Keycloaks ausgehenden Proxy für Identitäts-Brokering konfigurieren

Legen Sie die ausgehende Proxy-Umgebung des Servers fest und wenden Sie Keycloaks eigene Variablenpriorität bei der Diagnose des Token-Austauschs an.

Der Browser erreicht die Anmeldeseite des Identitätsanbieters; der Keycloak-Server tauscht den zurückgegebenen Code ein. Wenn dieser spätere Austausch keine Verbindung herstellen kann, legen Sie die Proxy-Route vor dem Start in der Keycloak-Prozess- oder Container-Umgebung ab:

HTTPS_PROXY=http://proxy.example:8080
NO_PROXY=localhost,internal.example

Für eine öffentliche HTTP-Route wird eine Adresse aus der HTTP-Proxy-Liste in HTTPS_PROXY eingetragen; die vorgesehenen Umgehungsziele bleiben erhalten. Die Token-URL bleibt der Endpunkt des Identitätsanbieters, nicht die Proxy-Adresse.

Keycloaks Priorität unterscheidet sich von einer Zuordnung nach Zielschema:

  • Sind sowohl HTTP_PROXY als auch HTTPS_PROXY definiert, gewinnt HTTPS_PROXY.
  • Kleingeschriebene Formen haben Vorrang vor großgeschriebenen Formen.
  • NO_PROXY ist kommagetrennt, und ein benannter Host schließt auch seine Subdomains aus.

Prüfen Sie alle diese Eingaben, wenn der Server eine unerwartete Route wählt. Browser-Proxy-Einstellungen stellen diese Umgebung nicht bereit.

Sobald die Verbindung funktioniert, gehört ein TLS-Verifizierungsfehler zur Vertrauenskonfiguration über die Truststore-Schnittstelle von Keycloak. Eine Änderung der Route kann das fehlende Zertifikatsvertrauen nicht herstellen.

Ähnliche Artikel