Netflix打通AWS IAM与内部Metatron PKI 实现数万Data Project统一身份认证

Netflix近期实现AWS IAM身份系统与内部Metatron PKI的深度集成，构建基于工作负载认证（Workload Attestation）的可信链路，解决托管计算环境与内部服务间的身份断层问题。其核心方案围绕Data Project展开——每个项目映射至专用IAM角色，并分散部署于多AWS账户池中，以支持未来数万个项目的扩展需求。当用户提交Spark作业时，控制平面校验请求并生成签名元数据载荷；Spark驱动程序以IAM角色调用STS GetCallerIdentity接口，身份服务拦截请求获取调用者ARN，结合元数据交叉验证后，为该工作负载签发短效Metatron X.509证书。创新采用“一次认证、扇出分发”机制：仅驱动程序完成认证，再经mTLS加密通道向数千执行器分发临时凭证，大幅降低认证负载并强化信任边界。凭证生命周期由驱动程序主动续期，保障长期作业稳定性。该架构将云身份作为可验证输入源，生成组织自有身份，既满足内部微服务双向TLS要求，又实现全链路身份溯源，支撑每日数百万Spark作业运行。方案具备跨平台迁移潜力，适用于GCP Workload Identity、Azure Managed Identities及Kubernetes Service Account等场景，代表云原生安全向动态身份绑定演进的重要实践。