香港API网关

Question

我们使用keycloak来处理API网关中的身份验证（客户端/秘密）。

Kong api服务使用konnect托管插件引用KeyClope来验证客户端凭据并返回承载令牌。

未来对其他endpoint的调用将使用oauth2内省来通过KeyClope内省验证承载令牌

但是，当我通过Kong api gateway进行身份验证时，它会返回一个承载令牌，但该令牌无法自省。

如果我直接授权给KeyClope，则承载令牌用于内省。

eg

代币来源：http://kongapigateway.domain/getOAuthToken

• 注意：我们尚未在香港api网关上设置ssl

返回：

{"access_token":"ey..ZiUQyw","expires_in":900,"refresh_expires_in":0,"token_type":"Bearer","not-before-policy":0,"scope":"email profile"}

在香港调用使用内省的api终结点失败：http://kongapigateway.domain/bookings

{
    "error_description": "The access token is invalid or has expired",
    "error": "invalid_token"
}

直接调用KeyClope内省也会失败：https://keycloak.domain/auth/realms/{Realms}/protocol/openid connect/token/introspect

{
    "active": false
}

但是，如果我直接从KeyClope服务器获取令牌：https://keycloak.domain/auth/realms/{Realms}/protocol/openid connect/token

{"access_token":"eyJhb...4lT8w","expires_in":900,"refresh_expires_in":0,"token_type":"Bearer","not-before-policy":0,"scope":"email profile"}

令牌适用于两个endpoint：http://kongapigateway.domain/bookings和https://keycloak.domain/auth/realms/{Realms}/协议/openid连接/令牌/内省

那么，为什么内省对第一个场景中返回的令牌不起作用呢？

Answer 1

您可以通过将Keycloak的前端网址设置为公共网址来解决这个问题。详情请参考我对另一个类似问题的回答。