IIS反向代理rewrite至内部Keycloak认证模块的配置问题咨询

1. Keycloak侧核心配置修正 #

• 配置Keycloak的前端URL（Frontend URL）：Keycloak默认会用自身监听的内网地址/端口生成重定向地址，你需要在Keycloak管理控制台的「realm设置-常规」页面，把前端URL配置为IIS对外暴露的Keycloak访问地址，比如https://你的对外域名/auth/，确保所有返回给用户浏览器的跳转地址都是公网可访问的域名，而不是内网IP/主机名。
• 调整Keycloak的反向代理信任配置：如果你的IIS是用HTTP和内网Keycloak通信、对外用HTTPS，需要在Keycloak的启动配置里开启代理信任，WildFly版本的Keycloak修改standalone.xml配置：

  <http-listener name="default" socket-binding="http" redirect-socket="https" proxy-address-forwarding="true"/>
  

  Quarkus版本的Keycloak添加启动参数：--proxy edge，确保Keycloak可以正确识别来自反向代理的原始请求协议、域名。

2. IIS反向代理规则配置修正 #

• 新增Keycloak路径的重写规则：你之前的重写规则只覆盖了QlikSense的路径，需要新增规则匹配/auth/*路径的请求，转发到内网Keycloak的对应地址，规则示例的匹配模式填^auth/(.*)，重写URL填http://内网Keycloak地址:8080/auth/{R:1}，同时勾选「追加查询字符串」。
• 验证ARR代理设置：确保ARR的「代理设置」里开启了反向代理功能，且按需开启「保留原始Host头」选项，如果你Keycloak配置了Host校验，需要勾选让IIS把公网域名的Host头传递给内网Keycloak。

3. 认证流程相关配置修正 #

• 调整QlikSense侧的Keycloak对接配置：把之前填的DMZ本地Keycloak地址，全部替换为对外的公网Keycloak地址（和你配置的Keycloak前端URL保持一致）。
• 更新Keycloak里的客户端重定向URI白名单：把所有重定向URI的域名替换为公网域名，不要留内网地址/本地地址，避免跳转校验不通过。

4. 快速排查手段 #

如果配置后还有报错，按顺序验证：

• 打开浏览器开发者工具的网络面板，查看跳转的Keycloak地址是不是公网可访问的域名，如果跳转到了内网IP/主机名，说明Keycloak的前端URL配置没有生效。
• 直接在公网环境访问https://你的对外域名/auth/，验证能不能正常打开Keycloak的管理后台登录页，确认IIS的重写规则本身生效。

内容的提问来源于stack exchange，提问作者Philipp Kunz