Keycloak搭配Nginx Ingress Controller无法加载管理控制台

部署默认配置的Nginx Ingress Controller后，通过代理访问Keycloak服务可正常响应，但管理控制台始终卡在“加载管理控制台”状态。

环境配置 #

Keycloak的Service与Deployment #

采用Keycloak官方Kubernetes示例配置

Ingress配置 #

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: keycloak
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
spec:
  ingressClassName: nginx
  rules:
  - host: keycloak.mydomain.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: keycloak
            port:
              number: 8080

补充信息 #

• 未修改Nginx Ingress默认配置，server-snippets和location-snippets处于禁用状态，若需启用请参考后续建议
• Keycloak Service的type已设置为ClusterIP

控制台报错信息 #

Refused to frame 'http://keycloak.mydomain.com/' because it violates the following Content Security Policy directive: "frame-src 'self'".

Ingress Describe输出 #

Name:             keycloak
Labels:           <none>
Namespace:        default
Address:          <AWSLoadBalancerIP>.elb.amazonaws.com
Default backend:  default-http-backend:80 (<error: endpoints "default-http-backend" not found>)
Rules:
  Host                          Path  Backends
  ----                          ----  --------
  keycloak.prod-pl.qritive.com  
                                /   keycloak:8080 (172.24.28.112:8080)
Annotations:                    <none>
Events:                         <none>

解决方案 #

核心原因 #

报错显示Content Security Policy（CSP）的frame-src指令仅允许'self'，但Keycloak控制台加载时生成的URL协议/主机与外部访问环境不匹配，触发CSP校验失败。本质是Nginx Ingress未正确传递转发头，导致Keycloak无法识别外部访问的真实协议与主机名。

解决步骤 #

1. 配置Ingress传递转发头
   修改Ingress的annotations，添加官方支持的转发头配置（无需启用snippets）：

   metadata:
     annotations:
       nginx.ingress.kubernetes.io/rewrite-target: /
       nginx.ingress.kubernetes.io/ssl-redirect: "true" # 若使用HTTPS，强制跳转至HTTPS
       nginx.ingress.kubernetes.io/proxy-set-header: "X-Forwarded-Proto $scheme"
       nginx.ingress.kubernetes.io/proxy-set-header: "X-Forwarded-Host $host"
   

   这些头信息会让Keycloak获取外部访问的真实协议与主机名，确保生成的控制台资源URL符合CSP的'self'规则。

2. 指定Keycloak前端URL
   修改Keycloak的Deployment，添加环境变量强制指定外部访问的完整URL：

   env:
     - name: KEYCLOAK_FRONTEND_URL
       value: "https://keycloak.mydomain.com/" # 替换为实际外部访问URL，注意协议匹配
   

   该配置会直接让Keycloak使用指定URL生成控制台链接，避免协议/主机不匹配问题。

3. 启用snippets的建议（仅上述方法无效时使用）
   若需启用location-snippets，需先修改Nginx Ingress Controller的Deployment，添加启动参数--enable-snippets=true，再在Ingress中添加以下annotations：

   nginx.ingress.kubernetes.io/location-snippets: |
     add_header Content-Security-Policy "frame-src 'self' https://keycloak.mydomain.com/;";
   

内容的提问来源于stack exchange，提问作者Ketul Radadiya