构建嵌入Amazon SageMaker AI MLflow应用的自定义门户
概述
在机器学习的实验管理流程中，MLflow 已成为事实上的开源标准。Amazon SageMaker AI 原生集成了 MLflow，允许用户在其托管基础设施上运行 MLflow 实验。然而，企业往往需要将 MLflow 的 UI 嵌入到自有门户中，以实现统一访问与权限管控。本文将介绍如何构建一个自定义门户，将 SageMaker AI MLflow 应用界面嵌入其中，并通过 AWS CDK 实现一键部署。
架构设计
该方案的核心是一个React 前端与 Flask 反向代理的组合。React 前端负责呈现自定义门户界面，并嵌入 MLflow 应用的 iframe；Flask 反向代理则承担 AWS Signature Version 4（SigV4）认证的重任。由于 MLflow 应用受 IAM 保护，直接通过浏览器访问会缺乏签名认证，因此 Flask 代理会拦截对 MLflow 应用的请求，自动添加 SigV4 签名，从而让前端能够无缝调用 MLflow API。
整体架构通过 AWS Cloud Development Kit (AWS CDK) 进行基础设施即代码的管理，包括：
- Amazon ECS 或 AWS Fargate 运行 Flask 代理
- Application Load Balancer 作为前端入口
- Amazon CloudFront 分发静态资源（可选）
- IAM 角色与策略 控制对 MLflow 应用的访问
部署与验证
用户只需克隆示例代码仓库，配置好 AWS 环境与 SageMaker 域，运行 CDK 部署命令即可。部署完成后，自定义门户会提供一个统一的 URL，用户通过该 URL 访问时，Flask 代理会透明地处理认证，并将 MLflow UI 嵌入到门户页面中。验证步骤包括：
- 检查门户页面是否正确加载 MLflow 实验列表
- 测试通过门户创建、删除实验等操作
- 确认 IAM 权限限制生效（如只读用户无法修改）
安全考量
由于反向代理需要访问 SageMaker API，必须为其配置最小权限的 IAM 角色。此外，Flask 代理应部署在私有子网中，仅通过 ALB 暴露。跨域资源共享 (CORS) 策略也需要正确设置，防止未授权来源的请求。最后，建议启用 CloudFront 与 WAF 来增强前端安全。
总结
通过 React + Flask 反向代理 + AWS CDK 的组合，企业可以快速构建一个自定义门户，将 SageMaker AI MLflow 应用嵌入其中，实现统一的实验管理入口。该方案兼顾了灵活性与安全性，适合需要定制化 MLflow 访问体验的团队。
