开启Nginx Ingress SSL卸载后JBoss应用服务器管理控制台登录失败问题咨询

问题根因 #

你遇到的403错误确实是SSL卸载后请求头传递缺失导致的：Wildfly 管理接口的Digest认证会校验请求的安全协议上下文，Ingress 完成SSL卸载后向后端发送HTTP请求，但没有传递明确的协议标识头，Wildfly 无法识别外层实际使用HTTPS协议，判定当前认证请求的上下文不安全，因此拦截请求返回403。

配置修复步骤 #

1. 调整Nginx Ingress配置 #

更新你的Ingress资源，新增以下注解确保转发正确的协议头给后端Wildfly：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: app-ingress
  annotations:
    kubernetes.io/ingress.class: "nginx"
    # 新增以下配置
    nginx.ingress.kubernetes.io/ssl-redirect: "true"
    nginx.ingress.kubernetes.io/use-forwarded-headers: "true"
    nginx.ingress.kubernetes.io/enable-x-forwarded-proto: "true"
    nginx.ingress.kubernetes.io/proxy-redirect-from: "http://example.com/"
    nginx.ingress.kubernetes.io/proxy-redirect-to: "https://example.com/"
spec:
  tls:
  - hosts:
    - example.com
    secretName: tls-ca
  rules:
  - host: example.com
    http:
      paths:
      ...

2. 开启Wildfly代理地址转发配置 #

Wildfly 默认不信任代理传递的转发头，需要分别开启业务服务和管理接口的代理转发能力：

业务HTTP监听器配置（适用于部署的普通应用）

如果使用standalone.xml配置文件，找到undertow子系统的http-listener配置，新增proxy-address-forwarding="true"属性：

<subsystem xmlns="urn:jboss:domain:undertow:12.0">
  <server name="default-server">
    <http-listener name="default" socket-binding="http" 
      redirect-socket="https" 
      proxy-address-forwarding="true"/>
    ...
  </server>
</subsystem>

也可以通过JBoss CLI命令执行配置：

/subsystem=undertow/server=default-server/http-listener=default:write-attribute(name=proxy-address-forwarding,value=true)

管理接口配置（专门解决控制台登录问题）

同样给管理接口的HTTP监听器开启代理转发，CLI命令如下：

/core-service=management/management-interface=http-interface:write-attribute(name=proxy-address-forwarding,value=true)

3. 可选：配置Wildfly信任代理IP段 #

如果集群环境有严格的安全校验，建议配置Wildfly只信任来自Ingress网段的转发头，避免头伪造风险，CLI命令示例（替换为实际的Ingress Pod网段即可）：

/subsystem=undertow/configuration=filter/response-header=add-proxy-peer-address:add(header-name=X-Forwarded-For,header-value=%{REMOTE_ADDRESS})
/subsystem=undertow/server=default-server/host=default-host/filter-ref=add-proxy-peer-address:add()

验证 #

配置完成后重新应用Ingress资源、重启Wildfly Pod，再通过HTTPS访问管理控制台即可正常登录。

内容的提问来源于stack exchange，提问作者Taha