为Keycloak配置Nginx反向代理后页面链接地址修正问题

你遇到的问题是因为Keycloak无法识别外部访问的真实域名和协议，需要通过Nginx传递正确的请求头，同时调整Keycloak配置来适配反向代理环境。

步骤1：完善Nginx反向代理配置 #

在Nginx的SSL server块的location /中添加代理请求头，让Keycloak获取真实的外部访问信息：

server {
  listen [::]:443 ssl;
  listen 443 ssl;
  ssl_certificate /etc/letsencrypt/live/keycloak.mydomain.com/fullchain.pem; # managed by Certbot
  ssl_certificate_key /etc/letsencrypt/live/keycloak.mydomain.com/privkey.pem; # managed by Certbot
  ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; 
  server_name keycloak.mydomain.com;
  access_log /var/log/nginx/keycloak-access.log;
  error_log /var/log/nginx/keycloak-error.log;

  location / {
    proxy_pass http://127.0.0.1:8082;
    # 添加以下代理头，传递真实访问信息
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header X-Forwarded-Host $host;
    proxy_set_header X-Forwarded-Port $server_port;
  }
}

修改后重启Nginx使配置生效：

sudo systemctl restart nginx

步骤2：调整Keycloak配置 #

有两种方式可以指定Keycloak的外部访问URL：

方式一：修改配置文件 #

找到Keycloak的核心配置文件（通常路径为/opt/keycloak/standalone/configuration/standalone.xml或standalone-ha.xml），进行两处修改：

1. 找到Undertow子系统的http-listener配置，开启代理地址转发并设置公网地址：

<subsystem xmlns="urn:jboss:domain:undertow:12.0">
  <server name="default-server">
    <http-listener name="default" socket-binding="http" redirect-socket="https" proxy-address-forwarding="true" public-address="keycloak.mydomain.com"/>
    <!-- 其他配置内容 -->
  </server>
</subsystem>

2. 找到Keycloak服务子系统，添加或修改frontendUrl参数：

<subsystem xmlns="urn:jboss:domain:keycloak-server:1.1">
  <web-context>auth</web-context>
  <frontendUrl>https://keycloak.mydomain.com/auth</frontendUrl>
  <!-- 其他配置内容 -->
</subsystem>

方式二：启动时指定参数 #

如果是手动启动Keycloak，可在启动命令中直接添加外部URL参数：

./standalone.sh -Dkeycloak.frontendUrl=https://keycloak.mydomain.com/auth

如果是通过systemd管理的服务，修改服务文件（如/etc/systemd/system/keycloak.service）的ExecStart行：

ExecStart=/opt/keycloak/bin/standalone.sh -Dkeycloak.frontendUrl=https://keycloak.mydomain.com/auth

修改完成后重启Keycloak服务：

sudo systemctl daemon-reload
sudo systemctl restart keycloak

完成以上操作后，Keycloak页面内的所有链接就会自动使用keycloak.mydomain.com作为BaseURL了。

内容的提问来源于stack exchange，提问作者Navalona Ramanantoanina