在K8s部署NiFi用cert-manager登录报错：Certificate and Token not found

核心问题分析 #

这个错误本质是NiFi生成的登录令牌、重定向地址和Ingress暴露的实际域名不匹配，导致浏览器无法识别有效令牌，同时证书上下文出现混淆。结合你给出的Ingress配置，重点调整以下几点：

1. 修正Ingress的上游虚拟主机配置 #

你当前的upstream-vhost设为localhost:8443，会让NiFi误以为自己的访问地址是内部localhost，生成的令牌和重定向链接都绑定这个地址，和实际的nifi.local域名冲突。直接修改这个注解：

nginx.ingress.kubernetes.io/upstream-vhost: "nifi.local"

同时可以简化proxy-redirect配置（后续NiFi配置正确外部URL后，这两个甚至可以去掉）：

nginx.ingress.kubernetes.io/proxy-redirect-from: "https://nifi.local:8443"
nginx.ingress.kubernetes.io/proxy-redirect-to: "https://nifi.local"

2. 强制NiFi使用外部访问域名 #

NiFi必须明确知道自己对外暴露的域名，才能生成正确的令牌和回调地址。修改NiFi核心配置文件nifi.properties：

nifi.web.proxy.host=nifi.local
nifi.web.proxy.context.path=

如果用Helm部署NiFi，直接在values.yaml里设置：

nifi:
  properties:
    webProxyHost: "nifi.local"

这一步是解决令牌不匹配的关键，没配置的话，NiFi始终会用内部地址生成令牌。

3. 验证cert-manager证书和Ingress TLS配置 #

先确认cert-manager已成功颁发nifi.local的证书：

kubectl get certificates

确保对应证书状态为Ready。同时检查Ingress的TLS段是否正确关联证书secret：

tls:
  - hosts:
      - nifi.local
    secretName: nifi-tls-secret # 名称要和cert-manager issuer生成的secret一致

4. 清理浏览器缓存和Cookie #

浏览器可能缓存了之前localhost相关的无效令牌或证书信息，直接清理对应域名的Cookie和缓存后，重新访问登录页面。

5. 确认代理头正确传递 #

NiFi依赖X-Forwarded-*头识别真实请求地址，确保Ingress没有禁用这些头的传递。如果Ingress有自定义配置，添加以下注解确保头信息正确：

nginx.ingress.kubernetes.io/configuration-snippet: |
  proxy_set_header X-Forwarded-Proto $scheme;
  proxy_set_header X-Forwarded-Host $host;
  proxy_set_header X-Forwarded-For $remote_addr;

（默认Nginx Ingress已包含这些配置，除非有特殊修改才需要添加）

内容的提问来源于stack exchange，提问作者Ali Rezvani