Azure AKS部署Kubeflow点击登出按钮触发无限重定向登录问题

这个问题本质是Kubeflow默认的登出逻辑仅清除了平台本地会话，未触发Azure AD侧的OIDC全局会话销毁，导致AAD会话存续时直接自动完成重新登录。可以按以下步骤修复：

1. 调整认证层配置 #

根据你部署Kubeflow时用的认证组件选择对应配置：

场景A：使用Istio Oauth2 Proxy做认证（AKS部署Kubeflow的默认方案） #

修改istio-system命名空间下的oauth2-proxy Deployment，新增以下环境变量：

• OAUTH2_PROXY_LOGOUT_URL: 填AAD登出地址 https://login.microsoftonline.com/<你的应用注册ID>/oauth2/v2.0/logout
• OAUTH2_PROXY_POST_LOGOUT_REDIRECT_URI: 填Kubeflow首页地址，确保和AAD应用注册里配置的登出回调地址一致
  如果是用Helm部署的Kubeflow，直接在values.yaml的oauth2-proxy配置块新增以上参数即可，无需直接修改Deployment。

场景B：使用Dex做OIDC中介 #

修改dex的ConfigMap，在Azure AD连接器的配置块新增logoutURI字段，值为上述的AAD登出地址。

2. 修正VirtualService重定向规则 #

你之前配置不生效大概率是规则优先级问题，调整如下：

• 找到Kubeflow网关关联的VirtualService，新增/logout路径的匹配规则，优先级放在所有通用路径规则之前
• 规则配置为302重定向到AAD登出地址，附带回调参数，示例重定向目标格式：
  https://login.microsoftonline.com/<Application ID>/oauth2/v2.0/logout?post_logout_redirect_uri=https%3A%2F%2F<你的Kubeflow访问域名>

3. 校验AAD应用注册配置 #

进入Azure Portal对应应用注册的「身份验证」页，在「登出URL」配置项中添加你上面用到的post_logout_redirect_uri完整地址，否则AAD会拦截登出请求。

4. 生效验证 #

重启oauth2-proxy或者dex的Pod，清除浏览器缓存后测试登出：点击登出按钮会先跳转AAD登出页销毁全局会话，再跳转回Kubeflow登录页，不会再自动重登。

内容的提问来源于stack exchange，提问作者WingMan