Nginx+oauth2_proxy代理Grafana后认证用户无法传递至Grafana

• 检查oauth2_proxy的用户信息传递配置
  确认oauth2_proxy是否正确配置了将用户信息传递给后端Grafana：

  • 查看是否启用--set-xauthrequest参数，这个参数会让oauth2_proxy在认证通过后向后端添加X-Auth-User、X-Auth-Email这类身份请求头
  • 核对pass_authorization_header、pass_access_token这类参数的设置，确保用户身份信息能被后端接收

• 验证Grafana的反向代理认证配置
  Grafana必须开启反向代理认证模式，检查grafana.ini的相关配置：

  • 确认[auth.proxy]下enabled = true
  • 设置header_name = X-Auth-User（要和oauth2_proxy传递的请求头一致）
  • 开启auto_sign_up = true，否则未预先在Grafana创建的用户会被拒绝
  • 检查trusted_proxies是否包含oauth2_proxy的容器IP或网段，确保Grafana信任来自oauth2_proxy的请求

• 检查Nginx的请求头转发规则
  Nginx作为反向代理，不能丢失oauth2_proxy传给Grafana的请求头：

  • 在location /grafana/的配置里，添加proxy_pass_header Authorization;、proxy_set_header X-Auth-User $http_x_auth_user;这类规则，保证身份请求头正确转发到Grafana
  • 确认Nginx的proxy_set_header Host未导致域名不一致，X-Forwarded-For、X-Forwarded-Proto这类参数也要设置正确，Grafana可能依赖这些判断请求来源

• 排查Cookie和域名一致性问题

  • 检查oauth2_proxy设置的Cookie域名是否和Nginx的访问域名（localhost）一致，避免跨域导致Cookie无法携带到Grafana请求中
  • 确认oauth2_proxy的cookie_domain参数设为localhost，或者留空自动适配
  • 用Chrome开发者工具的Network面板，查看访问localhost/grafana/时的请求是否携带oauth2_proxy的认证Cookie，以及请求头中是否包含X-Auth-User这类身份信息

• 验证请求流向中的身份传递

  • 用curl命令模拟认证后的请求，直接访问oauth2_proxy的/grafana/路径，查看返回的响应头中是否包含Grafana需要的身份信息
  • 进入Grafana容器，查看grafana.log（可开启debug级别日志），确认是否接收到oauth2_proxy传递的用户信息

内容的提问来源于stack exchange，提问作者mariovalens