Docker环境下Apache NiFi搭配HTTPS与Traefik反向代理配置问题

你的配置存在几个关键不匹配点，导致Traefik无法正确代理NiFi的HTTPS服务，以下是修正方案：

核心问题点 #

• Traefik路由的PathPrefix与NiFi的代理上下文路径不匹配
• NiFi未明确配置代理使用的HTTPS协议，导致生成的页面资源URL错误
• Traefik默认会验证后端NiFi的SSL证书，而NiFi默认生成自签名证书，导致转发失败

修正后的Docker Compose配置 #

NiFi服务部分 #

nifi:
    image: {{ nifi_docker_image }}
    hostname: nifi
    container_name: nifi
    restart: on-failure 
    environment: 
      - NIFI_WEB_HTTPS_PORT=9443
      - NIFI_WEB_HTTPS_HOST=0.0.0.0
      - NIFI_WEB_PROXY_HOST={{ nifi_dns }}
      - NIFI_WEB_PROXY_CONTEXT_PATH=/nifi  # 与Traefik的PathPrefix保持一致
      - NIFI_WEB_PROXY_PORT=443
      - NIFI_WEB_PROXY_SCHEME=https  # 明确代理使用HTTPS协议
      - SINGLE_USER_CREDENTIALS_USERNAME={{ nifi_admin_username }}
      - SINGLE_USER_CREDENTIALS_PASSWORD={{ nifi_admin_passwrd }}  
      - NIFI_HOME=/opt/nifi/nifi-current
      - NIFI_LOG_DIR=/opt/nifi/nifi-current/logs
      - NIFI_TOOLKIT_HOME=/opt/nifi/nifi-toolkit-current
      - NIFI_PID_DIR=/opt/nifi/nifi-current/run
      - NIFI_BASE_DIR=/opt/nifi
    healthcheck:
      test: ["CMD", "curl", "-f", "-k", "https://localhost:9443/health"]  # 添加-k忽略自签证书验证
      interval: '30s'
      timeout: '20s'
      retries: 3  
      start_period: '5s'
    volumes:
      - data:/var/data
      - nifi:/opt/nifi
    networks:
      - {{ traefik_network }}
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.nifi.rule=Host({{ nifi_dns }}) && PathPrefix(/nifi)"
      - "traefik.http.routers.nifi.entrypoints=websecure"
      - "traefik.http.routers.nifi.priority=100"
      - "traefik.http.routers.nifi.tls=true"
      - "traefik.http.routers.nifi.tls.certresolver=le"
      - "traefik.http.services.nifi.loadbalancer.server.port=9443"
      - "traefik.http.services.nifi.loadbalancer.server.scheme=https"  # 指定后端使用HTTPS
      - "traefik.http.services.nifi.loadbalancer.serverstransport.insecureSkipVerify=true"  # 忽略NiFi自签证书验证
      - "traefik.http.routers.nifi.service=nifi"

关键修改说明 #

1. 上下文路径对齐：将NIFI_WEB_PROXY_CONTEXT_PATH改为/nifi，与Traefik路由规则中的PathPrefix(/nifi)保持一致，确保请求路径正确映射。
2. 指定代理协议：添加NIFI_WEB_PROXY_SCHEME=https，让NiFi知道代理请求来自HTTPS，避免页面内资源生成HTTP URL导致加载失败。
3. 忽略自签证书：
   • 健康检查的curl命令添加-k参数，忽略NiFi自签证书的验证，确保健康检查通过。
   • Traefik服务配置添加serverstransport.insecureSkipVerify=true，让Traefik跳过对NiFi后端证书的验证，解决转发时的SSL握手失败问题。
4. 明确后端协议：添加loadbalancer.server.scheme=https，告诉Traefik后端使用HTTPS协议通信。

验证步骤 #

1. 重启NiFi和Traefik服务：docker-compose up -d
2. 访问https://{{ nifi_dns }}/nifi，使用配置的单用户账号密码登录，验证UI是否正常加载。
3. 查看Traefik日志确认无SSL相关错误：docker logs traefik

内容的提问来源于stack exchange，提问作者WolfHunter