Airflow

세 가지 사용자 유형과 Non-authenticated 예외

작은 규모의 설치에서는 한 사람이 모든 역할을 수행할 수 있지만, 규모가 커지면 책임과 권한을 분리해야 한다. Airflow는 이를 위해 Deployment Manager, Authenticated UI user, Dag author 세 유형을 정의한다.

Airflow는 기본적으로 비인증 사용자를 지원하지 않는다. 다만 두 가지 예외가 있다: 다른 시스템이 상태를 조회할 수 있어야 하는 ``/api/v2/monitor/health`` 헬스체크 엔드포인트, 그리고 로그인 전이라 당연히 비인증 상태여야 하는 ``/login`` 엔드포인트다. 이 두 엔드포인트를 제외하고 비인증 접근을 허용한다면 그로 인한 잠재적 취약점은 전적으로 Deployment Manager가 평가하고 책임져야 한다.

Deployment Manager와 Dag Author의 권한

Deployment Manager는 가장 높은 수준의 접근과 통제 권한을 가진다. Airflow를 설치·설정하고 기술과 권한에 대한 의사결정을 내리며, 이론적으로 설치 전체를 삭제하거나 모든 자격증명에 접근할 수 있다. 감사 로그, 백업을 Airflow 바깥에 별도로 보관하는 것도 Deployment Manager의 선택이며, 이는 Airflow의 보안 모델이 다루는 범위 밖이다.

Dag Author는 Dag 파일을 생성, 수정, 삭제할 수 있다. 그 코드는 워커, Dag File Processor, Triggerer에서 실행되므로, Dag Author는 사실상 이 컴포넌트들에서 실행되는 코드를 바꿀 수 있고 그 코드가 접근하는 외부 시스템의 자격증명에도 잠재적으로 접근할 수 있다.

Airflow 3에서는 컴포넌트별로 데이터베이스 격리 수준이 다르다. 워커에서 실행되는 태스크 코드는 Execution API를 통해서만 API 서버와 통신하며 데이터베이스 자격증명을 받지 않으므로 메타데이터 DB에 직접 접근할 수 없다. 반면 Dag File Processor와 Triggerer는 Dag Author 코드가 실수로 DB에 접근하는 것을 막는 소프트웨어 가드가 있지만, 이 프로세스들이 DB 자격증명을 가진 부모 프로세스와 동일한 Unix 사용자로 실행되기 때문에, 의도적으로 악의적인 Dag Author는 부모 프로세스에서 자격증명을 탈취해 DB에 직접 접근할 수 있다.

Authenticated UI User 세부 역할

Authenticated UI user의 실제 권한은 Deployment Manager나 Admin이 구성한 역할과 권한에 따라 달라지며, 단일 Dag만큼 좁게 스코핑될 수도, Admin만큼 넓을 수도 있다. 문서는 개념 이해를 돕기 위해 네 가지 범주를 제시한다.

Admin은 다른 사용자에게 권한을 부여/관리하며 모든 UI 기능에 전체 접근권을 갖는다. Connection을 구성해 워커에서 코드를 실행시킬 수 있으므로 이 권한을 남용하지 않을 것이라는 신뢰가 필요하다. 민감한 자격증명에 접근하고 수정할 수 있지만, 기본적으로 시스템 레벨 설정에는 접근하지 못한다. API Server에 DoS를 유발할 수도 있어 이 역시 신뢰가 전제된다. 감사 로그는 기본적으로 Admin만 접근 가능하다.

Operations user는 Admin과 거의 동일한 접근권을 갖지만, 권한 관리/부여와 감사 로그 접근은 할 수 없다는 점이 유일한 차이다.

Connection configuration user(:ref:`connection-configuration-users`)는 Connection을 구성하고 그 결과로 Dag 실행 중 워커에서 코드가 실행될 수 있으므로 신뢰가 필요하다. Airflow 3부터는 민감 자격증명에 대해 write-only 권한만 가지며 값을 조회(view)할 수는 없다 - Airflow 2까지는 브라우저 Inspect 기능이나 Connection extra의 평문 노출을 통해 조회가 가능했지만, Airflow 3는 API 레벨에서 이 값을 마스킹해 평문으로 반환하지 않는다. 잘못된 Connection 설정은 API Server DoS나 일부 프로바이더에서 원격 코드 실행으로 이어질 수 있어 고신뢰 역할로 취급된다.

Audit log user는 설치 전체의 감사 이벤트를 조회할 수 있다. Regular user는 Dag/태스크 인스턴스/Dag 실행을 보고 편집하며 태스크 로그를 볼 수 있다. Viewer user는 Dag 관련 정보와 태스크 로그를 읽기 전용으로만 볼 수 있고, 감사 로그에는 접근할 수 없다.

민감 정보(Sensitive information)의 처리 범위

민감 정보는 Connection 상세정보, Variable, Configuration을 포괄한다. Airflow 3.0 이후 버전에서는 이런 민감 정보가 API, UI, ``airflowctl``을 통해 노출되지 않는다. 다만 task-sdk는 여전히 민감 정보에 접근할 수 있다 - 예를 들어 태스크 전용 JWT 토큰으로 SDK API 클라이언트를 통해 Variable을 가져오는 경우다. 로컬 CLI는 ``--show_values``를 명시하지 않으면 키만 반환하고 값은 반환하지 않는다.

민감 정보는 로그, UI, API 출력에서 마스킹되지만, Dag Author가 환경 변수 등 다른 경로로 민감 정보를 노출시키는 경우 그 값은 마스킹되지 않는다.