6、深入了解Kubeflow：架构、隔离与最佳实践

深入了解Kubeflow：架构、隔离与最佳实践

1. 多用户架构

Kubeflow包含多个Web应用程序（如Kubeflow仪表盘、Jupyter Notebook、管道用户界面等）和API（如管道和Katib API），用户需从本地机器访问这些资源。为实现安全的多用户部署，需解决两个问题：
- 验证用户身份（认证）。
- 根据用户身份限制对Kubeflow及其内部服务的访问（授权）。

多用户架构的目标是让用户在Web应用程序和命令行 kubectl 访问点上拥有相同的身份和基于角色的访问控制（RBAC）权限。Kubeflow提供了可插拔的架构来处理认证和授权，便于集成特定云或本地部署的推荐解决方案。

Kubeflow集群有两条用户访问路径：
- Kubeflow中央仪表盘
- kubectl 命令行界面

中央仪表盘支持通过用户界面访问Kubeflow工具套件，而 kubectl 支持通过命令行访问Kubernetes API以使用Kubeflow。 kubectl 路径仍通过Kubernetes API服务器进行认证和授权，而浏览器访问路径则通过身份感知代理（如Istio网关、Google Cloud IAP）进行认证，以获取JWT令牌，后续会话关联的所有事务都将在HTTP头中携带该令牌。

认证实体可以是用户（OIDC、Google IAP）或服务账户（TokenReview）。

多用户授权流程

在Kubeflow 1.0中，Web应用程