Acessar ambientes com a federação de identidade da força de trabalho

Cloud Composer 1 | Cloud Composer 2 | Cloud Composer 3

Esta página descreve como configurar o acesso do usuário ao seu ambiente do Cloud Composer com a federação de identidade de colaboradores.

Sobre a federação de identidade da força de trabalho no Cloud Composer

Com a federação de identidade de colaboradores, você pode usar um provedor de identidade (IdP) externo para autenticar e autorizar uma força de trabalho, um grupo de usuários, como funcionários, parceiros e contratados, usando o IAM, para que os os usuários podem acessar os serviços do Google Cloud. Para mais informações sobre a federação de identidade de colaboradores, consulte Federação de identidade de colaboradores.

Se a federação de identidade de colaboradores estiver configurada no seu projeto, você poderá acessar seu ambiente das seguintes maneiras:

  • Página do Cloud Composer no console do Google Cloud
  • IU do Airflow
  • Google Cloud CLI, incluindo a execução de comandos da CLI do Airflow
  • API Cloud Composer
  • API REST do Airflow

Antes de começar

  • Todos os novos ambientes do Cloud Composer criados a partir da versão 2.1.11 e do Airflow versão 2.4.3 são compatíveis com a federação de identidade da força de trabalho. Você não precisa configurar seu de maneira específica para ajudar a federação de identidade de colaboradores.

  • Ambientes criados antes da versão 2.1.11 e a versão do Airflow 2.4.3 e atualizadas para versões posteriores não oferecem suporte à federação de identidade de colaboradores. É possível verificar se o ambiente é compatível com a federação de identidade da força de trabalho.

  • Limitações do Cloud Storage para a federação de identidade de colaboradores aplicar no bucket do ambiente. Especifique o acesso uniforme no nível do bucket no bucket do ambiente para permitir que identidades externas façam upload de DAGs e arquivos para esse bucket.

  • Os e-mails enviados pelo Airflow incluem apenas o URL da interface do Airflow para Contas do Google. Como as identidades externas só podem acessar a interface do Airflow pelo URL da interface do Airflow para identidades externas, o link precisa ser ajustado (alterado para o URL para identidades externas).

Configurar o acesso ao seu ambiente com a federação de identidade da força de trabalho

Nesta seção, descrevemos as etapas para configurar o acesso de identidades externas ao ambiente do Cloud Composer.

Configurar seu provedor de identidade

Configure a federação de identidade de colaboradores para seu provedor de identidade ao seguindo o guia Configurar a federação de identidade de colaboradores.

Conceder papéis do IAM a identidades externas

No Identity and Access Management, conceda papéis do IAM a conjuntos de identidades externas para que elas possam acessar e interagir com seu ambiente:

Verifique se os novos usuários recebem as funções corretas do Airflow no controle de acesso da interface do Airflow

O Cloud Composer lida com usuários do Airflow para identidades externas em da mesma forma que para os usuários de Contas do Google. Em vez de um endereço de e-mail, uma identificador principal é usado. Quando uma identidade externa acessa a interface do Airflow pela primeira vez, uma O usuário do Airflow é registrado automaticamente no acesso baseado em papéis do Airflow com o papel padrão.

Verifique se os novos usuários recebem as funções corretas do Airflow no Controle de acesso da IU do Airflow. Você tem duas opções:

  • Permitir que identidades externas recebam o papel padrão depois de acessar a interface do Airflow pela primeira vez. Se necessário, os usuários administradores do Airflow podem mudar essa função para outra.
  • Pré-registro de identidades externas com um conjunto os papéis necessários adicionando registros de usuário do Airflow com o nome de e-mail definidos com os identificadores principais. Dessa forma, os dados externos as identidades recebem o papel que você atribuiu a elas, não o papel padrão.

Verificar se um ambiente oferece suporte à federação de identidade da força de trabalho

Para verificar se seu ambiente é compatível com a federação de identidade de colaboradores, execute o comando comando da Google Cloud CLI. Se a saída mostrar um URI, seu ambiente é compatível com a federação de identidade de colaboradores.

gcloud composer environments describe ENVIRONMENT_NAME \
  --location LOCATION \
  --format="value(config.airflowByoidUri)"

Substitua:

  • ENVIRONMENT_NAME pelo nome do ambiente
  • LOCATION pela região em que o ambiente está localizado;

Exemplo:

gcloud composer environments describe example-environment \
  --location us-central1 \
  --format="value(config.airflowByoidUri)"

Acessar a página do Cloud Composer no console do Google Cloud

O console de federação de identidade da força de trabalho do Google Cloud oferece acesso à página do Cloud Composer.

Na página Composer do console da federação de identidade da força de trabalho do Google Cloud, é possível acessar a IU para gerenciar ambientes, logs do Cloud Composer, monitoramento e a IU do DAG.

Todos os links para a interface do Airflow no console federado apontam para a interface do Airflow um ponto de acesso para identidades externas.

Ambientes em versões anteriores à 2.1.11 e versões do Airflow anteriores à 2.4.3 podem ter links da interface do Airflow marcados como "Não disponível". Isso indica que o ambiente Oferecer suporte a usuários da federação de identidade de colaboradores na interface do Airflow. interface do Airflow para isso só pode ser acessado com Contas do Google.

Acessar a interface do Airflow

Os ambientes do Cloud Composer têm dois URLs para a interface do Airflow: um para contas do Google e outro para identidades externas. Identidades externas precisam acessar a interface do Airflow pelo URL de identidades externas.

  • O URL de identidades externas é https://<UNIQUE_ID>.composer.byoid.googleusercontent.com:

  • O URL das Contas do Google é https://<UNIQUE_ID>.composer.googleusercontent.com.

Somente usuários autenticados com identidades externas podem acessar o URL para identidades externas. Se um usuário acessar o URL para identificar identidades externas sem fazer login, ele é redirecionado primeiro para o portal de autenticação em que especificarem o nome do provedor do pool de força de trabalho, redirecionadas ao provedor de identidade para fazer login e, por fim, redirecionada para a interface do Airflow do ambiente.

Acessar a interface do DAG no console do Google Cloud

A IU do DAG está disponível para usuários com identidade externa. como parte do console federado. É possível controlar o acesso com as políticas do IAM.

O acesso baseado em função do Airflow nos ambientes com suporte total à federação de identidade da força de trabalho também é levado em consideração e pode ser usado para limitar quais DAGs ficam visíveis para usuários individuais, configurando funções, conforme descrito em Como usar o controle de acesso da interface do Airflow.

Acessar a CLI do Google Cloud

Para acessar o ambiente pela CLI do Google Cloud, as identidades externas precisam fazer o seguinte:

  1. Faça login na CLI do Google Cloud usando uma identidade externa.
  2. Execute os comandos gcloud composer environments.

Acessar a API Cloud Composer

A API Cloud Composer pode ser usada com identidades externas para gerenciar todos os ambientes do Composer com os métodos de autenticação compatíveis, como tokens OAuth.

API REST do Airflow

A API REST do Airflow está disponível endpoint para identidades externas com o métodos de autenticação, como tokens OAuth.

Para conseguir o URL do endpoint para identidades externas do seu ambiente, use o comando gcloud composer environments describe, conforme mostrado Verificar se um ambiente é compatível com a federação de identidade de colaboradores nesta seção.

A seguir