O Cloud Composer 1 está no modo pós-manutenção. O Google não lança mais atualizações do Cloud Composer 1, incluindo novas versões do Airflow, correções de bugs e atualizações de segurança. Recomendamos planejar a migração para o Cloud Composer 2.

Esta página foi traduzida pela API Cloud Translation.

Acessar ambientes com a federação de identidade de colaboradores

Cloud Composer 1 | Cloud Composer 2 | Cloud Composer 3

Esta página descreve como configurar o acesso do usuário aos seus Ambiente do Cloud Composer com federação de identidade de colaboradores.

Sobre a federação de identidade de colaboradores no Cloud Composer

Com a federação de identidade de colaboradores, você pode usar um provedor de identidade (IdP) externo para autenticar e autorizar uma força de trabalho, um grupo de usuários, como funcionários, parceiros e contratados, usando o IAM, para que os os usuários podem acessar os serviços do Google Cloud. Para mais informações sobre força de trabalho federação de identidade, consulte Federação de identidade da força de trabalho.

Se a federação de identidade de colaboradores estiver configurada no seu projeto, você poderá acessar seu ambiente das seguintes maneiras:

Página do Cloud Composer no console do Google Cloud
IU do Airflow
Google Cloud CLI, incluindo a execução de comandos da CLI do Airflow
API Cloud Composer
API REST do Airflow

Antes de começar

Todos os novos ambientes do Cloud Composer criados a partir da versão 2.1.11 e a versão do Airflow Suporte a 2.4.3 federação de identidade de colaboradores. Você não precisa configurar seu de maneira específica para ajudar a federação de identidade de colaboradores.

Importante :o suporte à federação de identidade de colaboradores em O Cloud Composer não fornece automaticamente um novo acesso caminho de identidades externas para seu ambiente. Contanto que você não configurar o acesso por meio de um provedor de identidade externo e conceder acesso permissões a identidades externas, elas não podem acessar seu ambiente.
Ambientes criados antes da versão 2.1.11 e a versão do Airflow 2.4.3 e atualizadas para versões posteriores não oferecem suporte à federação de identidade de colaboradores. Você pode Verifique se o ambiente é compatível com a federação de identidade de colaboradores.
Limitações do Cloud Storage para a federação de identidade de colaboradores aplicar no bucket do ambiente. Mais especificamente, é necessário ativar o acesso uniforme no nível do bucket. no bucket do ambiente para permitir que identidades externas façam upload dos DAGs e para este bucket.
Os e-mails enviados do Airflow incluem apenas o URL da IU do Airflow para Contas do Google. Devido ao identidades externas só podem acessar a interface do Airflow pela interface URL para identidades externas, o link deve ser ajustado (alterado para o URL para identidades externas).

Configurar o acesso ao seu ambiente com a federação de identidade de colaboradores

Nesta seção, descrevemos as etapas para configurar o acesso de identidades externas ao ambiente do Cloud Composer.

Configurar seu provedor de identidade

Configure a federação de identidade de colaboradores para seu provedor de identidade ao seguindo o guia Configurar a federação de identidade de colaboradores.

Conceder papéis do IAM a identidades externas

No Identity and Access Management, conceda papéis do IAM a conjuntos de para que possam acessar e interagir com o ambiente:

Para conferir uma lista de papéis específicos do Cloud Composer, consulte Atribua papéis a usuários. Por exemplo, o Leitor de usuários do ambiente e de objetos do Storage (composer.environmentAndStorageObjectViewer) permite que o usuário acessar ambientes, acessar a interface do Airflow, visualizar e acionar DAGs de a interface do DAG e visualizar objetos em buckets de ambiente.
Para instruções sobre como atribuir esses papéis a usuários externos, consulte Conceda papéis do IAM a principais.
Para um formato de representação de identidades externas no IAM políticas, consulte Represente os usuários do pool de força de trabalho nas políticas do IAM.

Verificar se os novos usuários recebem os papéis corretos do Airflow no controle de acesso da interface do Airflow

O Cloud Composer lida com usuários do Airflow para identidades externas em da mesma forma que para os usuários de Contas do Google. Em vez de um endereço de e-mail, uma identificador principal é usado. Quando uma identidade externa acessa a interface do Airflow pela primeira vez, uma O usuário do Airflow é registrado automaticamente no acesso baseado em papéis do Airflow com o papel padrão.

Verifique se os novos usuários recebem os papéis corretos do Airflow no Controle de acesso à IU do Airflow. Você tem duas opções:

Permitir que identidades externas recebam o papel padrão depois de acessar o Airflow pela primeira vez. Se necessário, os usuários administradores do Airflow podem alterar esse papel a outro.
Pré-registro de identidades externas com um conjunto os papéis necessários adicionando registros de usuário do Airflow com o nome de e-mail definidos com os identificadores principais. Dessa forma, o tráfego as identidades recebem o papel que você atribuiu a elas, não o papel padrão.

Importante: o controle de acesso da interface do Airflow é compatível apenas com formato de identificador para identidades únicas. Grupos e identidades com um atributo específico não são aceitos.

Verificar se um ambiente é compatível com a federação de identidade de colaboradores

Para verificar se seu ambiente é compatível com a federação de identidade de colaboradores, execute o comando comando da Google Cloud CLI. Se a saída mostrar um URI, seu oferece suporte à federação de identidade de colaboradores.

gcloud composer environments describe ENVIRONMENT_NAME \
  --location LOCATION \
  --format="value(config.airflowByoidUri)"

Substitua:

ENVIRONMENT_NAME pelo nome do ambiente
LOCATION pela região em que o ambiente está localizado;

Exemplo:

gcloud composer environments describe example-environment \
  --location us-central1 \
  --format="value(config.airflowByoidUri)"

Acessar a página do Cloud Composer no console do Google Cloud

Console de federação de identidade de colaboradores do Google Cloud Concede acesso à página do Cloud Composer.

Na página do Composer na federação de identidade de colaboradores do Google Cloud é possível acessar a UI para gerenciar ambientes, Registros do Cloud Composer, monitoramento e interface do DAG.

Todos os links para a interface do Airflow no console federado apontam para a interface do Airflow um ponto de acesso para identidades externas.

Ambientes em versões anteriores 2.1.11 e/ou versões anteriores do Airflow a versão 2.4.3 pode ter a interface do Airflow links marcados como "Não disponível". Isso indica que o ambiente Oferecer suporte a usuários da federação de identidade de colaboradores na interface do Airflow. interface do Airflow para isso só pode ser acessado com Contas do Google.

Acessar a interface do Airflow

Os ambientes do Cloud Composer têm dois URLs para a interface do Airflow: um para contas do Google e outra para identidades externas. Identidades externas precisam acessar a interface do Airflow pelo URL de identidades externas.

O URL de identidades externas é https://<UNIQUE_ID>.composer.byoid.googleusercontent.com:
O URL das Contas do Google é https://<UNIQUE_ID>.composer.googleusercontent.com.

Observação :contas de serviço (você pode reconhecê-las pelos identificadores que terminam em .iam.gserviceaccount.com) são consideradas Contas do Google. Usar a .composer.googleusercontent.com se quiser trabalhar com o Airflow usando uma conta de serviço do Google. Consulte Acessar a API Airflow usando uma conta de serviço.

Somente usuários autenticados com identidades externas podem acessar o URL para identidades externas. Se um usuário acessar o URL para identificar identidades externas sem fazer login, ele é redirecionado primeiro para o portal de autenticação em que especificarem o nome do provedor do pool de força de trabalho, é redirecionado ao provedor de identidade para fazer login e, por fim, redirecionada para a interface do Airflow do ambiente.

Acessar a interface do DAG no console do Google Cloud

A IU do DAG está disponível para usuários com identidade externa. como parte do console federado. Você pode controlar o acesso com políticas do IAM.

Acesso baseado em papéis do Airflow nos ambientes com identidade de força de trabalho completa o suporte a federação também é considerado e pode ser utilizado para limitar quais Os DAGs ficam visíveis para usuários individuais configurando papéis, conforme descrito em Como usar o controle de acesso da interface do Airflow.

Acessar a CLI do Google Cloud

Para acessar seu ambiente pela Google Cloud CLI, as identidades externas precisam faça o seguinte:

Faça login com o Google Cloud CLI usando uma identidade externa.
Execute os comandos gcloud composer environments.

Acessar a API Cloud Composer

A API Cloud Composer pode ser usada com identidades externas para gerenciar todos os ambientes do Composer com os métodos de autenticação compatíveis, como tokens OAuth.

API REST do Airflow

A API REST do Airflow está disponível endpoint para identidades externas com o métodos de autenticação, como tokens OAuth.

Para conseguir o URL do endpoint para identidades externas do seu ambiente, use o comando gcloud composer environments describe, conforme mostrado Verificar se um ambiente é compatível com a federação de identidade de colaboradores nesta seção.