配置Keycloak与KrakenD访问Apache2受保护文件时遇401问题排查

环境与问题说明 #

现有环境 #

• 主机部署Apache2服务器，包含my-ip/keycloak-protected受保护文件
• Docker容器部署KrakenD，端口映射8402
• Docker容器部署Keycloak，端口映射8080

当前配置与问题 #

已完成的配置：

1. KrakenD配置：

{"version": 3,
"timeout": "3s",
"endpoints":[{"endpoint": "/keycloak-protected",
"extra_config": {"auth/validator": {"alg": "RS256",
"jwk_url": "http://<my-ip>:8080/auth/realms/master/protocol/openid-connect/certs",
"disable_jwk_security": true}},
"backend": [{"host":["http://<my-ip>:80"],
"url_pattern": "/__health"}]}]}

2. Keycloak配置：
   • 创建访问类型为Public的客户端
   • 设置有效重定向URL为http://my-ip:8402/*
   • 创建测试用户

问题：通过Postman成功获取访问令牌后，访问http://my-ip:8402/keycloak-protected返回401 Unauthorized

逐一排查方向 #

1. Postman使用问题 #

• 确认令牌传递格式：必须将令牌放在Authorization请求头中，格式为Bearer <你的访问令牌>，不要用URL参数或其他位置传递
• 验证令牌有效性：调用Keycloak的/auth/realms/master/protocol/openid-connect/userinfo端点，携带相同令牌，若无法返回用户信息，说明令牌本身无效或已过期

2. KrakenD配置问题 #

• 后端URL不匹配：当前配置中url_pattern为/__health，但实际要访问的是/keycloak-protected，需将url_pattern修改为/keycloak-protected
• JWK URL访问性：KrakenD运行在Docker容器内，需确认容器能访问http://<my-ip>:8080，若使用localhost可能无法穿透到主机服务，建议改用主机内网IP或切换Docker为host网络模式测试
• 缺失发行者校验：在auth/validator配置中添加"iss": "http://<my-ip>:8080/auth/realms/master"，确保令牌来自目标Realm
• disable_jwk_security风险：该选项关闭了JWK安全校验，测试环境可临时开启，若仍报错需先确认JWK端点能正常返回密钥

3. Keycloak客户端配置问题 #

• 令牌获取方式匹配：Public客户端需使用授权码流或密码流（测试用）获取令牌，若用密码流需确保客户端开启Direct Access Grants Enabled选项
• 受众（Audience）配置：检查令牌的aud字段是否包含KrakenD对应的客户端ID，若未包含，需在客户端的Mappers中添加Audience映射，指定当前客户端ID为受众；或在KrakenD配置中添加"aud": ["你的客户端ID"]进行校验
• 令牌有效期：确认Realm的Access Token Lifespan设置合理，避免令牌获取后立即过期

权限细分实现方案 #

要实现不同Realms/Clients/Users仅能访问Apache上的特定文件，可按以下步骤操作：

• Realm隔离：为不同权限组创建独立Realm，每个Realm对应一组Apache受保护文件
• 客户端权限绑定：在每个Realm内创建专属客户端，通过Client Scopes定义资源权限（例如添加resource_access映射，标记可访问的文件路径）
• KrakenD细粒度路由：为每个Apache文件创建独立KrakenD端点，每个端点的auth/validator配置对应特定Realm的JWK URL、发行者、受众，同时添加角色或声明校验，示例：

"extra_config": {
  "auth/validator": {
    "alg": "RS256",
    "jwk_url": "http://<my-ip>:8080/auth/realms/xxx/protocol/openid-connect/certs",
    "iss": "http://<my-ip>:8080/auth/realms/xxx",
    "aud": ["client-xxx"],
    "roles": ["access-file-xxx"]
  }
}

• Apache协同校验：若需更细粒度控制，可在Apache中配置mod_auth_openidc直接对接Keycloak，结合KrakenD的路由转发实现双层权限校验

内容的提问来源于stack exchange，提问作者Babbel