AWS ALB无法接受Keycloak令牌问题排查求助

问题场景 #

在AWS环境中配置Application Load Balancer（ALB）通过OIDC对接自建Keycloak，出现以下异常：

1. ALB已完成OIDC配置，Keycloak服务本身运行正常
2. 访问应用时可正常跳转到Keycloak登录页面，输入凭证后返回500错误
3. ALB日志显示已成功获取令牌，但调用Keycloak用户信息端点时，Keycloak日志报错：

[org.keycloak.events] (executor-thread-17) type=USER_INFO_REQUEST_ERROR, realmId=35aa3ce3-c90a-47d7-9525-192a99ac45ca, clientId=null, userId=null, ipAddress=172.31.28.209, error=invalid_token, auth_method=validate_access_token

4. ALB从未将请求转发至后端应用

排查步骤 #

1. 核对ALB OIDC核心配置

• 确认User Info Endpoint地址正确：需与Keycloak Realm的用户信息端点完全匹配，格式示例：https://<keycloak-domain>/realms/<realm-name>/protocol/openid-connect/userinfo
• 检查Token Signing Certificate：必须导入Keycloak Realm的公钥（可从https://<keycloak-domain>/realms/<realm-name>/protocol/openid-connect/certs获取），避免ALB验证令牌签名失败
• 确保Client ID与Keycloak客户端ID完全一致，注意大小写、特殊字符无偏差

2. 校验Keycloak客户端配置

• 确认客户端Access Type设置为confidential：ALB作为OIDC客户端需要客户端密钥，此类型才能生成有效凭证
• 检查Valid Redirect URIs：必须包含ALB的回调地址，格式示例：https://<alb-domain>/oauth2/idpresponse，不可遗漏或写错
• 验证Service Accounts Enabled状态：若ALB需要以服务账户身份调用用户信息端点，需开启此选项并配置对应权限
• 确认Direct Access Grants Enabled是否开启：部分授权码流程场景依赖此选项，可按需验证

3. 解析令牌内容排查异常

• 解码ALB获取的访问令牌（使用JWT解码工具），重点检查：
  • iss（签发者）是否与Keycloak Realm的issuer URL完全一致（ALB会严格验证此字段）
  • aud（受众）是否包含ALB配置的Client ID，或Keycloak客户端设置的audience值
  • exp（过期时间）是否未过期，nbf（生效时间）是否已到
  • azp（授权方）是否为ALB的Client ID
• 确认令牌包含用户信息端点所需Scope：ALB配置OIDC时需勾选openid、profile、email等Scope，Keycloak客户端需开启这些Scope的授权

4. 检查Keycloak令牌验证逻辑

• 调整Keycloak日志级别为DEBUG，查看invalid_token的具体触发原因（如签名验证失败、令牌已撤销、受众不匹配等）
• 核对Token Signature Algorithm：Keycloak Realm配置的签名算法需与ALB配置一致（通常为RS256），避免算法不兼容
• 同步时钟：确认Keycloak服务器与ALB的系统时钟偏差在允许范围内，时钟差过大可能导致令牌被判定为过期或未生效

5. 排查网络与安全限制

• 检查ALB安全组是否允许访问Keycloak的HTTPS端口（443）
• 确认Keycloak服务器的安全组/防火墙允许ALB的IP地址（172.31.28.209）访问用户信息端点和令牌端点
• 排查是否存在代理、WAF或中间件拦截ALB与Keycloak之间的请求，导致令牌传输过程中被篡改

内容的提问来源于stack exchange，提问作者glethien