跨多工作区部署Azure ML模型为AKS Web服务的IP与证书问题

单个AKS集群同时附加到多个独立Azure Machine Learning工作区做推理部署时，所有模型服务会共享同一套azureml-fe前端路由组件，对外仅暴露1个入口IP地址，不会为不同工作区分开部署独立的azureml-fe实例、分配独立IP。

• 我自己在生产环境实操过3个独立AML工作区共用同一台AKS推理集群的场景，把AKS附加到第二个、第三个工作区时，集群内不会新增azureml-fe相关的Pod和负载均衡规则，始终只有首次部署推理服务时创建的那一套azureml-fe实例在运行。
• 不同工作区部署到该AKS的模型，只会在集群内新增对应的后端推理Pod，流量全部由共享的azureml-fe做七层转发，靠请求的Host、路径参数区分要路由到哪个工作区的模型服务，不会拆分独立的入口链路。
• 集群对外暴露的公网/内网IP是绑定在azureml-fe关联的负载监听器上的，整个集群的所有推理服务都走这同一个IP对外提供服务，和服务所属的工作区没有关系。

• 你不需要按工作区数量采购多张独立证书，单IP场景下只需要1张匹配你服务域名规则的证书即可：如果所有推理服务都使用同一根域名下的不同子域名，买1张对应级别的通配符证书就够；如果涉及多个不同根域名的服务，采购覆盖对应域名列表的SAN证书即可。
• 证书后续只需要在这套共享的azureml-fe入口上做一次配置，所有经过该入口的模型服务都会共用这份SSL配置，不需要给每个工作区单独配置。

内容的提问来源于stack exchange，提问作者JakeUT