AWS环境下Keycloak第三方检查iframe消息超时问题求助

环境架构 #

• AWS私有子网内部署EC2实例，前端配置Application Load Balancer（ALB）
• 已在私有托管区域配置DNS记录，用于隐藏EC2私有IP
• 使用OpenSSL生成cert.pem和key.pem证书文件，证书绑定至DNS对应的私有托管区域域名

问题现象 #

1. 通过https://mydomainrecordns:443访问Keycloak直接报错
2. 通过https://my-private-ip:443可进入主页，但点击「管理控制台」后持续加载转圈，浏览器控制台报错：timeout when waiting for 3rd party check iframe message

已尝试操作 #

• 将Keycloak的hostname配置为mydomain.it
• 切换Keycloak至开发模式
• 检查ALB代理相关设置（含配置截图）
• 当前ALB目标组关联EC2私有IP，疑惑是否需要为DNS记录注册目标组

Dockerfile配置 #

FROM quay.io/keycloak/keycloak:latest as builder

ENV KC_HEALTH_ENABLED=true 
ENV KC_METRICS_ENABLED=true

WORKDIR /opt/keycloak

COPY cert.pem /opt/keycloak/cert.pem 
COPY key.pem /opt/keycloak/key.pem

RUN /opt/keycloak/bin/kc.sh build

FROM quay.io/keycloak/keycloak:latest 
ENV KC_HTTPS_CERTIFICATE_FILE=/opt/keycloak/cert.pem 
ENV KC_HTTPS_CERTIFICATE_KEY_FILE=/opt/keycloak/key.pem

COPY --from=builder /opt/keycloak/ /opt/keycloak/

解决建议 #

1. 配置Keycloak反向代理参数

Keycloak运行在ALB之后，必须指定代理模式并配置正确的主机名，否则会出现跨域、回调地址错误等问题。在Docker环境中添加以下环境变量：

ENV KC_PROXY=edge
ENV KC_HOSTNAME=mydomainrecordns
ENV KC_HOSTNAME_STRICT=false
ENV KC_HOSTNAME_STRICT_HTTPS=true

• KC_PROXY=edge：告知Keycloak其运行在反向代理之后，将从代理请求头中获取真实客户端地址与协议
• KC_HOSTNAME：设置为你的DNS域名，确保Keycloak生成的所有链接均使用该域名，而非私有IP
• KC_HOSTNAME_STRICT=false：允许通过私有IP等其他主机名访问（测试用，生产环境可改为true）

2. 修正ALB转发配置

• 确保ALB的443端口HTTPS监听器绑定了对应域名的有效证书（私有托管区域需使用私有证书）
• 配置监听器规则时，保留原始请求头（X-Forwarded-For、X-Forwarded-Proto、X-Forwarded-Host），Keycloak依赖这些头识别真实请求信息
• 目标组协议建议改为HTTP（80端口），证书在ALB层面处理即可，私有子网内EC2与Keycloak用HTTP通信可降低配置复杂度

3. 优化Dockerfile证书配置

简化镜像构建逻辑，确保证书文件权限正确：

FROM quay.io/keycloak/keycloak:latest

ENV KC_HEALTH_ENABLED=true 
ENV KC_METRICS_ENABLED=true
ENV KC_HTTPS_CERTIFICATE_FILE=/opt/keycloak/cert.pem 
ENV KC_HTTPS_CERTIFICATE_KEY_FILE=/opt/keycloak/key.pem
# 添加代理配置
ENV KC_PROXY=edge
ENV KC_HOSTNAME=mydomainrecordns
ENV KC_HOSTNAME_STRICT=false
ENV KC_HOSTNAME_STRICT_HTTPS=true

COPY cert.pem /opt/keycloak/cert.pem 
COPY key.pem /opt/keycloak/key.pem

# 限制证书文件权限，避免Keycloak读取失败
RUN chmod 600 /opt/keycloak/cert.pem /opt/keycloak/key.pem

RUN /opt/keycloak/bin/kc.sh build

4. 排查DNS与网络权限

• 无需为DNS记录注册目标组，目标组只需关联EC2私有IP；确认DNS记录正确解析到ALB的DNS名称，而非EC2私有IP
• 检查ALB安全组是否允许443端口入站流量，EC2安全组是否允许ALB所在安全组的80/443端口入站流量

5. 解决iframe超时问题

该错误源于跨域配置不匹配，需调整Keycloak Realm设置：

• 通过私有IP登录Keycloak后台，进入「Realm设置」→「安全防御」→「允许的Web Origins」，添加你的DNS域名（https://mydomainrecordns），测试阶段可临时设置为*（生产环境需限制具体域名）
• 确认ALB转发的X-Forwarded-Host头正确传递了请求域名，Keycloak会根据该头生成iframe回调地址

内容的提问来源于stack exchange，提问作者Felice Coppola