はじめに

MWAAでは、Airflowのインフラに関することをAWS側が実施してくれるため、管理が楽になります。しかしその反面、こちら側で制御できないことがいくつかあります。
そのうちの一つが、Airflowのユーザー作成です。自分で建てたAirflowサーバーであれば、自由にユーザーを作成することが出来ますが、MWAAではIAMを利用する必要があります。今回はそのユーザー作成を「1.Airflow デフォルトロール」「2.Airflow カスタムロール」の2つで試したので、記事にしておきます。

先にまとめ

MWAAでは、Airflowユーザーを独自に作成することはできず、IAMを使って認証する必要がある
IAMに付与するポリシーでairflow:CreateWebLoginTokenを許可することで認証する（自己プロビジョニング的な方法）
airflow:CreateWebLoginTokenで許可する際のResource句はAirflowのデフォルトの5つのロールしか指定できない
カスタムロールを付与したい場合は、まずはPublicロールをResource句で指定して、ユーザーにAirflow UIへログインしてもらう。その後、作成されたAirflow Userにカスタムロールを付与する

前提条件

MWAAのv2.8.1の環境をバージニア北部リージョン（us-east-1）に作成済み
- パブリックアクセスモードで作成
- 環境名MyAirflowEnvironment-282
MWAAで利用するバケットやVPCなどは作成済み
管理者として、AdministratorAccessをつけたIAMロール作成済み
- このIAMロールで管理者操作をします
- ユーザーは、これからIAMユーザーとして作成します

1. Airflow デフォルトロール（user）でログイン

まずは、Airflow のデフォルトロールのうちの1つであるuserを使ってログインしてみます。
Airflow のデフォルトロールは、以下の公式ドキュメントに記載の通り、Admin, Public, Viewer, User, Op の5種類がいます。

デフォルトロールなので細かい権限のカスタマイズはできませんが、比較的楽に準備ができます。

IAMユーザー作成（管理者）

IAMユーザー mwaa_test_user1 を作成しておきます。

IAMポリシー作成、付与（管理者）

以下の内容のIAMポリシーMWAA-User-Policyを作成し、IAMユーザーに付与します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "airflow:CreateWebLoginToken",
            "Resource": [
                "arn:aws:airflow:us-east-1:999999999999:role/MyAirflowEnvironment-282/User"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "airflow:ListEnvironments",
                "airflow:GetEnvironment",
                "airflow:ListTagsForResource"
            ],
            "Resource": "*"
        }
    ]
}

以下のドキュメントを参考にしています。

"airflow:CreateWebLoginToken"のResourceで指定するarnのAWSアカウントの後はroleであることに注意してください。環境名をそのままコピーするとarn:aws:airflow:us-east-1:999999999999:environment/MyAirflowEnvironment-282のようにAWSアカウントの後がenvironmentとなっています。

Airflow UI にアクセス（ユーザー）

IAMユーザー mwaa_test_user1にログインしなおして、MWAAのコンソールから「Airflow UI を開く」をクリックします。
ログインできました。

Profileを見ると、Userロールでログインできていることが分かります。User Nameは、IAMユーザー名になっていますね。

ちなみに、UserロールではConnectionを参照する権限がついていないため、以下のようにメニューのAdminの中にConnectionsがありません。次のカスタムロールでは、これを見られるようにしていきます。

2. Airflow カスタムロールでログイン

次に、カスタムロールでログインする場合です。DAGレベルでの参照や実行権限の制御もできます。ただし、準備が少し面倒です。デフォルトロールと同じくIAMポリシーにカスタムロール名を記載してログインできれば良いのですが、それができません。代わりに、一度デフォルトロールであるPublicでユーザーにログインしてもらうことでAirflow上にユーザーを作成し、Airflow UIで管理者がそのユーザーにカスタムロールを付与します。

以下の公式ドキュメントを参考にしています。

IAMユーザー作成（管理者）

IAMユーザー mwaa_test_user2 を作成しておきます。

IAMポリシー作成、付与（管理者）

以下の内容のIAMポリシーMWAA-Public-Policyを作成し、IAMユーザーに付与します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "airflow:CreateWebLoginToken",
            "Resource": [
                "arn:aws:airflow:us-east-1:999999999999:role/MyAirflowEnvironment-282/Public"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "airflow:ListEnvironments",
                "airflow:GetEnvironment",
                "airflow:ListTagsForResource"
            ],
            "Resource": "*"
        }
    ]
}

今度は、AirflowのデフォルトロールであるPublicを指定しています。
このPublicですが、実は何も許可されていないロールです。以下はAirflow UIで見たときのOpとPublicの許可されているアクションですが、Publicには何も許可されていないことが分かります。

なぜこんなロールを付与するかというと、一度Airflow UIにユーザーがログインすることで、Airflow上のユーザーとして登録されるからです。本当に付与したいロールはカスタムロールなので、権限はそちらで操作します。

Airflow カスタムロール作成（管理者）

管理者でAirflow UIにログインして、新しくロールを作成します。今回は、既存のUserロールを一度コピーして、そこにmenu access on Connectionsとcan read on Connectionsの権限を足しました。こうすることで、既存のUserロールでは見えなかったConnectionsが見られるようになります（作成や修正権限は与えないので、参照のみです）。