现代 AI 平台已不再是单一登录界面背后的单一应用。用户可能从中央门户开始，打开受治理的数据集，在数据所在的集群启动笔记本，再调用另一个集群中提供服务的助手。整个工作流看起来是统一的，但身份在每一步都跨越了控制平面与数据平面的边界，这正是传统单点登录开始力不从心的地方。
单点登录证明了用户通过了前门，但跨多个集群管理联邦数据或 AI 平台的平台团队，仍然需要一种可靠方式，将用户上下文带入分布式执行环境，同时不把原始令牌交给每个应用、不削弱吊销能力、也不强迫每个集群重新实现身份提供方逻辑。对于 AI 与数据平台而言这一挑战尤为重要，因为数据与算力通常靠近其产生、存储或被治理的位置，工作负载可能运行在区域集群、独立云账户、本地环境或专用执行平面中，而用户仍期望在笔记本、数据目录、查询工具、仪表盘和 AI 助手之间获得统一的平台体验。
NVIDIA 介绍的中心化身份网关模式用于在联邦数据平面之间传播用户身份：中心网关拥有平台会话，数据平面网关通过共享 API 验证该会话，并将其转换为下游应用可信任的本地身份上下文。该模式使用标准 OpenID Connect、共享会话存储、无状态数据平面网关，以及一个服务可以信任的小型身份验证 API。
在没有共享身份传播模型的情况下，会出现若干问题：控制平面认证不会自动转变为可信任的数据平面身份；转发原始令牌会扩大凭据暴露面，并让「谁在何处可以使用哪个令牌」更难判断；每个数据平面网关可能以不同方式与身份提供方集成，造成声明、刷新行为和审计记录不一致；登出与吊销可能无法快速传播到每个集群或执行平面；新应用会继承身份管道逻辑，而不是消费标准的平台契约。
为此，NVIDIA 对比了两种常见结构。第一种是分布式会话归属：每个服务网关拥有自己的登录流程、会话存储、令牌刷新逻辑和登出行为，各集群保持独立，但身份状态无法在平台内干净地迁移。第二种是中心化会话归属：由专门的身份网关拥有登录、会话状态、刷新和登出，区域网关继续保留，但把会话验证委托给中心身份网关，并专注于请求的强制实施。中心化模式带来的是按平台会话而非按工具登录、平台级登出、协调的令牌刷新，以及通过可信任头部或声明标准化的下游身份。
NVIDIA 表示，该模式在其内部跨 AWS 和 OCI 的 Kubernetes 集群开发者平台上，使重复登录事件减少了 55%。更重要的是，它为统一平台外壳、一致的登出体验、更低的上游身份提供方负载，以及能够以委托用户身份跨数据平面执行操作的 AI 助手，创建了可复用的基础。该模式的核心设计对运行联邦 Kubernetes 环境、多云数据平台、机器学习工作台、内部开发者门户，或包含多个认证工具的 AI 应用栈的平台团队，都具有普遍适用性。
WeChat
Profile