprod_viewer": ["Viewer"],
}

Frontend Script - JavaScript để xử lý ủy quyền OAuth

Một cách tiếp cận JavaScript để xử lý các lỗi và chuyển hướng OAuth trên giao diện người dùng

// JavaScript function to handle authorization redirect
const authorizeUser = () => {
  const oauthUrl = 'https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize';
  const params = {
    client_id: 'your-client-id',
    redirect_uri: 'https://airflow.xyz.com/oauth-authorized/azure',
    response_type: 'token',
    scope: 'openid email profile'
  };
  const queryString = new URLSearchParams(params).toString();
  window.location.href = \`\${oauthUrl}?\${queryString}\`;
};
// Handle OAuth errors in the frontend
const handleOAuthError = (error) => {
  if (error === 'access_denied') {
    alert('Access Denied. Please contact your admin.');
  } else {
    alert('An unexpected error occurred.');
  }
};
// Bind function to login button
document.getElementById('login-btn').addEventListener('click', authorizeUser);

Các câu hỏi cần thiết về việc tích hợp Azure Entra ID với Airflow

1. Mục đích của việc này là gì AUTH_ROLES_MAPPING tham số trong Airflow?
2. các AUTH_ROLES_MAPPING tham số kết nối các vai trò Azure với các vai trò Airflow, cho phép gán vai trò tự động dựa trên tư cách thành viên nhóm trong Azure. Điều này giúp đơn giản hóa việc kiểm soát quyền truy cập bằng cách gán quyền thích hợp cho người dùng đăng nhập qua Azure Entra ID.
3. Làm thế nào jwks_uri hoạt động trong thiết lập OAuth?
4. các jwks_uri xác định URI nơi có thể truy xuất khóa công khai của Azure để xác minh mã thông báo JWT. Bước này rất quan trọng để xác thực tính xác thực của mã thông báo, ngăn chặn truy cập trái phép.
5. Tại sao lại thiết lập redirect_uri trong nhà cung cấp OAuth quan trọng?
6. các redirect_uri cho Azure biết nơi gửi người dùng sau khi xác thực thành công. Điều này thường được đặt thành các phản hồi OAuth xử lý điểm cuối Airflow, cho phép tích hợp trơn tru giữa Azure và Airflow.
7. Có thể gán nhiều vai trò cho một nhóm ID Azure Entra không?
8. Có, nhiều vai trò có thể được ánh xạ tới một nhóm Azure duy nhất, cho phép linh hoạt trong việc gán quyền. Ví dụ: cả vai trò "Quản trị viên" và "Người xem" đều có thể được liên kết với một nhóm để có các quyền chồng chéo.
9. Cách tốt nhất để khắc phục lỗi “Bộ khóa web JSON không hợp lệ” là gì?
10. Đảm bảo jwks_uri được cấu hình đúng và có thể truy cập được. Lỗi thường xảy ra nếu không thể truy cập điểm cuối hoặc nếu khóa ID Azure Entra được lưu vào bộ nhớ đệm không chính xác trong Airflow.
11. Làm thế nào client_kwargs phạm vi nâng cao an ninh?
12. các client_kwargs phạm vi giới hạn dữ liệu mà Airflow có thể truy cập từ hồ sơ người dùng, thực thi quyền truy cập hạn chế vào thông tin nhạy cảm, đây là chìa khóa để tuân thủ cài đặt của công ty.
13. Có kích hoạt không WTF_CSRF_ENABLED cải thiện an ninh?
14. Đúng, WTF_CSRF_ENABLED cung cấp tính năng bảo vệ Giả mạo yêu cầu trên nhiều trang web cho Airflow, ngăn chặn các yêu cầu trái phép. Cờ này rất được khuyến khích trong môi trường sản xuất để tăng cường bảo mật.
15. Làm cách nào để xử lý yêu cầu đăng nhập bị từ chối?
16. Xem lại vai trò của người dùng trong Azure để xác nhận rằng chúng được chỉ định chính xác. Ngoài ra, xác minh authorize_url và ánh xạ nhóm đều chính xác vì những cài đặt này ảnh hưởng đến thành công của quá trình xác thực.
17. Tôi có thể sử dụng nhà cung cấp OAuth khác với Azure không?
18. Có, Airflow hỗ trợ các nhà cung cấp OAuth khác như Google hoặc Okta bằng cách điều chỉnh các thông số dành riêng cho nhà cung cấp trong OAUTH_PROVIDERS. Mỗi nhà cung cấp có thể có các URL và yêu cầu cấu hình riêng.

Suy nghĩ cuối cùng về việc đảm bảo luồng không khí với Azure Entra ID

Việc tích hợp Azure Entra ID với Airflow có thể hợp lý hóa quá trình xác thực giữa các tổ chức. Bằng cách định cấu hình cẩn thận các tham số OAuth như jwks_uri và truy cập các URL mã thông báo, bạn đang thiết lập các kết nối an toàn nhằm giảm thiểu rủi ro truy cập trái phép. Mức độ bảo mật này rất cần thiết cho bất kỳ tổ chức nào hoạt động dựa trên dữ liệu.

Ánh xạ vai trò trong Azure cho phép chiến lược truy cập dựa trên vai trò có thể mở rộng trong Airflow. Với những ánh xạ này, việc quản lý người dùng và phân quyền trở nên hiệu quả hơn, đặc biệt là trong các nhóm lớn hơn. Sự hiểu biết rõ ràng về các cấu hình này có thể giúp thiết lập ủy quyền của bạn linh hoạt hơn trước các nhu cầu bảo mật trong tương lai. 🔒