联邦Kubernetes身份传递：AI平台跨集群用户认证实践

现代AI平台早已不再是单一登录界面背后的独立应用。一位用户可能从中央门户开始工作，打开一个受治理的数据集，启动一个notebook，然后将训练任务提交到远端的Kubernetes集群——整个过程横跨多个系统、多个信任域。如何在这些分散的边界之间安全、可追溯地传递用户身份，成为构建企业级AI基础设施的核心挑战。

本文基于NVIDIA开发者博客的技术分享，梳理在联邦式（federated）Kubernetes与AI平台架构中实现端到端身份传递的关键思路与实践模式。

为什么身份传递如此困难

传统单体应用只需在入口处验证一次身份，后续操作都在同一信任边界内完成。但现代AI工作流的形态截然不同。

跨越多个信任域的工作流

一个典型的AI用户旅程往往是这样的：用户登录中央门户完成初次认证，随后访问由数据治理系统管理的数据集，接着在notebook环境中进行探索性开发，最终把大规模训练任务调度到独立的GPU集群上执行。

这条链路上的每一个环节——门户、数据平台、notebook服务、Kubernetes调度器——往往由不同团队维护，运行在不同的集群甚至不同的云环境中，各自拥有独立的认证与授权机制。当任务从一个系统流向下一个系统时，"这个操作到底是谁发起的" 这一关键信息很容易在传递过程中丢失。

身份丢失带来的三重风险

一旦用户身份无法贯穿整条链路，会引发一系列严重问题：

• 审计断层：当训练任务由平台服务账号（Service Account）代为提交时，日志中记录的是服务身份而非真实用户，事后追溯操作责任几乎不可能。
• 授权失真：下游系统无法基于真实用户权限做细粒度访问控制，只能依赖粗放的服务级权限，违背最小权限原则。
• 合规隐患：在受监管行业中，无法证明数据访问与模型训练的真实操作主体，可能直接触碰合规红线。

身份传递的核心模式

要解决上述问题，业界逐渐形成了几种成熟的身份传递范式。核心思路在于让身份信息以可验证的凭证形式随请求一同流动。

基于OIDC/JWT Token的身份传播

最基础也最通用的方案是使用标准化的令牌来承载身份。用户在门户完成认证后获得一个OIDC/JWT令牌，其中包含用户标识、所属组织、权限声明（claims）等信息。当用户发起下游操作时，这个令牌（或其派生令牌）随请求向下传递，每一个接收系统都可以独立验证令牌的签名与有效性，从而确认请求的真实发起者。

这种方式的核心优势在于无状态验证——下游系统无需回调认证中心即可校验身份，非常适合分布式架构。关键前提是所有参与系统必须信任同一个（或一组相互信任的）身份提供方（IdP）。

令牌交换与身份委派机制

真实场景中，直接透传原始用户令牌并不总是安全或可行。这时需要引入令牌交换（Token Exchange） 机制，典型实现如OAuth 2.0 Token Exchange（RFC 8693）。平台服务在收到用户令牌后，可以向IdP请求换取一个作用域更受限、面向特定下游资源的新令牌。

更进一步，可以采用委派（delegation）与代理（impersonation） 模型，明确区分"服务代表用户执行"与"服务作为自身执行"两种语义。在Kubernetes中，这可以通过用户模拟（User Impersonation）能力实现——让审计日志既记录代理服务，也记录真实的最终用户，从而保留完整的责任链。

联邦身份与SPIFFE信任链

在联邦架构下，多个Kubernetes集群和AI平台之间需要建立联邦身份信任关系。通过配置各集群互认的身份提供方，一个域内颁发的身份凭证可以在另一个域内被验证和接受。

工作负载身份（Workload Identity）标准如SPIFFE/SPIRE，也为跨集群的服务与服务之间、服务与用户之间的身份互信提供了统一框架。借助SPIFFE定义的标准化身份标识符（SPIFFE ID）和证书体系，不同集群中的工作负载能够安全地相互认证，而无需共享密钥或依赖单一的中心化认证服务。

落地实践的关键考量

在实际构建这套身份传递体系时，有几个工程层面的要点值得特别关注。

端到端的可审计性

身份传递的终极目标之一就是审计。系统设计应确保从门户到GPU集群的每一跳都记录真实用户身份，让"谁在什么时间、用什么数据、跑了什么任务"变得清晰可查。这要求日志系统统一采集并关联跨系统的身份上下文，而非各自为政。

令牌生命周期管理

长时间运行的训练任务对令牌管理提出了特殊挑战——用户的原始令牌可能在任务完成前就已过期。因此需要设计合理的令牌刷新（Refresh Token）与续期机制，同时避免过长的令牌有效期扩大攻击面。在委派场景下，通常为长任务颁发专用的、生命周期与任务绑定的凭证。

最小权限与作用域收缩

每一次身份向下传递，都应是收缩权限而非放大权限的过程。下游任务只应获得完成其工作所必需的最小权限集合，通过令牌交换时的作用域限定（scope）来实现精细化控制。这一原则在多租户AI平台中尤为重要，能够有效防止权限逃逸和横向越权。

结语

随着AI平台日益走向联邦化、分布式的形态，身份不再是一次性的入口检查，而是需要贯穿整个工作流的"活"的上下文。将用户身份安全地传递到每一个执行环节，既是安全合规的底线要求，也是构建可信AI基础设施的基石。

对于正在设计企业级AI平台的团队而言，尽早在架构中引入基于标准令牌的身份传播、OAuth令牌交换与联邦信任机制，远比事后打补丁要经济和可靠得多。身份，理应像数据一样，被视为需要精心治理的一等公民。