K8s环境下OAuth2-proxy机器对机器认证Bearer Token失效求助

1. 修复oauth2-proxy的JWT处理配置 #

你的oauth2-proxy启动参数里设置了--skip-jwt-bearer-tokens=true，这个参数会让oauth2-proxy忽略Authorization头中的Bearer Token，只依赖cookie验证会话。而CI/CD用Client Credentials模式获取的token是通过Authorization头传递的，必须修改该参数：

• 将--skip-jwt-bearer-tokens=true改为--skip-jwt-bearer-tokens=false，或者直接删除该参数（v7.3.0版本默认值为false）

2. 验证Token有效性 #

确保获取的access_token是符合要求的JWT：

• 解码token，检查核心字段：
  • iss字段必须与oauth2-proxy配置的--oidc-issuer-url=https://sso.provider.com完全一致
  • aud（受众）字段需包含oauth2-proxy使用的client-id，或API服务预期的受众值
  • 确认token未过期（exp字段时间晚于当前时间）

3. 确认Ingress传递Authorization头 #

确保Nginx Ingress没有丢弃Authorization头：

• 可在Ingress注解中添加nginx.ingress.kubernetes.io/proxy-set-header: Authorization $http_authorization，显式指定传递该头到oauth2-proxy

4. 检查SSO与oauth2-proxy的模式兼容性 #

• 确认你的SSO提供商https://sso.provider.com支持Client Credentials模式，且已为当前client-id开启该模式
• 检查/etc/oauth2_proxy/oauth2_proxy.cfg中的额外配置，是否存在限制token验证的规则（如特定scope要求）

验证测试 #

修改配置后重新部署oauth2-proxy，再用原命令测试：

curl --location --request GET 'https://example.net/api/get_queue' \
--header 'Authorization: Bearer <你的有效Token>' \
--header 'Content-Type: application/json; charset=utf-8'

若仍有错误，利用已开启的--show-debug-on-error=true配置查看详细日志，定位具体的token解析失败原因。

内容的提问来源于stack exchange，提问作者Bennimi