MLFlow是否支持SPNEGO（Kerberos）认证？现有认证方式说明

核心结论 #

MLFlow原生不支持SPNEGO/Kerberos认证，官方仅提供以下通过环境变量配置的认证方式：

• MLFLOW_TRACKING_USERNAME + MLFLOW_TRACKING_PASSWORD：用于HTTP Basic认证，需同时设置两个变量，优先级高于Bearer认证
• MLFLOW_TRACKING_TOKEN：用于HTTP Bearer认证
• MLFLOW_TRACKING_INSECURE_TLS：设为true时跳过TLS证书验证，生产环境不建议使用，不可与MLFLOW_TRACKING_SERVER_CERT_PATH同时配置
• MLFLOW_TRACKING_SERVER_CERT_PATH：指定CA证书包路径，用于验证自签名服务器证书，不可与MLFLOW_TRACKING_INSECURE_TLS同时配置
• MLFLOW_TRACKING_CLIENT_CERT_PATH：指定SSL客户端证书（.pem格式）路径，用于使用自签名客户端证书的场景

关于你的Nginx SPNEGO配置场景 #

你在Nginx层配置SPNEGO后通过curl可正常访问MLFlow URI，说明反向代理层的Kerberos认证逻辑是有效的。但MLFlow客户端无法通过环境变量实现该认证，本质是因为MLFlow客户端本身没有内置SPNEGO/Kerberos的认证逻辑，无法通过环境变量触发Kerberos票据的生成与传递。

此时的可行思路是：确保MLFlow客户端运行的环境已获取有效的Kerberos TGT票据（通过kinit等命令），让系统层面自动处理Kerberos认证的票据传递，从而通过Nginx的SPNEGO认证校验，无需依赖MLFlow的环境变量配置。

内容的提问来源于stack exchange，提问作者Alex Coast