如何在联邦式Kubernetes与AI平台间传递用户身份

一种新型中央身份网关模式正在应对现代AI和数据平台面临的一项关键挑战：如何在联邦式Kubernetes环境和分布式数据平面上无缝地传递用户身份。当用户在可能运行于不同集群或云账户的门户、笔记本电脑和AI助手之间导航时，他们的身份必须随之移动，而不能削弱安全性或迫使用户反复登录。

对于计算和数据分散在区域集群、独立云环境或专用执行平面的平台来说，这一问题尤为突出。用户期望获得单一、统一的体验，但他们的身份验证上下文在从控制平面转移到各种数据平面服务时常常丢失。

提出的解决方案涉及一个拥有平台会话的中央网关。数据平面网关随后通过共享API验证此会话，并将其转换为下游应用程序可信任的本地身份。该模式利用标准OpenID Connect (OIDC)、共享会话存储和一个小型的身份验证API，为服务创建一致的契约。

如果没有这种模型，平台会遭受若干结构性问题。会话变得孤立，导致反复出现登录提示。登出和令牌吊销无法跨集群传播，从而产生安全风险。此外，每个数据平面网关可能以不同方式实现身份集成，导致身份声明和审计跟踪不一致。

NVIDIA已经实施了这一模式并取得了显著成果。在跨越AWS和OCI中Kubernetes集群的内部开发者平台中，该方法减少了55%的重复登录事件。它还为统一的平台外壳、一致的登出以及能够在数据平面间以委托用户身份运行的AI助手创建了一个可重用的基础。

核心设计广泛适用于运行多云数据平台、机器学习工作台或AI应用程序堆栈的平台团队。它将问题从分发原始令牌转变为提供标准化、可信任的身份传播平台契约。

最终，这种模式允许联邦平台在保持强大、可审计安全性的同时，提供用户期望的无缝体验。它超越了传统SSO的局限性（传统SSO仅在入口进行身份验证），确保身份在执行工作的每个环境中都能被正确地情境化。

未来的AI和数据平台将越来越依赖此类机制才能有效运作。随着工作负载变得越来越分散，安全传播用户上下文的能力将成为开发者生产力和平台治理的基本要求。