View a markdown version of this page

Tutorial: Configurazione dell'accesso alla rete privata utilizzando un Linux Bastion Host - Amazon Managed Workflows for Apache Airflow
Rete privataCasi d’usoPrima di iniziareObiettiviPassaggio 1: crea l'istanza bastionFase 2: Creare il tunnel SSHFase tre: configura il bastion security group come regola in entrataFase quattro: Copiare l'URL di Apache AirflowFase cinque: configurare le impostazioni del proxyPassaggio sei: apri l'interfaccia utente di Apache AirflowFasi successive

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Tutorial: Configurazione dell'accesso alla rete privata utilizzando un Linux Bastion Host

Questo tutorial illustra i passaggi per creare un tunnel SSH dal tuo computer al server web Apache Airflow per il tuo ambiente Amazon Managed Workflows for Apache Airflow. Presuppone che tu abbia già creato un ambiente Amazon MWAA. Una volta configurato, un Linux Bastion Host funge da jump server che consente una connessione sicura dal computer alle risorse del VPC. Utilizzate quindi un componente aggiuntivo per la gestione dei proxy SOCKS per controllare le impostazioni del proxy nel browser e accedere all'interfaccia utente di Apache Airflow.

Nota

Questo tutorial si applica alla modalità di accesso alla rete privata. Se hai scelto l'accesso alla rete sia pubblico che privato, non è necessario un bastion host per accedere all'interfaccia utente di Apache Airflow poiché è accessibile tramite Internet.

Rete privata

Questo tutorial presuppone che tu abbia scelto la modalità di accesso alla rete privata per il tuo server web Apache Airflow.

Questa immagine mostra l'architettura di un ambiente Amazon MWAA con accesso alla rete privato.

La modalità di accesso alla rete privata limita l'accesso all'interfaccia utente di Apache Airflow agli utenti all'interno di Amazon VPC a cui è stato concesso l'accesso alla policy IAM per il tuo ambiente.

Quando crei un ambiente con accesso privato alla rete, devi impacchettare tutte le tue dipendenze in un archivio Python wheel (.whl), quindi fare riferimento a esso nel tuo. .whl requirements.txt Per istruzioni su come impacchettare e installare le dipendenze usando wheel, fai riferimento a Gestire le dipendenze usando Python wheel.

L'immagine seguente mostra dove trovare l'opzione Rete privata sulla console Amazon MWAA.

Questa immagine mostra dove trovare l'opzione Rete privata sulla console Amazon MWAA.

Casi d’uso

Puoi utilizzare questo tutorial dopo aver creato un ambiente Amazon MWAA. Devi utilizzare gli stessi Amazon VPC, gli stessi gruppi di sicurezza VPC e le stesse sottoreti pubbliche del tuo ambiente.

Prima di iniziare

  1. Verifica le autorizzazioni utente. Assicurati che il tuo account in AWS Identity and Access Management (IAM) disponga di autorizzazioni sufficienti per creare e gestire risorse VPC.

  2. Usa il tuo Amazon MWAA VPC. Questo tutorial presuppone che tu stia associando il bastion host a un VPC esistente. Amazon VPC deve trovarsi nella stessa regione dell'ambiente Amazon MWAA e avere due sottoreti private, come definito in. Crea la rete VPC

  3. Crea una chiave SSH. Devi creare una chiave SSH Amazon EC2 (.pem) nella stessa regione dell'ambiente Amazon MWAA per connetterti ai server virtuali. Se non disponi di una chiave SSH, consulta Creare o importare una coppia di chiavi nella Amazon EC2 User Guide.

Obiettivi

In questo tutorial, verranno eseguite le operazioni seguenti:

  1. Crea un'istanza Linux Bastion Host utilizzando un CloudFormation modello per un VPC esistente.

  2. Autorizza il traffico in entrata verso il gruppo di sicurezza dell'istanza bastion utilizzando una regola di ingresso sulla porta. 22

  3. Autorizza il traffico in entrata dal gruppo di sicurezza di un ambiente Amazon MWAA al gruppo di sicurezza dell'istanza bastion.

  4. Crea un tunnel SSH verso l'istanza bastion.

  5. Installa e configura il FoxyProxy componente aggiuntivo per il browser Firefox per accedere all'interfaccia utente di Apache Airflow.

Passaggio 1: crea l'istanza bastion

La sezione seguente descrive i passaggi per creare l'istanza Linux bastion.

Apri la console Amazon Elastic Compute Cloud all'indirizzo https://console.aws.amazon.com/ec2/ e crea un'istanza Amazon EC2 in una delle sottoreti pubbliche del VPC utilizzato per il tuo ambiente Amazon MWAA.

Nota

Ti consigliamo di consentire l'inoltro TCP sull'istanza Amazon EC2. Per inoltro TCP si intende l'inoltro TCP SSH, che consente il passaggio di tunnel attraverso l'host. ssh -L/-D La AllowTcpForwarding direttiva nel daemon SSH config () controlla questa impostazione. /etc/ssh/sshd_config L'impostazione predefinita è yes sulla maggior parte delle AMI Amazon Linux e Ubuntu, ma è spesso disattivata sulle AMI bastion rinforzate.

Fase 2: Creare il tunnel SSH

I passaggi seguenti descrivono come creare il tunnel SSH verso il tuo bastione Linux. Un tunnel SSH riceve la richiesta dal tuo indirizzo IP locale al bastione Linux, motivo per cui l'inoltro TCP per il bastione Linux è stato impostato nei passaggi precedenti. true

macOS/Linux
Per creare un tunnel usando la riga di comando

  1. Apri la pagina Istanze sulla console Amazon EC2.

  2. Scegli un'istanza.

  3. Copia l'indirizzo nel DNS IPv4 pubblico. Ad esempio, ec2-4-82-142-1.compute-1.amazonaws.com.

  4. Nel prompt dei comandi, accedi alla directory in cui è archiviata la tua chiave SSH.

  5. Esegui il comando seguente per connetterti all'istanza bastion usando ssh. Sostituisci il valore di esempio con il nome della tua chiave SSH in. mykeypair.pem

    ssh -i mykeypair.pem -N -D 8157 ec2-user@YOUR_PUBLIC_IPV4_DNS
Windows (PuTTY)
Per creare un tunnel usando PuTTY

  1. Apri la pagina Istanze sulla console Amazon EC2.

  2. Scegli un'istanza.

  3. Copia l'indirizzo nel DNS IPv4 pubblico. Ad esempio, ec2-4-82-142-1.compute-1.amazonaws.com.

  4. Apri PuTTY, seleziona Sessione.

  5. Inserisci il nome host in Nome host come ec2-user@ YOUR_PUBLIC_IPV4_DNS e la porta come. 22

  6. Espandi la scheda SSH, seleziona Auth. Nel file Private Key per l'autenticazione, scegli il tuo file «ppk» locale.

  7. In SSH, scegli la scheda Tunnel, quindi seleziona le opzioni Dinamica e Automatica.

  8. In Porta di origine, aggiungi la 8157 porta (o qualsiasi altra porta inutilizzata), quindi lascia vuota la porta di destinazione. Scegliere Aggiungi.

  9. Scegliete la scheda Sessione e immettete un nome per la sessione. Ad esempio, SSH Tunnel.

  10. Scegli Salva, Apri.

    Nota

    Potrebbe essere necessario inserire una passphrase per la chiave pubblica.
Nota

Se ricevi un Permission denied (publickey) errore, ti consigliamo di utilizzare lo AWSSupport-TroubleshootSSH strumento e scegliere Run this Automation (console) per risolvere i problemi relativi alla configurazione SSH.

Fase tre: configura il bastion security group come regola in entrata

L'accesso ai server e l'accesso regolare a Internet dai server sono consentiti con uno speciale gruppo di sicurezza di manutenzione collegato a tali server. I passaggi seguenti descrivono come configurare il bastion security group come fonte di traffico in entrata verso il gruppo di sicurezza VPC di un ambiente.

  1. Apri la pagina Ambienti sulla console Amazon MWAA.

  2. Scegli un ambiente.

  3. Nel pannello Rete, scegli il gruppo di sicurezza VPC.

  4. Sceglere Edit inbound rules (Modifica regole in entrata).

  5. Scegli Aggiungi regola.

  6. Scegli l'ID del tuo gruppo di sicurezza VPC nell'elenco a discesa Source.

  7. Lascia vuote le opzioni rimanenti o imposta i valori predefiniti.

  8. Scegliere Salva regole.

Fase quattro: Copiare l'URL di Apache Airflow

I passaggi seguenti descrivono come aprire la console Amazon MWAA e copiare l'URL nell'interfaccia utente di Apache Airflow.

  1. Apri la pagina Ambienti sulla console Amazon MWAA.

  2. Scegli un ambiente.

  3. Copia l'URL nell'interfaccia utente di Airflow per i passaggi successivi.

Fase cinque: configurare le impostazioni del proxy

Se si utilizza un tunnel SSH con inoltro dinamico delle porte, è necessario utilizzare un add-on per la gestione dei proxy SOCKS per controllare le impostazioni proxy nel browser. Ad esempio, puoi utilizzare la --proxy-server funzionalità di Chromium per avviare una sessione del browser o utilizzare l' FoxyProxy estensione nel browser Mozilla. FireFox

Opzione uno: configura un tunnel SSH utilizzando il port forwarding locale

Se non desideri utilizzare un proxy SOCKS, puoi configurare un tunnel SSH utilizzando il port forwarding locale. Il seguente comando di esempio accede al server web Apache Airflow inoltrando il traffico sulla porta locale 8157.

  1. Aprire il prompt dei comandi in una nuova finestra.

  2. Immettete il seguente comando per aprire un tunnel SSH.

    ssh -i mykeypair.pem -N -L 8157:YOUR_VPC_ENDPOINT_ID-vpce.us-east-1.airflow.amazonaws.com:443 ec2-user@YOUR_PUBLIC_IPV4_DNS

    -Lindica l'uso del port forwarding locale che è possibile utilizzare per specificare una porta locale utilizzata per inoltrare i dati alla porta remota identificata sul server web locale del nodo.

  3. Entra nel tuo browserhttp://localhost:8157/.

    Nota

    Potrebbe essere necessario utilizzarehttps://localhost:8157/.

Opzione due: proxy che utilizzano la riga di comando

È possibile utilizzare la maggior parte dei browser Web per configurare i proxy utilizzando una riga di comando o un parametro di configurazione. Ad esempio, con Chromium puoi avviare il browser con il seguente comando:

chromium --proxy-server="socks5://localhost:8157"

Viene avviata una sessione del browser che utilizza il tunnel ssh creato nei passaggi precedenti per inoltrare le richieste tramite proxy. Puoi aprire l'URL del tuo ambiente Amazon MWAA privato (con https://) come segue:

https://YOUR_VPC_ENDPOINT_ID-vpce.us-east-1.airflow.amazonaws.com/home.

Opzione tre: proxy utilizzati per Mozilla Firefox FoxyProxy

L'esempio seguente illustra una configurazione FoxyProxy Standard (versione 7.5.1) per Mozilla Firefox. FoxyProxy fornisce una serie di strumenti di gestione dei proxy. Consente di utilizzare un server proxy per gli URL che corrispondono ai modelli corrispondenti ai domini utilizzati dall'interfaccia utente di Apache Airflow.

  1. In Firefox, apri la pagina dell'estensione Standard. FoxyProxy

  2. Scegli Aggiungi a Firefox.

  3. Scegliere Aggiungi.

  4. Scegli l' FoxyProxy icona nella barra degli strumenti del browser, scegli Opzioni.

  5. Copia il codice seguente e salvalo localmente con nome. mwaa-proxy.json Sostituisci il valore di esempio YOUR_HOST_NAME con il tuo URL Apache Airflow. 

    {
  "e0b7kh1606694837384": {
    "type": 3,
    "color": "#66cc66",
    "title": "airflow",
    "active": true,
    "address": "localhost",
    "port": 8157,
    "proxyDNS": false,
    "username": "",
    "password": "",
    "whitePatterns": [
      {
        "title": "airflow-ui",
        "pattern": "YOUR_HOST_NAME",
        "type": 1,
        "protocols": 1,
        "active": true
      }
    ],
    "blackPatterns": [],
    "pacURL": "",
    "index": -1
  },
  "k20d21508277536715": {
    "active": true,
    "title": "Default",
    "notes": "These are the settings that are used when no patterns match a URL.",
    "color": "#0055E5",
    "type": 5,
    "whitePatterns": [
      {
        "title": "all URLs",
        "active": true,
        "pattern": "*",
        "type": 1,
        "protocols": 1
      }
    ],
    "blackPatterns": [],
      "index": 9007199254740991
  },
  "logging": {
    "active": true,
    "maxSize": 500
  },
  "mode": "patterns",
  "browserVersion": "82.0.3",
  "foxyProxyVersion": "7.5.1",
  "foxyProxyEdition": "standard"
}

  6. Nel riquadro Impostazioni di importazione da FoxyProxy 6.0+, scegli Impostazioni di importazione e seleziona il file. mwaa-proxy.json

  7. Scegli OK.

Passaggio sei: apri l'interfaccia utente di Apache Airflow

I passaggi seguenti descrivono come aprire l'interfaccia utente di Apache Airflow.

  1. Apri la pagina Ambienti sulla console Amazon MWAA.

  2. Scegli Open Airflow UI.

Fasi successive