如何配置嵌入式Keycloak主机名？AWS Fargate部署遇CSP报错

核心问题分析 #

当前报错是因为Keycloak生成的Content Security Policy（CSP）中frame-src仅允许'self'，但实际页面加载的帧地址协议/域名与当前页面不一致：ALB用HTTPS对外提供服务，但Keycloak未正确识别代理后的真实主机名，生成了HTTP协议的帧地址，触发CSP拦截。

分步配置方案 #

1. 完善容器环境变量（关键） #

仅设置KEYCLOAK_HOSTNAME不足以解决问题，需补充代理识别、协议端口相关变量：

• KEYCLOAK_HOSTNAME=dev-sso.my-domain.com
• KEYCLOAK_HOSTNAME_PORT=443
• KEYCLOAK_HOSTNAME_HTTPS=true
• PROXY_ADDRESS_FORWARDING=true

2. Spring Boot嵌入式Keycloak配置文件补充 #

在application.yml或application.properties中明确主机名和代理适配规则：

application.yml示例：

keycloak:
  server:
    hostname: dev-sso.my-domain.com
    hostname-port: 443
    hostname-https: true
    proxy: edge  # 适配AWS ALB这类边缘反向代理
    http-enabled: false  # 可选，强制容器内部仅处理HTTP请求（ALB已完成HTTPS终止）

application.properties示例：

keycloak.server.hostname=dev-sso.my-domain.com
keycloak.server.hostname-port=443
keycloak.server.hostname-https=true
keycloak.server.proxy=edge
keycloak.server.http-enabled=false

3. 调整Keycloakify主题的CSP规则（若有自定义覆盖） #

如果你的Keycloakify主题自定义了CSP配置，需确保frame-src包含正确的HTTPS域名：
在主题的theme.properties中添加：

contentSecurityPolicyFrameSrc=https://dev-sso.my-domain.com 'self'

4. 验证配置有效性 #

部署完成后，访问Keycloak的OpenID配置端点，检查返回的issuer字段是否为正确的HTTPS地址：

https://dev-sso.my-domain.com/auth/realms/master/.well-known/openid-configuration

若issuer显示为https://dev-sso.my-domain.com/auth/realms/master，说明主机名配置生效；若仍为HTTP地址，需检查ALB是否正确转发X-Forwarded-Proto、X-Forwarded-Host等请求头。

额外注意事项 #

• AWS ALB目标组需开启转发X-Forwarded-For、X-Forwarded-Proto、X-Forwarded-Host头，或启用代理协议版本2，确保Keycloak能识别真实请求的协议和域名。
• 容器内部Keycloak默认监听8080端口，无需修改端口映射，只要ALB目标组将443请求转发到容器的8080端口即可。

内容的提问来源于stack exchange，提问作者Tomash Gombosh