OAuth2-Proxy连接Keycloak时崩溃的技术问题求助

核心问题分析 #

1. 外部域名解析冲突：keycloak.localtest.me默认指向127.0.0.1，OAuth2-Proxy Pod内部访问该域名时会尝试连接自身443端口，直接触发connection refused错误。
2. OIDC Issuer不匹配：Keycloak配置了KC_HOSTNAME=keycloak.localtest.me，导致它返回的OIDC issuer固定为外部域名；当OAuth2-Proxy改用内部服务地址keycloak.test.svc.cluster.local作为issuer时，与Keycloak返回的值不一致，触发OIDC验证失败。

解决方案步骤 #

方案1：调整Keycloak与OAuth2-Proxy配置（推荐） #

让OAuth2-Proxy通过内部服务直接访问Keycloak，同时让Keycloak兼容内部访问的主机名：

1. 修改Keycloak配置

更新Keycloak Deployment的环境变量，关闭严格主机名校验并启用HTTP内部访问：

# 在Keycloak容器的env段添加/修改以下变量
- name: KC_HOSTNAME_STRICT
  value: "false"
- name: KC_HOSTNAME_STRICT_HTTPS
  value: "false"
- name: KC_HTTP_ENABLED
  value: "true"

同时更新Keycloak Service，新增HTTP端口：

# Keycloak Service的ports段新增
- name: http
  port: 80
  targetPort: 8080

2. 更新OAuth2-Proxy配置

将OIDC issuer改为Keycloak的内部HTTP服务地址，移除不必要的TLS跳过配置：

# OAuth2-Proxy的env段修改
- name: "OAUTH2_PROXY_OIDC_ISSUER_URL"
  value: "http://keycloak.test.svc.cluster.local/realms/my-realm"
# 移除或注释掉以下变量
# - name: OAUTH2_PROXY_SSL_UPSTREAM_INSECURE_SKIP_VERIFY
#   value: "true"

3. 重新部署应用

kubectl apply -n test -f keycloak-config.yaml
kubectl apply -n test -f oauth2.yaml

方案2：修改集群内部DNS解析（备选） #

如果必须保留外部域名访问逻辑，可通过CoreDNS配置让集群内部将keycloak.localtest.me解析到Keycloak的ClusterIP：

1. 获取Keycloak的ClusterIP：

kubectl get svc keycloak -n test -o jsonpath='{.spec.clusterIP}'

2. 新增CoreDNS自定义A记录，将keycloak.localtest.me指向上述ClusterIP（需集群支持CoreDNS配置修改）。

验证步骤 #

1. 查看OAuth2-Proxy Pod日志，确认无连接或issuer匹配错误：

kubectl logs -n test deployment/oauth-proxy -f

2. 访问https://pgadmin.localtest.me，验证是否正常跳转到Keycloak认证页面。

内容的提问来源于stack exchange，提问作者Nicolas