Argo Workflows集成Keycloak SSO遇501错误，求排查方案

问题背景 #

已基于官方quick-start-postgres.yaml修改配置，为Argo Workflows集成SSO（Keycloak作为OIDC提供者），但启动后尝试登录时未跳转至Keycloak登录页，反而重定向到https://localhost:2746/oauth2/redirect?redirect=https://localhost:2746/workflows，页面返回HTTP ERROR 501。

已完成的配置修改 #

1. argo-server Deployment配置 #

apiVersion: apps/v1
kind: Deployment
metadata:
  name: argo-server
spec:
  selector:
    matchLabels:
      app: argo-server
  template:
    metadata:
      labels:
        app: argo-server
    spec:
      containers:
      - args:
        - server
        - --namespaced
        - --auth-mode=sso

2. workflow-controller-configmap配置 #

apiVersion: v1
data:
  sso: |
    # This is the root URL of the OIDC provider (required).
    issuer: http://localhost:8080/auth/realms/master
    # This is name of the secret and the key in it that contain OIDC client
    # ID issued to the application by the provider (required).
    clientId:
      name: dummyClient
      key: client-id
    # This is name of the secret and the key in it that contain OIDC client
    # secret issued to the application by the provider (required).
    clientSecret:
      name: jdgcFxs26SdxdpH9Z5L33QCFAmGYTzQB
      key: client-secret
    # This is the redirect URL supplied to the provider (required). It must
    # be in the form <argo-server-root-url>/oauth2/callback. It must be
    # browser-accessible.
    redirectUrl: http://localhost:2746/oauth2/callback
  artifactRepository: |
    s3:
      bucket: my-bucket

启动命令 #

kubectl apply -n argo -f modified-file/quick-start-postgres.yaml
kubectl -n argo port-forward svc/argo-server 2746:2746

问题原因 #

1. 协议不匹配：配置中redirectUrl使用http，但浏览器强制跳转至https，导致回调地址不匹配，触发501错误。
2. Secret配置错误：clientSecret的name字段填写了密钥值而非Kubernetes Secret的名称，且未创建对应存储客户端ID/密钥的Secret，Argo Server无法获取OIDC认证所需的凭证。
3. Keycloak访问不可达：Argo Server容器内的localhost:8080指向容器自身，无法访问宿主机上运行的Keycloak服务。
4. 缺失必要启动参数：未显式指定SSO配置来源，可能导致Argo Server无法正确读取configmap中的SSO配置。

解决方案 #

1. 统一访问协议与回调地址 #

• 确保浏览器访问地址为http://localhost:2746（避免自动跳转至https），保持与redirectUrl的协议一致。
• 若需使用https，需为Argo Server配置SSL证书，或调整端口转发规则支持HTTPS。

2. 创建并修正Secret配置 #

步骤1：创建存储OIDC凭证的Secret

kubectl create secret generic argo-sso-secrets -n argo \
  --from-literal=client-id=你的Keycloak客户端ID \
  --from-literal=client-secret=你的Keycloak客户端密钥

步骤2：修正configmap中的SSO配置

clientId:
  name: argo-sso-secrets
  key: client-id
clientSecret:
  name: argo-sso-secrets
  key: client-secret

3. 修正Keycloak的Issuer地址 #

将issuer地址替换为宿主机可访问的IP（如http://192.168.1.100:8080/auth/realms/master），确保Argo Server容器能访问到Keycloak服务。

4. 补充argo-server启动参数 #

修改argo-server的启动参数，显式指定SSO配置来源：

args:
  - server
  - --namespaced
  - --auth-mode=sso
  - --sso-configmap=workflow-controller-configmap

5. 应用配置并重启服务 #

# 应用修改后的配置文件
kubectl apply -n argo -f modified-file/quick-start-postgres.yaml
# 重启argo-server使配置生效
kubectl rollout restart deployment/argo-server -n argo
# 重新端口转发
kubectl -n argo port-forward svc/argo-server 2746:2746

内容的提问来源于stack exchange，提问作者Yashwanthkumar Ht