Configura el proxy saliente de Keycloak para la intermediación de identidades

El navegador llega a la página de inicio de sesión del proveedor de identidad; el servidor de Keycloak intercambia el código devuelto. Si ese intercambio posterior no puede conectarse, coloca la ruta del proxy en el entorno del proceso o del contenedor de Keycloak antes del arranque:

HTTPS_PROXY=http://proxy.example:8080
NO_PROXY=localhost,internal.example

Para una ruta HTTP pública, una dirección de la lista de proxies HTTP va en HTTPS_PROXY; conserva los destinos de omisión previstos. La URL del token sigue siendo el punto de conexión del proveedor de identidad, no la dirección del proxy.

La precedencia de Keycloak difiere de un mapa por esquema de destino:

• Si están definidos tanto HTTP_PROXY como HTTPS_PROXY, gana HTTPS_PROXY.
• Las formas en minúsculas tienen precedencia sobre las mayúsculas.
• NO_PROXY está separado por comas, y un host nombrado también excluye sus subdominios.

Revisa todas esas entradas si el servidor elige una ruta inesperada. La configuración de proxy del navegador no proporciona este entorno.

Una vez que la conexión funciona, un fallo de verificación TLS pertenece a la configuración de confianza mediante la interfaz truststore de Keycloak. Cambiar la ruta no puede establecer la confianza del certificado que falta.