Portainer对接Keycloak OAuth登录遇"unauthorized"错误求助

我有多个应用通过Keycloak实现认证，但仅Portainer无法正常工作。我已按如下配置自定义OAuth提供商：

Keycloak客户端配置如下：

所有URL均取自https://auth.mydomain.com/realms/my-realm/.well-known/openid-configuration且确认无误，但尝试登录Portainer时，出现**"unauthorized"及"Unable to login via OAuth"**错误，请问我遗漏了哪些配置？

• 检查Keycloak重定向URI匹配度：Portainer的回调地址https://<你的Portainer域名>/oauth/complete必须完全匹配Keycloak客户端配置中的Valid Redirect URIs，不能有路径错误、多余斜杠或域名不一致。
• 确认客户端权限范围：在Keycloak客户端的Client Scopes中，必须添加openid、profile、email这三个基础Scope——Portainer依赖这些字段创建用户账号。
• 匹配客户端认证类型：如果Portainer OAuth配置中填写了Client Secret，Keycloak客户端的Access Type必须设为confidential；若为public类型，Portainer侧需清空Secret字段，否则会触发认证失败。
• 验证签名算法兼容性：Portainer默认支持RS256算法，检查Keycloak Realm的Keys配置，确保使用的签名算法与Portainer兼容，避免Token验证失败。
• 查看Portainer详细日志：执行docker logs portainer获取具体错误信息，日志会明确指出失败原因（如Token解析错误、权限缺失等），是定位问题的核心依据。
• 配置用户角色映射：若Portainer启用了角色同步，需在Keycloak中为用户映射对应Portainer角色（如admin/user），否则用户登录后会因无权限被拒绝访问。

内容的提问来源于stack exchange，提问作者Sam