配置Keycloak实现AWS Console SSO时遇无效重定向URI错误求助

一、重定向URI的核心要求 #

AWS SAML SSO的重定向URI必须严格匹配AWS固定的ACS（Assertion Consumer Service）地址：https://signin.aws.amazon.com/saml。这是唯一有效的AWS端接收断言的地址，错误使用Keycloak内部路径或自定义地址会直接触发重定向URI无效错误。

二、Keycloak SAML客户端正确配置步骤 #

基础创建 #

• 客户端类型：选择SAML
• 客户端ID：必须设为urn:amazon:webservices（AWS官方指定的实体ID，必须与AWS侧配置匹配）
• 名称：自定义（如AWS Console SSO）

关键设置项 #

• Home URL：留空或设为https://aws.amazon.com，切勿使用Keycloak内部路径
• Valid Redirect URIs：仅添加https://signin.aws.amazon.com/saml，检查无拼写错误、多余斜杠
• Master SAML Processing URL：填写https://signin.aws.amazon.com/saml
• Base URL：留空
• IDP Initiated SSO URL Name：自定义（如aws-sso），用于生成IDP发起的SSO入口链接

SAML高级配置 #

• Name ID Format：选择email（AWS推荐），确保Keycloak用户的邮箱字段与AWS IAM身份提供商的属性匹配
• Sign Documents：勾选
• Sign Assertions：勾选
• 签名算法保持默认RSA_SHA256即可

三、易踩坑的验证点 #

1. Keycloak外部访问地址配置：在Realm设置的General页，将Frontend URL设置为你的ALB域名（如https://your-keycloak-domain.com），确保Keycloak生成的SAML元数据中使用正确的外部HTTPS地址
2. ALB转发验证：确认ALB的HTTPS 443端口正确转发到Keycloak容器的对应端口（通常是8443或8080，需匹配容器暴露端口），且没有额外的路径重写导致地址异常

四、AWS侧配套配置 #

1. 导入Keycloak元数据到AWS IAM身份提供商：从Keycloak Realm设置的SAML 2.0 Identity Provider Metadata页面复制元数据内容，在AWS IAM中创建SAML身份提供商时粘贴导入
2. 创建IAM角色：信任该SAML身份提供商，在角色信任策略中确保Condition的StringEquals字段匹配urn:amazon:webservices
3. 配置属性映射：在Keycloak的SAML客户端Mappers中添加角色映射，将Keycloak角色映射到AWS的https://aws.amazon.com/SAML/Attributes/Role属性，值格式为arn:aws:iam::你的AWS账号ID:saml-provider/身份提供商名称,arn:aws:iam::你的AWS账号ID:role/IAM角色名称

五、异常效果的调整方案 #

如果之前配置能进入AWS但效果不符合预期，检查：

• 属性映射是否完整：确保用户的Keycloak角色正确关联到对应的AWS IAM角色，映射规则无格式错误
• 用户权限分配：确认Keycloak用户已分配参与映射的角色，且AWS IAM角色拥有预期的控制台权限

内容的提问来源于stack exchange，提问作者Felice Coppola