Es posible que parte de la información de esta página (o toda) no se aplique a Cloud de Confiance de S3NS. Consulta Diferencias con Google Cloud para obtener más información.

Google utiliza tecnología de IA para traducir contenido a tu idioma preferido. Las traducciones realizadas con IA pueden contener errores.

Accede a entornos con la federación de identidades de personal

En esta página, se describe cómo configurar el acceso de los usuarios a tu entorno de Managed Airflow con la federación de identidades de personal.

Acerca de la federación de identidades de personal en Managed Airflow

La federación de identidades de personal te permite usar un proveedor de identidad externo (IdP) para autenticar y autorizar a un personal (un grupo de usuarios, como empleados, socios y contratistas) que usa IAM para que los usuarios puedan acceder a los Cloud de Confiance by S3NS servicios. Para obtener más información sobre la federación de identidades de personal, consulta federación de identidades de personal.

Si la federación de identidades de personal está configurada en tu proyecto, puedes acceder a tu entorno de las siguientes maneras:

Página de Managed Airflow en Cloud de Confiance console
IU de Airflow
Google Cloud CLI, incluida la ejecución de comandos de la CLI de Airflow
API de Cloud Composer
API de REST de Airflow

Antes de comenzar

No es necesario que configures tu entorno de ninguna manera específica para admitir la federación de identidades de personal. Todas las compilaciones de Airflow en Managed Airflow (3ª gen.) admiten la federación de identidades de personal.

Importante: La compatibilidad con la federación de identidades de personal en Managed Airflow no proporciona automáticamente una nueva ruta de acceso para identidades externas a tu entorno. Mientras no configures el acceso a través de un proveedor de identidad externo y otorgues permisos de acceso a identidades externas, las identidades externas no podrán acceder a tu entorno.
Las limitaciones de Cloud Storage para la federación de identidades de personal se aplican al bucket del entorno. En particular, debes habilitar el acceso uniforme a nivel del bucket en el bucket del entorno para permitir que las identidades externas suban sus DAGs y archivos a este bucket.
Los correos electrónicos que se envían desde Airflow solo incluyen la URL de la IU de Airflow para las Cuentas de Google. Debido a que las identidades externas solo pueden acceder a la IU de Airflow a través de la URL de la IU de Airflow para identidades externas, el vínculo debe ajustarse (cambiarse a la URL para identidades externas).
Airflow administrado no admite el uso de identidades de terceros en las reglas de entrada y salida para permitir las operaciones de la IU de Apache Airflow. Sin embargo, puedes usar el tipo de identidad ANY_IDENTITY en las reglas de entrada y salida para permitir el acceso a todas las identidades, incluidas las identidades de terceros. Para obtener más información sobre el tipo de identidad ANY_IDENTITY, consulta Reglas de entrada y salida.

Configura el acceso a tu entorno con la federación de identidades de personal

En esta sección, se describen los pasos para configurar el acceso de identidades externas a tu entorno de Managed Airflow.

Configura tu proveedor de identidad

Configura la federación de identidades de personal para tu proveedor de identidad siguiendo la guía Configura la federación de identidades de personal.

Otorga roles de IAM a identidades externas

En Identity and Access Management, otorga roles de IAM a conjuntos de identidades externas para que puedan acceder a tu entorno y interactuar con él:

Para obtener una lista de roles específicos de Airflow administrado, consulta Otorga roles a los usuarios. Por ejemplo, el rol Usuario de entorno y visualizador de objetos de almacenamiento (composer.environmentAndStorageObjectViewer) permite que un usuario vea entornos, acceda a la IU de Airflow, vea y active DAGs desde la IU de DAG y vea objetos en buckets de entornos.
Para obtener instrucciones sobre cómo asignar estos roles a usuarios externos, consulta Otorga roles de IAM a las principales.
Para obtener un formato de representación de identidades externas en las políticas de IAM, consulta Representa a los usuarios del grupo de la identidad de personal en políticas del IAM.

Verifica que los usuarios nuevos reciban los roles correctos de Airflow en el control de acceso de la IU de Airflow

Managed Airflow gestiona a los usuarios de Airflow para identidades externas de la misma manera que para los usuarios de Cuentas de Google. En lugar de una dirección de correo electrónico, se usa un identificador principal. Cuando una identidad externa accede a la IU de Airflow por primera vez, se registra automáticamente un usuario de Airflow en el sistema de control de acceso basado en roles de Airflow con el rol predeterminado.

Verifica que los usuarios nuevos reciban los roles correctos de Airflow en el control de acceso de la IU de Airflow. Tienes estas dos opciones:

Permite que las identidades externas reciban el rol predeterminado después de acceder a la IU de Airflow por primera vez. Si es necesario, los usuarios administradores de Airflow pueden cambiar este rol por uno diferente.
Realiza un registro previo de las identidades externas con un conjunto de roles obligatorios agregando registros de usuarios de Airflow con los campos de nombre de usuario y correo electrónico configurados en sus identificadores principales. De esta manera, las identidades externas obtienen el rol que les asignaste, no el rol predeterminado.

Importante: El control de acceso de la IU de Airflow solo admite el formato de identificador para identidades únicas. No se admiten grupos ni identidades con un atributo específico.

Accede a la página de Managed Airflow en Cloud de Confiance console

Cloud de Confiance by S3NS La consola de Workforce Identity Federation proporciona acceso a la página de Managed Airflow.

Desde la página Composer en la consola de la federación de identidades de personal Cloud de Confiance by S3NS , puedes acceder a la IU para administrar entornos, registros de Managed Airflow, supervisión y la IU de DAG.

Todos los vínculos a la IU de Airflow en la consola federada apuntan al punto de acceso de la IU de Airflow para identidades externas.

Accede a la IU de Airflow

Los entornos de Managed Airflow tienen dos URLs para la IU de Airflow: una para las Cuentas de Google y otra para identidades externas. Las identidades externas deben acceder a la IU de Airflow a través de la URL para identidades externas.

La URL para identidades externas es https://<UNIQUE_ID>.composer.byoid.googleusercontent.com.
La URL para las Cuentas de Google es https://<UNIQUE_ID>.composer.googleusercontent.com.

Nota: Las cuentas de servicio (puedes reconocerlas por los identificadores que terminan en .s3ns.iam.gserviceaccount.com) se consideran Cuentas de Google. Usa la dirección .composer.googleusercontent.com si quieres trabajar con Airflow usando una cuenta de servicio de Google. Consulta Accede a la API de Airflow con una cuenta de servicio.

Solo los usuarios autenticados con identidades externas pueden acceder a la URL para identidades externas. Si un usuario visita la URL para identidades externas sin haber accedido, primero se lo redirecciona al portal de autenticación, en el que especifica el nombre de su proveedor de grupo de personal. Luego, se lo redirecciona a su proveedor de identidad para acceder y, por último, se lo redirecciona a la IU de Airflow del entorno.

Accede a la IU de DAG en Cloud de Confiance console

La IU de DAG está disponible para los usuarios de identidades externas como parte de la consola federada. Puedes controlar el acceso con las políticas de IAM.

También se tiene en cuenta el acceso basado en roles de Airflow en los entornos con compatibilidad total con la federación de identidades de personal, y se puede usar para limitar qué DAGs son visibles para usuarios individuales mediante la configuración de roles, como se describe en Usa el control de acceso de la IU de Airflow.

Accede a Google Cloud CLI

Para acceder a tu entorno a través de Google Cloud CLI, las identidades externas deben hacer lo siguiente:

Acceder con Google Cloud CLI usando una identidad externa
Ejecutar gcloud composer environments comandos.

Accede a la API de Cloud Composer

La API de Cloud Composer se puede usar con identidades externas para administrar todos los entornos de Airflow administrado con los métodos de autenticación admitidos, como los tokens de OAuth.

Accede a la API de REST de Airflow

La API de REST de Airflow está disponible en el extremo para identidades externas con los métodos de autenticación admitidos , como los tokens de OAuth.

Para obtener la URL del extremo para identidades externas de tu entorno, ejecuta el siguiente comando de Google Cloud CLI:

gcloud composer environments describe ENVIRONMENT_NAME \
  --location LOCATION \
  --format="value(config.airflowByoidUri)"

Reemplaza lo siguiente:

ENVIRONMENT_NAME por el nombre del entorno.
LOCATION por la región en la que se encuentra el entorno.

Ejemplo:

gcloud composer environments describe example-environment \
  --location us-central1 \
  --format="value(config.airflowByoidUri)"