ArgoCD集成GitLab SSO遇Dex会话错误及GitLab scope问题求助

1. 修复GitLab Scope无效问题 #

GitLab v16.x对OAuth2 Scope有严格的规范，ArgoCD默认Dex配置可能使用了废弃或不存在的Scope值：

• 修正Dex配置中的scopes字段，GitLab v16支持的有效Scope为：

  scopes: ["openid", "profile", "email", "read_user"]
  

  注意：避免使用user:email这类旧格式Scope，GitLab v16已移除部分旧Scope定义，read_user可覆盖用户基本信息及邮箱权限。
• 同步GitLab OAuth应用配置：登录GitLab进入对应OAuth应用（路径：Settings -> Applications），确保Scopes勾选以下选项：
  • openid
  • profile
  • email
  • read_user
    不要勾选无关或未定义的Scope。

2. 解决Dex回调「Bad Request User session error」 #

该错误多由回调地址不匹配、会话Cookie冲突或Dex配置错误导致：

• 核对redirectURI一致性：Dex配置中的redirectURI必须与GitLab OAuth应用内填写的Redirect URI完全一致，包括协议（http/https）、域名、路径。例如ArgoCD使用HTTPS时，地址需为https://argocd.example.com/api/dex/callback，不能省略协议前缀。
• 检查IngressRoute转发规则：确保IngressRoute正确转发/api/dex/*路径到argocd-server服务，以Traefik为例，需包含如下规则：

  match: Host(`argocd.example.com`) && PathPrefix(`/api/dex/`)
  kind: Rule
  services:
    - name: argocd-server
      port: 80
  

• 清除浏览器缓存与Cookie：旧会话Cookie可能导致验证冲突，清空后重新尝试登录。

3. 验证Sealed Secret正确性 #

需确保Sealed Secret解密后的clientSecret与GitLab OAuth应用的Client Secret完全一致：

• 临时解密验证内容（需持有对应解密密钥）：

  kubectl get sealedsecret <你的Sealed Secret名称> -o yaml | kubeseal --decode > secret.yaml
  cat secret.yaml | grep clientSecret
  

  对比输出值与GitLab OAuth应用内的Client Secret，确认无多余空格或换行。
• 检查Secret同步状态：查看ArgoCD命名空间下的目标Secret，验证data.clientSecret的base64解码值正确：

  kubectl get secret <目标Secret名称> -n argocd -o jsonpath='{.data.clientSecret}' | base64 -d
  

4. 检查ArgoCD Dex配置完整性 #

确保values.yaml中Dex配置无关键字段遗漏：

dex:
  enabled: true
  config:
    connectors:
      - type: gitlab
        id: gitlab
        name: GitLab
        config:
          clientID: "<你的GitLab Client ID>"
          clientSecret: "$(argocd-secret.gitlab-client-secret)" # 需对应Sealed Secret生成的Secret键名
          redirectURI: "https://argocd.example.com/api/dex/callback"
          baseURL: "https://gitlab.example.com" # GitLab实例根地址，末尾不要加斜杠
          scopes: ["openid", "profile", "email", "read_user"]

5. 查看日志定位深层问题 #

若以上步骤未解决问题，通过日志排查细节：

• 查看Dex服务日志：

  kubectl logs -n argocd deployment/argocd-dex-server -f
  

  关注OAuth请求相关错误，如Scope验证失败提示、Client Secret不匹配信息。
• 查看ArgoCD Server日志：

  kubectl logs -n argocd deployment/argocd-server -f
  

  查找回调请求的错误日志，定位会话验证失败的具体原因。

内容的提问来源于stack exchange，提问作者Ottobus