Toegang beheren: Airflow-rollen

Deze pagina beschrijft het dagelijkse toegangsbeheer voor een Airflow-omgeving die is beveiligd via Microsoft Entra ID: welke rollen er bestaan, wat elke rol mag, en hoe je ze aan een gebruiker toekent of intrekt. Voor de eenmalige inrichting waarmee aanmelden via Entra ID werkt, zie Onboarding: Microsoft Entra ID.

Rollen

Er zijn twee Entra ID App Roles gedefinieerd op de Airflow Enterprise Application. Deze komen rechtstreeks overeen met de ingebouwde RBAC-rollen van Airflow op hetzelfde niveau:

Airflow User

Dagelijkse operationele toegang voor mensen die pipelines bouwen en draaien:

  • DAG-runs bekijken, starten, pauzeren/hervatten en wissen

  • Taaklogs, de Grid/Graph-weergave en XCom-waarden bekijken

  • Connections, variables en pools bekijken (maar niet bewerken)

Airflow Admin

Alles wat Airflow User mag, plus beheerhandelingen op platformniveau:

  • Connections, variables en pools aanmaken, bewerken en verwijderen

  • Gebruikers, rollen en permissies binnen Airflow zelf beheren

  • Toegang tot de Airflow-configuratieweergave en het paneel met DAG-importfouten

Een gebruiker kan beide rollen tegelijk hebben, al is dat niet echt nodig: Airflow User is een subset van Airflow Admin, dus wie Admin heeft, heeft ook al toegang op User-niveau. Er is geen aparte “alleen-lezen”-rol; de minst uitgebreide toegang is Airflow User.

Een rol toekennen

Doe dit in de Azure-portal, niet in Airflow zelf. Rollidmaatschap wordt vanuit Entra ID naar Airflow gesynchroniseerd, niet andersom.

  1. Meld je aan bij portal.azure.com met een account dat de Airflow Enterprise Application mag beheren (het account met de rol Cloud Application Administrator dat bij de onboarding is gebruikt, of een account waaraan je organisatie sindsdien gelijkwaardige rechten heeft toegekend).

  2. Open Microsoft Entra ID → Enterprise Applications, zoek op airflow en open de applicatie.

  3. Klik op Manage → Users and groups.

  4. Om een nieuwe gebruiker of groep toegang te geven: klik op Add user/group, kies de gebruiker of groep, kies Airflow User of Airflow Admin als rol en klik op Assign.

    Om een bestaande toewijzing te wijzigen: vink het selectievakje naast de gebruiker of groep aan, klik op Edit assignment, kies de rol en sla op.

    Tip

    Wijs rollen waar mogelijk liever toe aan een groep dan aan individuele gebruikers — dat is één plek om later mensen toe te voegen of te verwijderen, in plaats van de Enterprise Application aan te passen elke keer dat iemand het team in- of uitgaat.

  5. Toegang intrekken werkt op dezelfde manier: selecteer de gebruiker of groep en verwijder de toewijzing, of verwijder ze uit de groep waaraan de rol is toegekend.

Timing van rolsynchronisatie

Een rolwijziging geldt niet meteen voor een al geopende Airflow-sessie. De betrokken gebruiker moet uitloggen bij Airflow om synchronisatie af te dwingen, en daarna wachten voordat opnieuw wordt ingelogd (synchronisatie kan tot 15 minuten duren). Tot die tijd kan de oude permissieset nog gelden, of verschijnt 403 Forbidden als dit de eerste roltoewijzing voor deze gebruiker is.