Über die Workforce Identity-Föderation auf Umgebungen zugreifen

Managed Airflow (Gen 3) | Managed Airflow (Gen 2) | Managed Airflow (Legacy Gen 1)

Auf dieser Seite wird beschrieben, wie Sie den Nutzerzugriff auf Ihre Managed Airflow-Umgebung mit der Mitarbeiteridentitätsföderation konfigurieren.

Mitarbeiteridentitätsföderation in Managed Airflow

Mit der Mitarbeiteridentitätsföderation können Sie einen externen Identitäts anbieter (Identity Provider, IdP) verwenden, um eine Gruppe von Nutzern, z. B. Mitarbeiter, Partner und Auftragnehmer, per IAM zu authentifizieren und zu autorisieren, damit die Nutzer auf Dienste zugreifen können. Google Cloud Weitere Informationen zur Mitarbeiteridentitätsföderation finden Sie unter Mitarbeiteridentitätsföderation.

Wenn die Mitarbeiteridentitätsföderation in Ihrem Projekt konfiguriert ist, können Sie auf folgende Weise auf Ihre Umgebung zugreifen:

  • Seite „Managed Airflow“ in der Google Cloud Console
  • Airflow-UI
  • Google Cloud CLI, einschließlich der Ausführung von Airflow CLI-Befehlen
  • Cloud Composer API
  • Airflow REST API

Hinweis

  • Sie müssen Ihre Umgebung nicht auf eine bestimmte Weise konfigurieren, um die Mitarbeiteridentitätsföderation zu unterstützen. Alle Airflow-Builds in Managed Airflow (Gen 3) unterstützen die Mitarbeiteridentitätsföderation.

  • Für den Bucket der Umgebung gelten die Cloud Storage-Einschränkungen für die Mitarbeiteridentitätsföderation. Insbesondere müssen Sie den einheitlichen Zugriff auf Bucket-Ebene für den Bucket der Umgebung aktivieren, damit externe Identitäten ihre DAGs und Dateien in diesen Bucket hochladen können.

  • Von Airflow gesendete E‑Mails enthalten nur die Airflow-UI-URL für Google-Konten. Da externe Identitäten nur über die Airflow-UI-URL für externe Identitäten auf die Airflow-UI zugreifen können, muss der Link angepasst werden (in die URL für externe Identitäten geändert werden).

  • Managed Airflow unterstützt die Verwendung von Drittanbieteridentitäten in Regeln für ein- und ausgehenden Traffic nicht, um Apache Airflow-UI-Vorgänge zu ermöglichen. Sie können jedoch den Identitätstyp ANY_IDENTITY in Regeln für ein- und ausgehenden Traffic verwenden, um den Zugriff auf alle Identitäten, einschließlich Drittanbieteridentitäten, zu ermöglichen. Weitere Informationen zum ANY_IDENTITY Identitätstyp finden Sie unter Regeln für ein- und ausgehenden Traffic.

Zugriff auf Ihre Umgebung mit der Mitarbeiteridentitätsföderation einrichten

In diesem Abschnitt werden die Schritte zum Konfigurieren des Zugriffs für externe Identitäten auf Ihre Managed Airflow-Umgebung beschrieben.

Identitätsanbieter konfigurieren

Konfigurieren Sie die Mitarbeiteridentitätsföderation für Ihren Identitätsanbieter durch Befolgen der Anleitung Mitarbeiteridentitätsföderation konfigurieren.

Externen Identitäten IAM-Rollen zuweisen

Weisen Sie in Identity and Access Management Gruppen externer Identitäten IAM-Rollen zu, damit sie auf Ihre Umgebung zugreifen und mit ihr interagieren können:

  • Eine Liste der spezifischen Rollen für Managed Airflow finden Sie unter Nutzern Rollen zuweisen. Mit der Rolle Umgebungsnutzer und Betrachter von Storage-Objekten (composer.environmentAndStorageObjectViewer) kann ein Nutzer beispielsweise Umgebungen ansehen, auf die Airflow-UI zugreifen, DAGs über die DAG-UI ansehen und auslösen sowie Objekte in Umgebungs-Buckets ansehen.

  • Eine Anleitung zum Zuweisen dieser Rollen zu externen Nutzern finden Sie unter Hauptkonten IAM-Rollen gewähren.

  • Ein Format zum Darstellen externer Identitäten in IAM Richtlinien finden Sie unter Workforce-Pool-Nutzer in IAM-Richtlinien darstellen.

Prüfen, ob neue Nutzer in der Airflow-UI-Zugriffssteuerung die richtigen Airflow-Rollen erhalten

In Managed Airflow werden Airflow-Nutzer für externe Identitäten genauso behandelt wie für Google-Kontonutzer. Anstelle einer E‑Mail-Adresse wird eine Hauptkonto-ID verwendet. Wenn eine externe Identität zum ersten Mal auf die Airflow-UI zugreift, wird automatisch ein Airflow-Nutzer mit der Standardrolle im rollenbasierten Airflow-Zugriffssteuerungssystem registriert.

Prüfen Sie, ob neue Nutzer in der Airflow-UI-Zugriffssteuerung die richtigen Airflow-Rollen erhalten. Es stehen zwei Optionen zur Verfügung:

  • Lassen Sie externen Identitäten die Standardrolle zuweisen, nachdem sie zum ersten Mal auf die Airflow-UI zugegriffen haben. Bei Bedarf können Airflow-Administratoren diese Rolle dann in eine andere ändern.

  • Registrieren Sie externe Identitäten vorab mit einer Reihe erforderlicher Rollen, indem Sie Airflow-Nutzereinträge hinzufügen, bei denen die Felder für den Nutzernamen und die E‑Mail-Adresse auf ihre Hauptkonto-IDs festgelegt sind. Auf diese Weise erhalten externe Identitäten die Rolle, die Sie ihnen zugewiesen haben, nicht die Standardrolle.

Auf die Seite „Managed Airflow“ in der Google Cloud Console zugreifen

Google Cloud Über die Console für die Mitarbeiteridentitätsföderation können Sie auf die Seite „Managed Airflow“ zugreifen.

Auf der Seite Composer in der Google Cloud Console für die Mitarbeiteridentitätsföderation können Sie auf die UI zum Verwalten von Umgebungen, Managed Airflow-Logs, Monitoring und DAG-UI zugreifen.

Alle Links zur Airflow-UI in der föderierten Console verweisen auf den Airflow-UI-Zugriffspunkt für externe Identitäten.

Auf die Airflow-UI zugreifen

Managed Airflow-Umgebungen haben zwei URLs für die Airflow-UI: eine für Google-Konten und eine für externe Identitäten. Externe Identitäten müssen über die URL für externe Identitäten auf die Airflow-UI zugreifen.

  • Die URL für externe Identitäten lautet https://<UNIQUE_ID>.composer.byoid.googleusercontent.com.

  • Die URL für Google-Konten lautet https://<UNIQUE_ID>.composer.googleusercontent.com.

Nur Nutzer, die mit externen Identitäten authentifiziert sind, können auf die URL für externe Identitäten zugreifen. Wenn ein Nutzer die URL für externe Identitäten aufruft, während er nicht angemeldet ist, wird er zuerst zum Authentifizierungsportal weitergeleitet, wo er den Namen des Workforce-Poolanbieters angibt. Anschließend wird er zu seinem Identitätsanbieter weitergeleitet, um sich anzumelden, und schließlich zur Airflow-UI der Umgebung.

In der Google Cloud Console auf die DAG-UI zugreifen

Die DAG-UI ist für Nutzer mit externen Identitäten als Teil der föderierten Console verfügbar. Sie können den Zugriff mit IAM-Richtlinien steuern.

Die rollenbasierte Airflow-Zugriffssteuerung in den Umgebungen mit vollständiger Unterstützung der Mitarbeiteridentitätsföderation wird ebenfalls berücksichtigt und kann verwendet werden, um einzuschränken, welche DAGs für einzelne Nutzer sichtbar sind. Dazu müssen Sie Rollen einrichten, wie unter Airflow-UI-Zugriffssteuerung verwenden beschrieben.

Auf die Google Cloud CLI zugreifen

Um über die Google Cloud CLI auf Ihre Umgebung zuzugreifen, müssen externe Identitäten Folgendes tun:

  1. Melden Sie sich mit einer externen Identität in der Google Cloud CLI an.
  2. Führen Sie gcloud composer environments-Befehle aus.

Auf die Cloud Composer API zugreifen

Die Cloud Composer API kann mit externen Identitäten verwendet werden, um alle Managed Airflow-Umgebungen mit den unterstützten Authentifizierungsmethoden wie OAuth-Tokens zu verwalten.

Auf die Airflow REST API zugreifen

Die Airflow REST API ist am Endpunkt für externe Identitäten mit den unterstützten Authentifizierungsmethoden wie OAuth-Tokens verfügbar.

Führen Sie den folgenden Google Cloud CLI-Befehl aus, um die URL des Endpunkts für externe Identitäten für Ihre Umgebung abzurufen:

gcloud composer environments describe ENVIRONMENT_NAME \
  --location LOCATION \
  --format="value(config.airflowByoidUri)"

Ersetzen Sie:

  • ENVIRONMENT_NAME durch den Namen der Umgebung.
  • LOCATION durch die Region, in der sich die Umgebung befindet.

Beispiel:

gcloud composer environments describe example-environment \
  --location us-central1 \
  --format="value(config.airflowByoidUri)"

Nächste Schritte