Airflow中环境变量未加密原因及添加fernet_key后仍未加密的问题

一、为何Airflow中的环境变量未加密？ #

Airflow默认不会自动加密存储环境变量（特指Airflow UI/CLI中设置的Variable对象），核心原因如下：

• 加密功能完全依赖Fernet Key作为核心加密密钥，默认配置中该密钥为空或未配置，导致加密机制未启用。
• 系统级环境变量（如操作系统层面设置的AIRFLOW__*变量）本身不会被Airflow加密，这类变量的安全依赖操作系统的权限控制逻辑。

二、添加fernet_key后环境变量仍未加密的排查与解决 #

如果已经在airflow.cfg中配置了fernet_key，但UI中的变量还是明文，可按以下步骤逐一排查：

• 验证Fernet Key的有效性
  确保使用正确命令生成合规密钥：

  python -c "from cryptography.fernet import Fernet; print(Fernet.generate_key().decode())"
  

  生成的密钥是一串Base64编码字符串，需完整复制到airflow.cfg的fernet_key字段中，注意不要添加多余空格或换行符。

• 重启所有Airflow服务
  修改airflow.cfg后，必须重启Airflow webserver、scheduler、worker（若使用CeleryExecutor）等所有相关服务，否则新配置不会生效：

  airflow webserver restart
  airflow scheduler restart
  airflow celery worker restart
  

• 重新保存已有明文变量
  Fernet加密仅对配置密钥后新增或修改的变量生效，之前已存在的明文变量不会自动加密。需要进入Airflow UI找到这些变量，重新保存一次即可触发加密存储。

• 检查配置文件权限
  确保Airflow服务进程拥有读取airflow.cfg的权限，若文件权限过严（如仅root可读），服务无法加载fernet_key，加密机制会直接失效。

• 确认变量存储后端配置
  若使用了自定义变量存储后端（如Redis、AWS Secrets Manager），需确保该后端支持加密功能，或已正确完成与Fernet Key的集成配置。

内容的提问来源于stack exchange，提问作者nope_that_does_not_work