Minio配置OpenID SSO后反复跳转登录页，提示invalid session错误

通过docker-compose使用Bitnami Minio镜像部署服务，配置Keycloak作为OpenID身份提供商后，完成Keycloak登录跳转回Minio时，始终回到登录页，网络请求返回：

{"detailedMessage":"Access Denied.","message":"invalid session"}

1. 核对Minio OIDC核心配置 #

• 确认MINIO_IDENTITY_OPENID_CONFIG_URL指向Keycloak的正确配置端点，格式应为http://keycloak:8080/realms/{你的领域}/.well-known/openid-configuration
• 检查MINIO_IDENTITY_OPENID_CLIENT_ID和MINIO_IDENTITY_OPENID_CLIENT_SECRET与Keycloak客户端的信息完全一致，包括大小写
• 确保Keycloak客户端的Valid Redirect URIs包含Minio控制台的回调地址，比如http://你的Minio地址:9001/*，必须精确匹配，不能有遗漏

2. 修正Bitnami Minio的环境变量配置 #

Bitnami镜像的OIDC配置依赖环境变量传递，而非官方镜像的配置文件，完整配置示例：

version: '3'
services:
  minio:
    image: docker.io/bitnami/minio
    container_name: minio
    hostname: minio
    restart: always
    volumes:
      - './minio/data:/bitnami/minio/data'
    ports:
      - "9000:9000"
      - "9001:9001"
    environment:
      - MINIO_ROOT_USER=你的根用户名
      - MINIO_ROOT_PASSWORD=你的根密码
      - MINIO_DEFAULT_BUCKETS=你的默认存储桶
      # OIDC关键配置
      - MINIO_IDENTITY_OPENID_CONFIG_URL=http://keycloak:8080/realms/你的领域/.well-known/openid-configuration
      - MINIO_IDENTITY_OPENID_CLIENT_ID=minio-keycloak-client
      - MINIO_IDENTITY_OPENID_CLIENT_SECRET=你的客户端密钥
      - MINIO_IDENTITY_OPENID_CLAIM_NAME=preferred_username
      - MINIO_IDENTITY_OPENID_SCOPES=openid,profile,email

3. 检查会话与跨域设置 #

• 确保Minio和Keycloak处于同一域名环境，或配置了允许跨域的Cookie策略
• 检查浏览器是否禁用了Cookie，Minio的OIDC会话完全依赖Cookie存储
• 若使用反向代理，必须确保代理传递Host、X-Forwarded-Proto、X-Forwarded-Host等头信息，否则Minio无法生成正确的回调地址

4. 验证Keycloak用户权限声明 #

• 确认Keycloak用户的令牌中包含Minio策略所需的声明（比如角色或权限字段），可通过Keycloak的令牌调试端点获取令牌内容检查
• 确保Minio的访问策略已正确关联这些声明，比如基于角色的策略需匹配Keycloak返回的角色值

5. 切换官方Minio镜像测试（可选） #

若Bitnami镜像存在兼容性问题，可尝试官方Minio镜像：

version: '3'
services:
  minio:
    image: minio/minio:latest
    container_name: minio
    hostname: minio
    restart: always
    volumes:
      - './minio/data:/data'
    ports:
      - "9000:9000"
      - "9001:9001"
    environment:
      - MINIO_ROOT_USER=你的根用户名
      - MINIO_ROOT_PASSWORD=你的根密码
    command: server /data --console-address ":9001"

然后通过mc命令配置OIDC：

# 先配置mc连接Minio
mc alias set minio http://localhost:9000 你的根用户名 你的根密码
# 设置OIDC配置
mc admin config set minio identity_openid config_url="http://keycloak:8080/realms/你的领域/.well-known/openid-configuration" client_id="minio-client" client_secret="你的客户端密钥" claim_name="preferred_username"
# 重启Minio服务
mc admin service restart minio

6. 谷歌云OIDC配置方案 #

若改用谷歌云作为OIDC提供商，步骤如下：

1. 在谷歌云控制台创建OAuth 2.0客户端，配置回调地址为http://你的Minio地址:9001/oauth_callback
2. 在Minio（Bitnami镜像）中添加以下环境变量：

- MINIO_IDENTITY_OPENID_CONFIG_URL=https://accounts.google.com/.well-known/openid-configuration
- MINIO_IDENTITY_OPENID_CLIENT_ID=你的谷歌客户端ID
- MINIO_IDENTITY_OPENID_CLIENT_SECRET=你的谷歌客户端密钥
- MINIO_IDENTITY_OPENID_SCOPES=openid,email,profile

内容的提问来源于stack exchange，提问作者Peter Parker