api网关密钥斗篷无效承载令牌

Question

我正在尝试在API网关（Apache APISIX）后面使用KeyClope。

我使用minikube来运行KeyClope和API网关。

网关正常工作，KeyClope也正常工作：

使用KeyClope，我可以使用不同的endpoint（使用发现endpoint(http://127.0.0.1:7070/auth/realms/myrealm/.well-已知/uma2配置），询问访问令牌并进行验证）。

有了APISIX和一条简单的路线，我可以在我的minikube上加入后端微服务。（通常：http://127.0.0.1:80/greeting由网关提供服务，网关将请求路由到右侧后端微服务）

当我尝试同时使用这两个工具时，就会出现问题。我使用了keydepage集成，以强制用户在使用网关提供的路由时使用有效令牌。

在这种情况下，当我使用有效的承载令牌（我获取它并用keybeat的endpoint进行验证）并尝试通过api网关使用验证的承载令牌请求后端时，我系统地获得了“无效承载令牌”异常。

{"error":"invalid_grant","error_description":"Invalid bearer token"}

我认为集成的设置设置得很好，因为我确信te gateway会调用KeyClope来验证令牌。

以下是我用来获取和验证令牌的密钥斗篷：

获取令牌：http://127.0.0.1:7070/auth/realms/myrealm/protocol/openid-connect/token

验证：http://127.0.0.1:7070/auth/realms/myrealm/protocol/openid-connect/token/introspect

我看到了一些关于问题的帖子，当Keycloak是在一个反向代理背后，但我没有找到一个明确的解决方案。

谢谢你能给我带来的任何帮助。问候CG

Answer 1

我认为有一些方法可以做到这一点。

首先，我认为您可以查看Apache APISIX的日志。

其次，您可以查看keydepeat的日志。

第三，您可以使用tcpdump或wireshark来捕获apacheapisix发送给keycode的请求。并区分APISIX和curl发送的请求。

期待您的回复。