移动互联时代，云运维视角下的数字身份重塑

　　去年七月份，我蹲在IDC机房配线架前改一条BGP peer，手机震了八次——全是客户侧发来的截图：小程序登录页卡在“验证身份中”，转圈转了二十来分钟。

　　我原以为又是前端埋点错把JWT过期时间写成Unix毫秒戳，结果连curl -I看头都懒得看，先抄起手机自己扫了码。扫完跳转，弹窗直接报502——不是Nginx的，是支付宝SDK里那行“com.alipay.mobile.security.sso.api.AuthService: authenticate failed”，白底黑字，还带个小齿轮图标（那图标去年双十一上线时我们运维集体吐槽过太像打印机卡纸）。

　　后台查日志时，小陈端着保温杯过来站我后边，盯着屏幕说：“他们把用户openid全切到蚂蚁链上去了，不走咱们原先那个OAuth2.0 token endpoint。” 我没搭话，手指悬在键盘上停了三秒——这事儿没发过变更单，没进过灰度，更没人拉群@我。我点开上游Git仓库，最新commit作者是“devops-aliyun-bot”，时间戳是七月十七号凌晨两点零七分，提交信息就一行：“identity-provider refactor”。

　　我点了回退，发现分支保护开着；又切到prod分支看tag，lastest还是v2.3.1，可pod里跑的镜像sha256哈希值对不上release note里写的那个。我翻了七遍helm list输出，helm history里根本没有v2.4.0这条记录（倒是发现chart包里configmap模板多了一行envFrom: {secretKeyRef: {name: identity-svc-cred}}，可secret早就删了，去年六月做权限收缩时我自己删的）。

　　这时候监控告警炸了，阿里云SLS里突然涌进两百万条“Failed to resolve DID: did:alp:xxx… no resolver found”——DID是啥？我查了下文档，人家管这叫“分布式标识符”，说白了就是把原来存在MySQL里的uid+token映射关系，硬生生抽出来塞进链上合约里，调用时得先call合约验签名，再查IPFS存证。而我们的网关压根没配HTTP/2 ALPN协商（上周刚因为证书续签漏掉ALPN参数被厂商技术支持拖着讲了四十分钟，我说我不懂RFC，他说您真该补补）。

　　我试着重启istio-ingressgateway，第八次时它终于起了，但login接口返回状态码从502变成418——服务器居然回了个“I’m a teapot”。我看了一眼Envoy access log，确实是418，下游服务根本没收到请求（tcpdump抓包确认，SYN都飞不出去）。后来才晓得是蚂蚁链SDK内部判断“客户端未声明支持DID-RPC协议”，悄悄往Response Header里塞了个418骗我们（他们技术白皮书第十九页小字写着“为兼容性兜底，返回418替代HTTP 501”）。

　　反正我最后手抖删了所有关联ingress规则，把login路径临时回滚到旧API网关，流量切过去时告警停了。但用户数据……算了，反正那个“数字身份重塑”的PPT里写的是“以用户为中心”，没说清是以哪个用户为中心。

文章配图，仅供参考

　　对了，机柜最底下那台戴尔R730的风扇最近老响，嗡嗡的，跟空调外机似的；还有工位抽屉第三格里有半包没拆的山楂片，糖分结块了，捏起来像小石头。

　　有谁碰到过这个吗

（编辑：航空爱好网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!