启智 QZ

QZ 是什么

QZ（启智）是公司接入的模型训练与算力集群平台。ginit 把 qz 命令行打进 device Bundle（self 变体内置 Python 解释器与 qz-cli，装完即用），agent 会话里可以直接用 PATH 上的 qz 提交训练任务、管理 notebook、取回产物——与用 lark 操作飞书是同一套体验。

登录 QZ 需要什么

ginit qz link

需要两样东西：

1. OIDC 身份：QZ/Keycloak 账号。qz link 发起 qz login --oidc，拿到的 refresh_token 加密存到服务端，后续刷新由设备侧 resident 自动维护（keeper 常驻轮换，不需要你反复登录）。
2. QZ 账号密码：QZ 的一部分路径（WebDAV、SSH、notebook 等）仍走 cookie/basic-auth，不接受 OIDC。账号密码只缓存在本机 ~/.ginit/qz-credentials.json（权限 0600），永不上传服务端。

一个重要语义：agent ≡ 你。QZ/Keycloak 没有 agent 身份，集群侧看到的就是你本人的用户身份，权限等同。

ginit qz status

ginit qz unlink

没有权限 / 缺 CLI token

QZ 账号本身需要开通（集群资源配额、CLI token 都不在自助范围）。遇到 qz 报权限错误或缺 token，需要找负责的老师开通——进这个飞书群：

常见问题

为什么 link 要求输账号密码，OIDC 不是更安全吗？ QZ 目前是双认证面：OIDC 只覆盖内部 API，WebDAV/SSH/notebook 还依赖 cookie。不提供账号密码就是半个可用状态（可以显式 --no-cookie-creds 走纯 OIDC，但功能受限）。

qz 命令在会话里认证失败？ 先跑 ginit qz status 看 token 状态：stale 是网络抖动，等 keeper 自动刷新；invalid / needs_relink 才需要重新 ginit qz link。

换机器需要重新 link 吗？ 需要。QZ 凭证是设备本地状态（账号密码本机缓存 + owner-scoped keeper），新机器重新走一遍 ginit qz link。