Azure容器应用中Keycloak 23与NGINX配置故障排查求助

核心问题梳理 #

当前存在三个关键异常点：

1. Nginx仅配置了HTTP监听，未处理已部署的Let's Encrypt HTTPS证书，导致HTTPS请求无法正确转发
2. Keycloak容器内监听端口与配置不符：curl http://keycloak可访问但加8080端口失败，说明实际监听端口并非配置的8080
3. Keycloak反向代理参数配置不完整，导致生成的回调URL与外部访问域名不匹配，引发登录及管理界面加载异常

分步修复方案 #

1. 补全Nginx HTTPS配置 #

已部署Let's Encrypt证书，需在Nginx中添加HTTPS监听块，同时强制HTTP跳转至HTTPS。修改nginx.conf如下：

# HTTP强制跳转HTTPS
server {
    listen 80;
    listen [::]:80;
    server_name abc.io;
    return 301 https://$host$request_uri;
}

# HTTPS服务配置
server {
    listen 443 ssl;
    listen [::]:443 ssl;
    server_name abc.io;

    # 替换为Azure容器应用中Let's Encrypt证书的实际挂载路径
    ssl_certificate /mnt/cert/fullchain.pem;
    ssl_certificate_key /mnt/cert/privkey.pem;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;

    location / {
        proxy_pass http://keycloak; # 匹配Keycloak容器内实际监听端口（无需加8080）
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Forwarded-Host $host;
    }
}

2. 修正Keycloak端口监听配置 #

容器内curl http://keycloak可访问的现象说明，Keycloak实际监听的是容器默认80端口，而非配置的8080。调整Keycloak配置文件：

# 保留原有数据库配置...
proxy=edge
hostname=abc.io
hostname-port=443 # 指定外部HTTPS访问端口
proxy-address-forwarding=true
http-enabled=true
http-port=80 # 改为容器内实际监听的80端口
# 保留信任库配置...

同时修改Keycloak Dockerfile的启动命令，确保端口参数生效：

CMD ["./kc.sh", "start", "--http-port", "80"]

3. 验证容器通信与反向代理 #

• 在Nginx容器内执行curl http://keycloak，确认能返回Keycloak首页内容
• 在本地浏览器访问https://abc.io，验证是否能正常加载Keycloak登录界面，测试管理员登录及管理功能是否正常

额外注意事项 #

• Azure容器应用中，容器间服务发现通过容器名称（keycloak）直接访问，无需指定端口，只要容器内服务监听端口与配置一致即可
• 禁止将KC_HOSTNAME设置为ACR域名，ACR是镜像仓库地址，并非应用访问域名，会导致Keycloak生成的回调URL不匹配，引发登录初始化失败

内容的提问来源于stack exchange，提问作者jwize