Cloud Composer 1 è in modalità post-manutenzione. Google non rilascia ulteriori aggiornamenti a Cloud Composer 1, tra cui nuove versioni di Airflow, correzioni di bug e aggiornamenti della sicurezza. Ti consigliamo di pianificare la migrazione a Cloud Composer 2.

Questa pagina è stata tradotta dall'API Cloud Translation.

Accedi agli ambienti con la federazione delle identità della forza lavoro

Cloud Composer 1 | Cloud Composer 2 | Cloud Composer 3

In questa pagina viene descritto come configurare l'accesso degli utenti al tuo Ambiente Cloud Composer con federazione delle identità della forza lavoro.

Informazioni sulla federazione delle identità della forza lavoro in Cloud Composer

La federazione delle identità per la forza lavoro consente di utilizzare un provider di identità (IdP) esterno per autenticare e autorizzare la forza lavoro: un gruppo di utenti, come dipendenti, partner e contrattisti, utilizzando IAM, in modo che possono accedere ai servizi Google Cloud. Per ulteriori informazioni sulla forza lavoro federazione delle identità, consulta Federazione delle identità per la forza lavoro.

Se nel progetto è configurata la federazione delle identità per la forza lavoro, puoi accedere del tuo ambiente nei modi seguenti:

Pagina Cloud Composer nella console Google Cloud
UI di Airflow
Google Cloud CLI, inclusa l'esecuzione dei comandi dell'interfaccia a riga di comando di Airflow
API Cloud Composer
API REST Airflow

Prima di iniziare

Tutti i nuovi ambienti Cloud Composer creati a partire dalla versione 2.1.11 e versione Airflow 2.4.3 Supporto la federazione delle identità per la forza lavoro. Non è necessario configurare in qualsiasi modo specifico per supportare la federazione delle identità della forza lavoro.

Importante: supporto della federazione delle identità per la forza lavoro in Cloud Composer non fornisce automaticamente un nuovo accesso per le identità esterne al tuo ambiente. Purché tu non configurare l'accesso tramite un provider di identità esterno e concedere l'accesso le autorizzazioni alle identità esterne, le identità esterne non possono accedere nel tuo ambiente.
Ambienti creati prima della versione 2.1.11 e versione Airflow 2.4.3 ed eseguito l'upgrade alle versioni successive non supportano la federazione delle identità per la forza lavoro. Puoi verifica se il tuo ambiente supporta la federazione delle identità della forza lavoro.
Limitazioni di Cloud Storage per la federazione delle identità della forza lavoro si applicano al bucket dell'ambiente. In particolare, devi abilitare l'accesso uniforme a livello di bucket. sul bucket dell'ambiente per consentire alle identità esterne di caricare i DAG in questo bucket.
Le email inviate da Airflow includono solo il URL UI di Airflow per Account Google. Poiché le identità esterne possono accedere alla UI di Airflow solo tramite la UI di Airflow URL per identità esterne, il link deve essere modificato (cambiato in per le identità esterne).

Configura l'accesso all'ambiente con la federazione delle identità della forza lavoro

Questa sezione descrive i passaggi per configurare l'accesso per le identità esterne al tuo ambiente Cloud Composer.

Configura il tuo provider di identità

Configura la federazione delle identità della forza lavoro per il provider di identità seguendo la guida Configurare la federazione delle identità della forza lavoro.

Concedi ruoli IAM a identità esterne

In Identity and Access Management, concedi i ruoli IAM a insiemi di server identità, in modo che possano accedere e interagire con il tuo ambiente:

Per un elenco di ruoli specifici di Cloud Composer, vedi Concedi ruoli agli utenti. Ad esempio, Utente ambiente e Visualizzatore oggetti Storage (composer.environmentAndStorageObjectViewer) consente a un utente di visualizzare gli ambienti, accedere all'UI di Airflow, visualizzare e attivare i DAG l'UI di DAG e visualizzare gli oggetti nei bucket di ambiente.
Per istruzioni sull'assegnazione di questi ruoli a utenti esterni, vedi Concedi ruoli IAM alle entità.
Per un formato per la rappresentazione delle identità esterne in IAM i criteri, consulta Rappresenta gli utenti del pool di forza lavoro nei criteri IAM.

Verifica che i nuovi utenti ricevano i ruoli di Airflow corretti nel controllo dell'accesso alla UI di Airflow

Cloud Composer gestisce gli utenti di Airflow per le identità esterne allo stesso modo degli utenti di Account Google. Invece di un indirizzo email, identificatore entità . Quando un'identità esterna accede alla UI di Airflow per la prima volta, viene L'utente Airflow viene registrato automaticamente nell'accesso basato sui ruoli di Airflow di controllo con il ruolo predefinito.

Verifica che i nuovi utenti ricevano i ruoli Airflow corretti in Controllo dell'accesso all'UI di Airflow. Sono disponibili due opzioni:

Consenti alle identità esterne di ricevere il ruolo predefinito dopo l'accesso ad Airflow per la prima volta. Se necessario, gli utenti amministratori di Airflow possono quindi modificare questo ruolo a un altro.
Preregistra le identità esterne con un set dei ruoli richiesti aggiungendo i record utente Airflow con il nome utente e campi email impostati sugli identificatori entità. In questo modo, le risorse esterne alle identità viene assegnato il ruolo che hai assegnato loro, non il ruolo predefinito.

Importante: il controllo dell'accesso alla UI di Airflow supporta solo formato degli identificatori per identità singole. I gruppi e le identità con un attributo specifico non sono supportati.

Verificare se un ambiente supporta la federazione delle identità della forza lavoro

Per verificare se il tuo ambiente supporta la federazione delle identità della forza lavoro, esegui dopo il comando Google Cloud CLI. Se l'output mostra un URI, supporta la federazione delle identità della forza lavoro.

gcloud composer environments describe ENVIRONMENT_NAME \
  --location LOCATION \
  --format="value(config.airflowByoidUri)"

Sostituisci:

ENVIRONMENT_NAME con il nome dell'ambiente.
LOCATION con la regione in cui si trova l'ambiente.

Esempio:

gcloud composer environments describe example-environment \
  --location us-central1 \
  --format="value(config.airflowByoidUri)"

Accedi alla pagina Cloud Composer nella console Google Cloud

Console di federazione delle identità per la forza lavoro Google Cloud consente di accedere alla pagina Cloud Composer.

Dalla pagina Composer nella federazione delle identità per la forza lavoro di Google Cloud puoi accedere alla UI per gestire gli ambienti, Log, monitoraggio e UI di DAG di Cloud Composer.

Tutti i link alla UI di Airflow nella console federata puntano alla UI di Airflow punto di accesso per le identità esterne.

Ambienti nelle versioni precedenti a 2.1.11 e/o versioni Airflow precedenti 2.4.3 potrebbe avere la sua UI Airflow Link contrassegnati come "Non disponibili". Ciò indica che questo ambiente supportare gli utenti della federazione delle identità per la forza lavoro nella UI di Airflow. UI di Airflow per questo è accessibile solo con Account Google.

Accedi alla UI di Airflow

Gli ambienti Cloud Composer hanno due URL per la UI di Airflow: uno per gli Account Google e un altro per le identità esterne. Identità esterne deve accedere alla UI di Airflow tramite l'URL per le identità esterne.

L'URL per le identità esterne è https://<UNIQUE_ID>.composer.byoid.googleusercontent.com.
L'URL per gli Account Google è https://<UNIQUE_ID>.composer.googleusercontent.com.

Nota: account di servizio (puoi riconoscerli dagli identificatori che terminano con .iam.gserviceaccount.com) sono considerati Account Google. Usa .composer.googleusercontent.com se vuoi lavorare con Airflow utilizzando un account di servizio Google. Vedi Accedere all'API Airflow utilizzando un account di servizio.

Solo gli utenti autenticati con identità esterne possono accedere all'URL. per le identità esterne. Se un utente visita l'URL per le identità esterne se non hanno effettuato l'accesso, vengono prima reindirizzati al portale di autenticazione e specificare il nome del provider del pool di forza lavoro, sono reindirizzati al proprio provider di identità per accedere. Infine, reindirizzato alla UI di Airflow dell'ambiente.

Accedi all'interfaccia utente del DAG nella console Google Cloud

L'UI DAG è disponibile per gli utenti con identità esterni nell'ambito della console federata. Puoi controllare l'accesso con i criteri IAM.

Accesso basato sui ruoli di Airflow negli ambienti con identità della forza lavoro completa viene preso in considerazione anche il supporto della federazione e può essere utilizzato per limitare quali I DAG sono visibili per i singoli utenti impostando ruoli, come descritto in Usare il controllo dell'accesso alla UI di Airflow.

Accedi a Google Cloud CLI

Per accedere all'ambiente tramite Google Cloud CLI, le identità esterne devono procedi nel seguente modo:

Accedi a Google Cloud CLI utilizzando un'identità esterna.
Esegui i comandi gcloud composer environments.

Accedi all'API Cloud Composer

L'API Cloud Composer può essere utilizzata con identità esterne per gestire tutti gli ambienti Composer con i metodi di autenticazione supportati come i token OAuth.

API REST Airflow

L'API REST Airflow è disponibile nel endpoint per le identità esterne con metodi di autenticazione come i token OAuth.

Per ottenere l'URL dell'endpoint per le identità esterne per il tuo ambiente, usa il comando gcloud composer environments describe, come mostrato Verificare se un ambiente supporta la federazione delle identità della forza lavoro .