Posit集成Keycloak认证遇client_not_found及Cannot_match_source_hash错误求助

以下是内容格式化的具体规则：

• 标题：使用井号 #，层级从 #（一级）到 ######（六级）
• 列表项：以短横线 - 开头
• 强调文本：用星号 * 包裹，例如 需要强调的内容
• 代码/命令：用反引号 ` 包裹，例如 sudo apt update
• 引用文本：用大于号 > 开头，例如：

  这是一段引用内容

• 链接：格式为 [链接文本](URL地址)
• 图片：格式为 [图片替代文本](图片URL地址)

核心原因 #

出现该错误是因为Keycloak的IdP EntityID与Posit（RStudio Connect）配置的IdPEntityID不匹配，导致Keycloak无法识别请求对应的客户端，直接返回无效请求。

分步排查修复 #

1. 提取Keycloak的IdP EntityID #

从你提供的IdPMetaDataURL返回的元数据中，找到EntityDescriptor标签的entityID属性，格式类似：

<md:EntityDescriptor entityID="https://your-keycloak-domain/auth/realms/your-realm" ...>

完整复制这个entityID的值。

2. 匹配Posit的SAML配置 #

打开rstudio-connect.gcfg的SAML配置段，确保IdPEntityID字段和上面提取的内容完全一致，包括协议、域名、Realm名称，不能有拼写或符号错误：

[SAML]
Enabled = true
IdPEntityID = "https://your-keycloak-domain/auth/realms/your-realm"
IdPMetaDataURL = "https://your-keycloak-domain/auth/realms/your-realm/protocol/saml/descriptor"
# 保留其他原有配置项

3. 验证Keycloak客户端配置 #

登录Keycloak后台，检查对应客户端设置：

• 客户端的Client ID必须和Posit配置的ServiceProviderEntityID一致（通常是Posit的访问URL，比如https://your-posit-domain/）
• Valid Redirect URIs需包含Posit的SAML回调地址：https://your-posit-domain/__login__/saml/acs
• 确认SAML签名算法（默认多为SHA-256）和Posit配置匹配

4. 核对请求与日志 #

查看rstudio-service.log中的错误详情，确认日志里对比的EntityID值是否和你配置的一致；同时检查HAR文件中的SAML请求，验证Issuer字段是否等于Posit的ServiceProviderEntityID，Destination是否指向Keycloak的SAML端点。

5. 重启服务 #

修改配置后重启RStudio Connect：

sudo systemctl restart rstudio-connect

内容的提问来源于stack exchange，提问作者Reber