Tutorial: Restricciones de acceso de los usuarios de Amazon MWAA a un subconjunto de DAG

Inicie sesión en la cuenta de AWS con permisos de Admin y abra la consola de IAM.

En el panel de navegación izquierdo, elija Usuarios y, a continuación, elija su usuario de IAM de Amazon MWAA en la tabla de usuarios.

En la página de información de usuario, en Resumen, vaya a la pestaña Permisos, luego a Políticas de permisos para expandir la tarjeta y seleccione Agregar permisos.

En la sección Configurar permisos, elija Adjuntar directamente las políticas existentes y, a continuación, Crear política.

En la página Crear política, elija JSON y, a continuación, copie y pegue la siguiente política de permisos de JSON en el editor de políticas. Esta política da acceso al servidor web al usuario con el rol predeterminado Public de Apache Airflow.

{
    "Version": "2012-10-17",
    "Statement": [
        {
        "Effect": "Allow",
        "Action": "airflow:CreateWebLoginToken",
        "Resource": [
            "arn:aws:airflow:YOUR_REGION:YOUR_ACCOUNT_ID:role/YOUR_ENVIRONMENT_NAME/Public"
            ]
        }
    ]
 }

Con su rol de IAM de administrador, abra la consola de Amazon MWAA e inicie la interfaz de usuario de Apache Airflow de su entorno.

En el panel de navegación de la parte superior, pase el cursor por Seguridad para abrir la lista desplegable y, a continuación, seleccione Mostrar roles para ver los roles predeterminados de Apache Airflow.

En la lista de roles, elija Usuario y, en la parte superior de la página, Acciones para abrir el menú desplegable. Elija Copiar rol y confirme con Aceptar

Localice el nuevo rol que creó en la tabla y elija Editar el registro.

En la página Cambiar el rol, haga lo siguiente:

Seleccione Guardar. Ahora debería tener un nuevo rol que limite el acceso a un subconjunto de DAG disponibles en su entorno de Amazon MWAA. Ya puede asignar este rol a cualquier usuario existente de Apache Airflow.

Con las credenciales de acceso de MWAAUser, ejecute el siguiente comando de la CLI para recuperar la URL del servidor web del entorno.

$ aws mwaa get-environment --name YOUR_ENVIRONMENT_NAME | jq '.Environment.WebserverUrl'

Si todo va bien, obtendrá el siguiente resultado:

"ab1b2345-678a-90a1-a2aa-34a567a8a901.c13.us-west-2.airflow.amazonaws.com"

Una vez que MWAAUser haya iniciado sesión en la AWS Management Console, abra una nueva ventana del navegador y acceda a la URL siguiente. Modifique el Webserver-URL añadiendo su información.

https://<Webserver-URL>/home

Si todo va bien, verá una página de error de Forbidden. Eso es porque MWAAUser todavía no tiene permiso para acceder a la interfaz de usuario de Apache Airflow.

Una vez que Admin haya iniciado sesión en la AWS Management Console, vuelva a abrir la consola de Amazon MWAA e inicie la interfaz de usuario de Apache Airflow de su entorno.

Desde el panel de la interfaz de usuario, expanda el menú desplegable Seguridad y, esta vez, seleccione Mostrar usuarios.

En la tabla de usuarios, busque el nuevo usuario de Apache Airflow y seleccione Editar el registro. El nombre del usuario coincidirá con su nombre de usuario de IAM según el patrón siguiente: user/mwaa-user.

En la página Editar el usuario, en la sección Rol, añada el nuevo rol personalizado que ha creado y, finalmente, proceda a Guardar.

La entidad principal Public de IAM concede el permiso MWAAUser para acceder a la interfaz de usuario de Apache Airflow, mientras que el nuevo rol proporciona los permisos adicionales necesarios para ver sus DAG.