Accede a la API de REST de Airflow

Managed Airflow (3ª gen.) | Managed Airflow (2ª gen.) | Managed Airflow (1ª gen. heredada)

Apache Airflow tiene una interfaz de la API de REST que puedes usar para realizar tareas como obtener información sobre ejecuciones y tareas de DAG, actualizar DAG, obtener la configuración de Airflow, agregar y borrar conexiones, y enumerar usuarios.

Para ver un ejemplo del uso de la API de REST de Airflow con Cloud Run Functions, consulta Activa DAG con Cloud Run Functions.

Versiones de la API de REST de Airflow

• Airflow 2 usa la API de REST de Airflow v1.
• Airflow dejó de estar disponible en la API de REST experimental.

Configura la API de REST de Airflow

La API de REST de Airflow v1 está habilitada de forma predeterminada en Airflow 2.

Managed Airflow usa su propio backend de autenticación de API.

La autorización funciona de la manera estándar que proporciona Airflow. Cuando un usuario nuevo se autoriza a través de la API, la cuenta del usuario obtiene la función Op de forma predeterminada.

Puedes habilitar o inhabilitar la API de REST de Airflow o cambiar la función de usuario predeterminada si anulas las siguientes opciones de configuración de Airflow:

Sección	Clave	Valor	Notas
api	(Airflow 2.2.5 y versiones anteriores) auth_backend (Airflow 2.3.0 y versiones posteriores) auth_backends	airflow.composer.api.backend.composer_auth	Para inhabilitar la API de REST estable, cambia a airflow.api.auth.backend.deny_all.
api	composer_auth_user_registration_role	Op	Puedes especificar cualquier otro rol.

Permite llamadas a la API de REST de Airflow con el control de acceso al servidor web

Según el método que se use para llamar a la API de REST de Airflow, el método de llamada puede usar una dirección IPv4 o IPv6. Recuerda desbloquear el tráfico de IP a la API de REST de Airflow con el control de acceso al servidor web.

Usa la opción de configuración predeterminada, que es All IP addresses have access (default), si no estás seguro de desde qué direcciones IP se enviarán tus llamadas a la API de REST de Airflow.

Realiza llamadas a la API de REST de Airflow

En esta sección, se proporciona una secuencia de comandos de Python de ejemplo que puedes usar para activar los DAG con la API de REST de Airflow.

En la secuencia de comandos, establece las siguientes variables:

• dag_id: Es el nombre de un DAG, como se define en el archivo fuente del DAG.
• dag_config: Es la configuración para la ejecución del DAG.

• web_server_url: Es la URL de tu servidor web de Airflow. El formato es https://<web-server-id>.composer.googleusercontent.com.

  Importante: No coloques la barra invertida al final de la URL del servidor web.

• (Airflow 3) logical_date: Es la fecha lógica para la ejecución del DAG.

from __future__ import annotations

from typing import Any

import google.auth
from google.auth.transport.requests import AuthorizedSession
import requests


# Following GCP best practices, these credentials should be
# constructed at start-up time and used throughout
# https://cloud.google.com/apis/docs/client-libraries-best-practices
AUTH_SCOPE = "https://www.googleapis.com/auth/cloud-platform"
CREDENTIALS, _ = google.auth.default(scopes=[AUTH_SCOPE])


def make_composer2_web_server_request(
    url: str, method: str = "GET", **kwargs: Any
) -> google.auth.transport.Response:
    """
    Make a request to Cloud Composer 2 environment's web server.
    Args:
      url: The URL to fetch.
      method: The request method to use ('GET', 'OPTIONS', 'HEAD', 'POST', 'PUT',
        'PATCH', 'DELETE')
      **kwargs: Any of the parameters defined for the request function:
                https://github.com/requests/requests/blob/master/requests/api.py
                  If no timeout is provided, it is set to 90 by default.
    """

    authed_session = AuthorizedSession(CREDENTIALS)

    # Set the default timeout, if missing
    if "timeout" not in kwargs:
        kwargs["timeout"] = 90

    return authed_session.request(method, url, **kwargs)


def trigger_dag(web_server_url: str, dag_id: str, data: dict) -> str:
    """
    Make a request to trigger a dag using the stable Airflow 2 REST API.
    https://airflow.apache.org/docs/apache-airflow/stable/stable-rest-api-ref.html

    Args:
      web_server_url: The URL of the Airflow 2 web server.
      dag_id: The DAG ID.
      data: Additional configuration parameters for the DAG run (json).
    """

    endpoint = f"api/v1/dags/{dag_id}/dagRuns"
    request_url = f"{web_server_url}/{endpoint}"
    json_data = {"conf": data}

    response = make_composer2_web_server_request(
        request_url, method="POST", json=json_data
    )

    if response.status_code == 403:
        raise requests.HTTPError(
            "You do not have a permission to perform this operation. "
            "Check Airflow RBAC roles for your account."
            f"{response.headers} / {response.text}"
        )
    elif response.status_code != 200:
        response.raise_for_status()
    else:
        return response.text




if __name__ == "__main__":
    # TODO(developer): replace with your values
    dag_id = "your-dag-id"  # Replace with the ID of the DAG that you want to run.
    dag_config = {
        "your-key": "your-value"
    }  # Replace with configuration parameters for the DAG run.
    # Replace web_server_url with the Airflow web server address. To obtain this
    # URL, run the following command for your environment:
    # gcloud composer environments describe example-environment \
    #  --location=your-composer-region \
    #  --format="value(config.airflowUri)"
    web_server_url = (
        "https://example-airflow-ui-url-dot-us-central1.composer.googleusercontent.com"
    )

    response_text = trigger_dag(
        web_server_url=web_server_url, dag_id=dag_id, data=dag_config
    )

    print(response_text)

Accede a la API de REST de Airflow con una cuenta de servicio

La base de datos de Airflow en versiones anteriores a la 2.3.0 limita la longitud del campo de correo electrónico a 64 caracteres. Las cuentas de servicio a veces tienen direcciones de correo electrónico que superan los 64 caracteres. No es posible crear usuarios de Airflow para esas cuentas de servicio de la manera habitual. Si no hay un usuario de Airflow para esa cuenta de servicio, el acceso a la API de REST de Airflow genera errores HTTP 401 y 403.

Nota: Los errores 401 (no autorizado) y 403 (prohibido) son errores HTTP genéricos. Si sigues recibiendo estos errores después de usar la solución alternativa descrita, verifica otras posibles causas. Por ejemplo, es posible que falten roles de IAM en la cuenta de servicio. Para permitir que una cuenta de servicio acceda a la API de REST de Airflow, otorga un rol de IAM que permita acceder a la interfaz web.

Como solución alternativa, puedes registrar previamente un usuario de Airflow para una cuenta de servicio. Para ello, usa accounts.google.com:NUMERIC_USER_ID como nombre de usuario y cualquier cadena única como correo electrónico.

1. Para obtener NUMERIC_USER_ID para una cuenta de servicio, ejecuta lo siguiente:

   gcloud iam service-accounts describe \
     SA_NAME@PROJECT_ID.iam.gserviceaccount.com \
     --format="value(oauth2ClientId)"
   

   Reemplaza lo siguiente:

   • SA_NAME por el nombre de la cuenta de servicio.
   • PROJECT_ID por el ID del proyecto.

2. Crea un usuario de Airflow con la función Op para la cuenta de servicio:

   IU de Airflow

   1. Ve a la IU de Airflow.

   2. Ve a Seguridad > Listar usuarios y haz clic en Agregar un registro nuevo. Tu usuario de Airflow debe tener la función Admin para abrir esta página.

   3. Especifica accounts.google.com:NUMERIC_USER_ID como nombre de usuario. Reemplaza NUMERIC_USER_ID por el ID de usuario obtenido en el paso anterior.

   4. Especifica un identificador único como correo electrónico. Puedes usar cualquier cadena única.

   5. Especifica la función del usuario. Por ejemplo, Op.

   6. Asegúrate de que esté seleccionada la casilla de verificación ¿Está activo?.

   7. Especifica el nombre y el apellido del usuario. Puedes usar cualquier cadena.

   8. Haz clic en Guardar.

   gcloud

   Ejecuta el siguiente comando de la CLI de Airflow:

   gcloud composer environments run ENVIRONMENT_NAME \
       --location LOCATION \
       users create -- \
       -u accounts.google.com:NUMERIC_USER_ID \
       -e UNIQUE_ID  \
       -f UNIQUE_ID \
       -l - -r Op --use-random-password
   

   Reemplaza lo siguiente:

   • ENVIRONMENT_NAME por el nombre del entorno.
   • LOCATION por la región en la que se encuentra el entorno.
   • NUMERIC_USER_ID por el ID de usuario obtenido en el paso anterior.
   • UNIQUE_ID por el identificador del usuario de Airflow. Puedes usar cualquier cadena única.

3. Después de crear un usuario de Airflow para una cuenta de servicio, una persona que llama autenticada como la cuenta de servicio se reconoce como un usuario registrado previamente y se accede a Airflow.

   Nota: Para las configuraciones de la federación de identidades de personal: las cuentas de servicio se consideran Cuentas de Google, incluso si usas la federación de identidades de personal. Cuando interactúes con la IU de Airflow con una cuenta de servicio, asegúrate de usar las URLs dedicadas a las Cuentas de Google. Para obtener más información, consulta Accede a entornos con la federación de identidades de personal.

Escala el componente de la API de REST de Airflow

Los extremos de la API de REST de Airflow y la IU de Airflow se ejecutan dentro del servidor web de Airflow. Si usas la API de REST de forma intensiva, considera aumentar la cantidad de CPU y memoria disponibles para el servidor web de Airflow, según la carga esperada.

¿Qué sigue?

• Activa DAG con Cloud Run Functions
• Interfaz de línea de comandos de Airflow