Kubernetes环境下以OIDC模式对接Keycloak时OAuth2 Proxy Pod持续崩溃问题

问题根因 #

报错的核心原因是K8s集群内部的OAuth2 Proxy Pod解析keycloak.localtest.me时得到的地址是127.0.0.1，指向Pod自身的回环接口，自然无法连接到Keycloak服务。你在开发机/etc/hosts中配置的域名映射仅对本机生效，不会同步到集群内部的Pod中。

验证方法 #

你可以进入故障Pod执行以下命令确认解析结果：

kubectl exec -it oauth2-proxy-xxxx -- nslookup keycloak.localtest.me

返回结果如果包含127.0.0.1即可确认是该问题。

解决方案 #

方案1：配置Pod HostAliases（推荐，无需开启不安全配置） #

1. 首先获取集群内Ingress Nginx服务的ClusterIP：

kubectl get svc -n ingress-nginx ingress-nginx-controller -o jsonpath='{.spec.clusterIP}'

2. 修改OAuth2 Proxy的Deployment配置，在spec.template.spec下增加hostAliases字段：

spec:
  template:
    spec:
      hostAliases:
      - ip: "上一步查询到的Ingress ClusterIP"
        hostnames:
        - "keycloak.localtest.me"
        - "oauth2-proxy.localtest.me"
        - "httpbin.localtest.me"
      containers:
      # 原有容器配置保持不变

重新应用配置后，Pod内部访问这些域名会直接指向Ingress入口，即可正常拉取OIDC配置。

方案2：使用集群内部Service访问Keycloak #

因为Keycloak配置了固定的KEYCLOAK_HOSTNAME，返回的Issuer字段和外部域名一致，直接使用内部Service地址作为Issuer会触发校验失败，所以需要增加跳过Issuer校验的参数：
修改OAuth2 Proxy的启动参数：

- --oidc-issuer-url=http://keycloak-svc:8080/auth/realms/master
- --insecure-oidc-skip-issuer-verification=true

该方案无需修改DNS配置，OAuth2 Proxy会直接通过集群内部Service访问Keycloak，不影响终端用户通过外部域名的跳转逻辑。

内容的提问来源于stack exchange，提问作者mr-ma