KeyClope无效参数：在反向代理后重定向\u uri

Question

如何正确地将NGINX配置为keydove前面的代理？

询问

这是专门处理keydove位于反向代理后面的情况，例如nginx和nginx终止SSL并推送到keydove。这与keydape Invalid parameter:redirect_uri的问题不同，尽管它会产生相同的错误消息。

Answer 1

我也有同样的问题，因为我重用/复制粘贴了另一个服务的代理配置。

一旦我改变了proxy\u set\u头主机$Host:$server\u端口 到代理集头主机$Host 成功了。

（已删除：$server\u端口）

Answer 2

上面的答案涉及对代理所做的配置。

在keydepot容器的哪些方面，如果您在尝试登录到管理控制台时遇到redirect_uri错误，则必须为keydepot（从版本10.0.2开始）设置两个环境变量，以便在反向代理之后工作。

如果管理控制台的URL为https://your.fqdn/auth然后必须设置：

KEYCLOAK_FRONTEND_URL = https://your.fqdn/auth

除上述各项外：

PROXY_ADDRESS_FORWARDING = true

下面是一个最小的docker组合。yml将在一个反向代理后启动KeyClope 10，该代理将请求转发给https://your.fqdn进入docker主机的端口8000。根据您的意愿，启动时只需在环境（或.env文件）中设置变量keydove\u ADMIN\u PWD和PG\u KC\u PASS。

version: '3'

volumes:
  pgkeycloak-data:
services:

  pg-keycloak:
    image: "postgres:12-alpine"
    container_name: pg-keycloak
    volumes:
      - "pgkeycloak-data:/var/lib/postgresql/data"
    restart: always
    environment:
      POSTGRES_DB: keycloak
      POSTGRES_USER: keycloakdb
      POSTGRES_PASSWORD: ${PG_KC_PASS}

  auth:
    user: root
    privileged: true
    image: "quay.io/keycloak/keycloak:10.0.2"
    depends_on:
      - "pg-keycloak"
    restart: always
    ports:
      - 8000:443
    command:
      -Djboss.http.port=443
      -Djboss.bind.address=0.0.0.0
    environment:
      KEYCLOAK_USER: admin
      KEYCLOAK_PASSWORD: ${KEYCLOAK_ADMIN_PWD}
      KEYCLOAK_FRONTEND_URL: https://your.fqdn/auth
      PROXY_ADDRESS_FORWARDING: "true"
      DB_USER: keycloakdb
      DB_PASSWORD: ${PG_KC_PASS}
      DB_ADDR: pg-keycloak
      DB_VENDOR: postgres

Answer 3

这方面的关键在于https://www.keycloak.org/docs/latest/server_installation/index.html#identifying-客户端ip地址

必须设置代理地址转发，以及各种X- 标题。

如果您使用的是来自的Docker图像https://hub.docker.com/r/jboss/keycloak/然后设置环境。arg-e PROXY\u ADDRESS\u FORWARDING=true。

server {
  server_name api.domain.com;

  location /auth {
    proxy_set_header        Host $host;
    proxy_set_header        X-Real-IP $remote_addr;
    proxy_set_header        X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header        X-Forwarded-Proto $scheme;

    proxy_pass          http://localhost:8080;
    proxy_read_timeout  90;

 }

  location / {
    proxy_set_header        Host $host;
    proxy_set_header        X-Real-IP $remote_addr;
    proxy_set_header        X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header        X-Forwarded-Proto $scheme;

    proxy_pass          http://localhost:8081;
    proxy_read_timeout  90;
  }



    listen 443 ssl; # managed by Certbot
    ssl_certificate /etc/letsencrypt/live/api.domain.com/fullchain.pem; # managed by Certbot
    ssl_certificate_key /etc/letsencrypt/live/api.domain.com/privkey.pem; # managed by Certbot
    include /etc/letsencrypt/options-ssl-nginx.conf; # managed by Certbot
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; # managed by Certbot

}
server {
    if ($host = api.domain.com) {
        return 301 https://$host$request_uri;
    } # managed by Certbot


  server_name api.domain.com;
    listen 80;
    return 404; # managed by Certbot
}

如果您使用的是另一个代理，则其中重要的部分是要设置的标题：

proxy_set_header        Host $host;
proxy_set_header        X-Real-IP $remote_addr;
proxy_set_header        X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header        X-Forwarded-Proto $scheme;

Apache、ISTIO和其他人都有自己的设置方法。