ArgoCD 2.10.0集成Keycloak遇Invalid client凭证错误，求排查方案

Keycloak端检查 #

• 确认客户端访问类型设置为confidential（ArgoCD作为OAuth客户端必须使用该类型）
• 核对有效重定向URI完全匹配ArgoCD回调地址，格式为https://<argocd-domain>/auth/callback，注意端口、路径、大小写不能有偏差
• 验证客户端密钥：在Keycloak客户端「凭据」标签下，确认复制的是「机密」字段值，无多余空格或字符
• 检查是否启用授权码流：在客户端「高级」->「功能」中，确保「授权码」选项已勾选
• 确认ArgoCDAdmins组存在，且测试用户已加入该组，组名大小写需与ArgoCD RBAC配置完全一致

ArgoCD端检查 #

• 核对OAuth配置（存储于argocd-cm ConfigMap或argocd-secret Secret）：
  • clientID必须与Keycloak客户端ID完全一致
  • clientSecret需与Keycloak客户端机密值匹配，若存储在Secret中要确认base64解码后正确
  • issuer地址格式为https://<keycloak-domain>/realms/<realm-name>，且ArgoCD Pod内部可访问该地址（可通过kubectl exec进入Pod执行curl测试）
• 确认argocd-rbac-cm ConfigMap已正确应用，scopes: '[groups]'配置生效，必要时重启ArgoCD服务器Pod加载配置
• 开启调试日志：修改ArgoCD Deployment启动参数，添加--loglevel=debug，查看Pod日志获取OAuth交互的详细报错信息

手动验证流程 #

用curl模拟OAuth授权码流程，测试Token获取：

curl -X POST https://<keycloak-domain>/realms/<realm-name>/protocol/openid-connect/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=authorization_code" \
  -d "client_id=<argocd-client-id>" \
  -d "client_secret=<argocd-client-secret>" \
  -d "code=<浏览器获取的授权码>" \
  -d "redirect_uri=https://<argocd-domain>/auth/callback"

若该请求返回相同错误，问题出在Keycloak客户端配置；若能成功获取Token，则排查ArgoCD侧配置问题

内容的提问来源于stack exchange，提问作者sl3dg3