Профили Kubeflow

Profile Kubeflow — это ресурс API-группы kubeflow.org, который создаёт рабочую область для команды или пользователя. О модели прав, SSO и назначении профилей см. раздел Как связаны Штурвал и Kubeflow.

Профиль по умолчанию #

При установке Kubeflow (kubeflow-step-4) создаётся Profile по умолчанию kflow-user-admin-namespace.

apiVersion: kubeflow.org/v1
kind: Profile
metadata:
  annotations:
    meta.helm.sh/release-name: kubeflow-step-4-<символы>
    meta.helm.sh/release-namespace: default
  creationTimestamp: 2026-08-20T08:17:11Z
  finalizers:
    - profile-finalizer
  generation: 2
  labels:
    app.kubernetes.io/managed-by: Helm
  name: kflow-user-admin-namespace
  resourceVersion: "8245826"
  uid: 7bc
spec:
  owner:
    kind: User
    name: admin
  resourceQuotaSpec: {}

Профиль по умолчанию предоставляет:

• сразу после установки неймспейс и рабочую область, в которую может зайти администратор платформы (admin);
• Central Dashboard и API notebooks/pipelines опираются на существующий Profile, без него после SSO не откроется UI;
• права в этом неймспейсе можно выдать с помощью наборов доступов с ролью Kubeflow, как для любого другого профиля.

Служебный профиль не создавайте вручную и не удаляйте, пока установлен kubeflow-step-4. Для команд и других пользователей создайте отдельный Profile — см. ниже.

Проверьте, что дефолтный профиль есть в кластере:

kubectl get profile.kubeflow.org kflow-user-admin-namespace -o yaml
kubectl get namespace kflow-user-admin-namespace --show-labels

Перед тем как создать профиль #

Перед созданием профиля Kubeflow в клиентском кластере убедитесь, что:

• Kubeflow установлен: Установка Kubeflow;
• CRD profiles.kubeflow.org и служебный Profile kflow-user-admin-namespace существуют.

kubectl get crd profiles.kubeflow.org
kubectl get ssc kubeflow-step-0 kubeflow-step-1 kubeflow-step-2 kubeflow-step-3 kubeflow-step-4
kubectl get profile.kubeflow.org

Создайте Profile #

Имя Profile станет именем неймспейса. В spec.owner.name укажите логин пользователя платформы (как у admin в профиле по умолчанию).

apiVersion: kubeflow.org/v1
kind: Profile
metadata:
  name: team-a
spec:
  owner:
    kind: User
    name: admin

kubectl apply -f - <<'EOF'
apiVersion: kubeflow.org/v1
kind: Profile
metadata:
  name: team-a
spec:
  owner:
    kind: User
    name: admin
EOF

На неймспейсе должен появиться лейбл istio-injection=enabled. Его задаёт profile-controller по ConfigMap namespace-labels-data-* в неймспейсе установки Kubeflow (default).

Проверьте профиль #

export PROFILE_NAME=team-a

kubectl get profile.kubeflow.org "${PROFILE_NAME}"
kubectl get namespace "${PROFILE_NAME}" --show-labels
kubectl get namespace "${PROFILE_NAME}" -o jsonpath='{.metadata.labels.istio-injection}{"\n"}'

Назначьте набор доступов Kubeflow владельцу или группе: Настройка разрешений, Назначение доступа.

Доступ, назначенный OIDC-группе, действует при работе через kubectl и при подключении к Notebook с помощью команды Connect. Однако из-за ограничения компонента profiles-kfam неймспейс может не отображаться в списке Kubeflow UI.

Если неймспейс не появился или нет лейбла Istio: устранение неполадок.

Удаление Profile #

Удаляйте только рабочие Profile. Служебный профиль kflow-user-admin-namespace не удаляйте — им управляет kubeflow-step-4. Перед удалением проверьте PVC, связанные PV и их reclaimPolicy. Сделайте резервную копию данных, которые необходимо сохранить. Отдельно удалять неймспейс заранее не нужно.

kubectl get pvc -n team-a
kubectl get pv

# Выполните после резервного копирования необходимых данных.
kubectl delete profile.kubeflow.org team-a
kubectl get namespace team-a
kubectl get pv

Удаляйте PV в состоянии Released с reclaimPolicy=Retain вручную только после подтверждения, что сохранённые данные больше не нужны.

Связанные разделы #

• Внешний доступ к KServe
• Устранение неполадок
• Настройка разрешений