Airflow RBAC
Last updated
Last updated
Lerne & übe AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Lerne & übe GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
(Von den Dokumenten)[https://airflow.apache.org/docs/apache-airflow/stable/security/access-control.html]: Airflow wird standardmäßig mit einem Set von Rollen ausgeliefert: Admin, User, Op, Viewer und Public. Nur Admin-Benutzer können die Berechtigungen für andere Rollen konfigurieren/ändern. Es wird jedoch nicht empfohlen, dass Admin-Benutzer diese Standardrollen in irgendeiner Weise ändern, indem sie Berechtigungen für diese Rollen entfernen oder hinzufügen.
Admin-Benutzer haben alle möglichen Berechtigungen.
Public-Benutzer (anonym) haben keine Berechtigungen.
Viewer-Benutzer haben eingeschränkte Ansichtsberechtigungen (nur lesen). Er kann die Konfiguration nicht sehen.
User-Benutzer haben Viewer-Berechtigungen plus zusätzliche Benutzerberechtigungen, die es ihm ermöglichen, DAGs ein wenig zu verwalten. Er kann die Konfigurationsdatei sehen.
Op-Benutzer haben User-Berechtigungen plus zusätzliche Betriebsberechtigungen.
Beachte, dass Admin-Benutzer weitere Rollen mit detaillierteren Berechtigungen erstellen können.
Beachte auch, dass die einzige Standardrolle mit Berechtigung zur Auflistung von Benutzern und Rollen Admin ist, nicht einmal Op wird in der Lage sein, dies zu tun.
Dies sind die Standardberechtigungen pro Standardrolle:
Admin
[kann löschen auf Verbindungen, kann lesen auf Verbindungen, kann bearbeiten auf Verbindungen, kann erstellen auf Verbindungen, kann lesen auf DAGs, kann bearbeiten auf DAGs, kann löschen auf DAGs, kann lesen auf DAG-Ausführungen, kann lesen auf Aufgabeninstanzen, kann bearbeiten auf Aufgabeninstanzen, kann löschen auf DAG-Ausführungen, kann erstellen auf DAG-Ausführungen, kann bearbeiten auf DAG-Ausführungen, kann lesen auf Audit-Protokollen, kann lesen auf ImportError, kann löschen auf Pools, kann lesen auf Pools, kann bearbeiten auf Pools, kann erstellen auf Pools, kann lesen auf Anbietern, kann löschen auf Variablen, kann lesen auf Variablen, kann bearbeiten auf Variablen, kann erstellen auf Variablen, kann lesen auf XComs, kann lesen auf DAG-Code, kann lesen auf Konfigurationen, kann lesen auf Plugins, kann lesen auf Rollen, kann lesen auf Berechtigungen, kann löschen auf Rollen, kann bearbeiten auf Rollen, kann erstellen auf Rollen, kann lesen auf Benutzern, kann erstellen auf Benutzern, kann bearbeiten auf Benutzern, kann löschen auf Benutzern, kann lesen auf DAG-Abhängigkeiten, kann lesen auf Jobs, kann lesen auf Mein Passwort, kann bearbeiten auf Mein Passwort, kann lesen auf Mein Profil, kann bearbeiten auf Mein Profil, kann lesen auf SLA-Verfehlungen, kann lesen auf Aufgabenprotokollen, kann lesen auf Website, Menüzugang auf Durchsuchen, Menüzugang auf DAG-Abhängigkeiten, Menüzugang auf DAG-Ausführungen, Menüzugang auf Dokumentation, Menüzugang auf Docs, Menüzugang auf Jobs, Menüzugang auf Audit-Protokollen, Menüzugang auf Plugins, Menüzugang auf SLA-Verfehlungen, Menüzugang auf Aufgabeninstanzen, kann erstellen auf Aufgabeninstanzen, kann löschen auf Aufgabeninstanzen, Menüzugang auf Admin, Menüzugang auf Konfigurationen, Menüzugang auf Verbindungen, Menüzugang auf Pools, Menüzugang auf Variablen, Menüzugang auf XComs, kann löschen auf XComs, kann lesen auf Aufgaben-Neuplanungen, Menüzugang auf Aufgaben-Neuplanungen, kann lesen auf Trigger, Menüzugang auf Trigger, kann lesen auf Passwörter, kann bearbeiten auf Passwörter, Menüzugang auf Benutzer auflisten, Menüzugang auf Sicherheit, Menüzugang auf Rollen auflisten, kann lesen auf Benutzerstatistik-Diagramm, Menüzugang auf Benutzerstatistiken, Menüzugang auf Basisberechtigungen, kann lesen auf Menüansichten, Menüzugang auf Ansichten/Menüs, kann lesen auf Berechtigungsansichten, Menüzugang auf Berechtigungen auf Ansichten/Menüs, kann abrufen auf MenuApi, Menüzugang auf Anbieter, kann erstellen auf XComs]
Op
[kann löschen auf Verbindungen, kann lesen auf Verbindungen, kann bearbeiten auf Verbindungen, kann erstellen auf Verbindungen, kann lesen auf DAGs, kann bearbeiten auf DAGs, kann löschen auf DAGs, kann lesen auf DAG-Ausführungen, kann lesen auf Aufgabeninstanzen, kann bearbeiten auf Aufgabeninstanzen, kann löschen auf DAG-Ausführungen, kann erstellen auf DAG-Ausführungen, kann bearbeiten auf DAG-Ausführungen, kann lesen auf Audit-Protokollen, kann lesen auf ImportError, kann löschen auf Pools, kann lesen auf Pools, kann bearbeiten auf Pools, kann erstellen auf Pools, kann lesen auf Anbietern, kann löschen auf Variablen, kann lesen auf Variablen, kann bearbeiten auf Variablen, kann erstellen auf Variablen, kann lesen auf XComs, kann lesen auf DAG-Code, kann lesen auf Konfigurationen, kann lesen auf Plugins, kann lesen auf DAG-Abhängigkeiten, kann lesen auf Jobs, kann lesen auf Mein Passwort, kann bearbeiten auf Mein Passwort, kann lesen auf Mein Profil, kann bearbeiten auf Mein Profil, kann lesen auf SLA-Verfehlungen, kann lesen auf Aufgabenprotokollen, kann lesen auf Website, Menüzugang auf Durchsuchen, Menüzugang auf DAG-Abhängigkeiten, Menüzugang auf DAG-Ausführungen, Menüzugang auf Dokumentation, Menüzugang auf Docs, Menüzugang auf Jobs, Menüzugang auf Audit-Protokollen, Menüzugang auf Plugins, Menüzugang auf SLA-Verfehlungen, Menüzugang auf Aufgabeninstanzen, kann erstellen auf Aufgabeninstanzen, kann löschen auf Aufgabeninstanzen, Menüzugang auf Admin, Menüzugang auf Konfigurationen, Menüzugang auf Verbindungen, Menüzugang auf Pools, Menüzugang auf Variablen, Menüzugang auf XComs, kann löschen auf XComs]
User
[kann lesen auf DAGs, kann bearbeiten auf DAGs, kann löschen auf DAGs, kann lesen auf DAG-Ausführungen, kann lesen auf Aufgabeninstanzen, kann bearbeiten auf Aufgabeninstanzen, kann löschen auf DAG-Ausführungen, kann erstellen auf DAG-Ausführungen, kann bearbeiten auf DAG-Ausführungen, kann lesen auf Audit-Protokollen, kann lesen auf ImportError, kann lesen auf XComs, kann lesen auf DAG-Code, kann lesen auf Plugins, kann lesen auf DAG-Abhängigkeiten, kann lesen auf Jobs, kann lesen auf Mein Passwort, kann bearbeiten auf Mein Passwort, kann lesen auf Mein Profil, kann bearbeiten auf Mein Profil, kann lesen auf SLA-Verfehlungen, kann lesen auf Aufgabenprotokollen, kann lesen auf Website, Menüzugang auf Durchsuchen, Menüzugang auf DAG-Abhängigkeiten, Menüzugang auf DAG-Ausführungen, Menüzugang auf Dokumentation, Menüzugang auf Docs, Menüzugang auf Jobs, Menüzugang auf Audit-Protokollen, Menüzugang auf Plugins, Menüzugang auf SLA-Verfehlungen, Menüzugang auf Aufgabeninstanzen, kann erstellen auf Aufgabeninstanzen, kann löschen auf Aufgabeninstanzen]
Viewer
[kann lesen auf DAGs, kann lesen auf DAG-Ausführungen, kann lesen auf Aufgabeninstanzen, kann lesen auf Audit-Protokollen, kann lesen auf ImportError, kann lesen auf XComs, kann lesen auf DAG-Code, kann lesen auf Plugins, kann lesen auf DAG-Abhängigkeiten, kann lesen auf Jobs, kann lesen auf Mein Passwort, kann bearbeiten auf Mein Passwort, kann lesen auf Mein Profil, kann bearbeiten auf Mein Profil, kann lesen auf SLA-Verfehlungen, kann lesen auf Aufgabenprotokollen, kann lesen auf Website, Menüzugang auf Durchsuchen, Menüzugang auf DAG-Abhängigkeiten, Menüzugang auf DAG-Ausführungen, Menüzugang auf Dokumentation, Menüzugang auf Docs, Menüzugang auf Jobs, Menüzugang auf Audit-Protokollen, Menüzugang auf Plugins, Menüzugang auf SLA-Verfehlungen, Menüzugang auf Aufgabeninstanzen]
Public
[]
Lerne & übe AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Lerne & übe GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
