Configurer le proxy sortant de Keycloak pour le courtage d'identités

Définissez l'environnement du proxy sortant du serveur et appliquez la priorité des variables propre à Keycloak lors du diagnostic de l'échange de jetons.

Le navigateur atteint la page de connexion du fournisseur d'identité ; le serveur Keycloak échange le code renvoyé. Si cet échange ultérieur ne peut pas se connecter, placez la route du proxy dans l'environnement du processus ou du conteneur Keycloak avant le démarrage :

HTTPS_PROXY=http://proxy.example:8080
NO_PROXY=localhost,internal.example

Pour une route HTTP publique, une adresse de la liste de proxys HTTP va dans HTTPS_PROXY ; conservez les destinations de contournement prévues. L'URL du jeton reste le point de terminaison du fournisseur d'identité, pas l'adresse du proxy.

La priorité de Keycloak diffère d'une table par schéma de destination :

  • Si HTTP_PROXY et HTTPS_PROXY sont tous deux définis, HTTPS_PROXY l'emporte.
  • Les formes en minuscules ont la priorité sur les formes en majuscules.
  • NO_PROXY est séparé par des virgules, et un hôte nommé exclut aussi ses sous-domaines.

Vérifiez toutes ces entrées si le serveur choisit une route inattendue. Les paramètres de proxy du navigateur ne fournissent pas cet environnement.

Une fois la connexion établie, un échec de vérification TLS relève de la configuration de confiance via l'interface truststore de Keycloak. Changer la route ne peut pas établir la confiance de certificat manquante.

Articles similaires