如何解决Kubernetes Ingress处理Azure AD认证/signin-oidc时的502错误

我之前在Azure ACS上部署ASP.NET Core应用对接Azure AD时，也踩过几乎一模一样的坑！结合你的环境（nginx-ingress-controller、.NET Core 2），问题基本出在Ingress对回调路径的转发配置，或者POST请求的处理限制上，下面是亲测有效的排查和解决步骤：

1. 修正Ingress的路径转发规则 #

虽然你的Ingress路径设为/，但nginx-ingress默认的路径匹配有时候会对/signin-oidc这类子路径处理不到位，尤其是POST请求。直接修改Ingress配置，确保所有子路径都正确转发到后端服务：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: debug-ui-ingress
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /$1
    # 重点！Azure AD回调的POST请求带的JWT令牌可能超过nginx默认的体大小限制，直接导致502
    nginx.ingress.kubernetes.io/proxy-body-size: "8m"
spec:
  rules:
  - http:
      paths:
      - path: /(.*)
        pathType: Prefix
        backend:
          service:
            name: debug-ui
            port:
              number: 80

这里用/(.*)配合rewrite-target可以把所有子路径（包括/signin-oidc）完整转发到后端，不会被Ingress误判为其他服务的路由。

2. 验证后端服务的回调端点是否正常 #

先在集群内部确认你的ASP.NET Core应用确实存在/signin-oidc端点：

• 开个临时测试Pod：kubectl run -it --rm --image=curlimages/curl curl-test
• 发送POST请求测试：curl -X POST http://debug-ui/signin-oidc -d "test=dummy"
  如果返回400（因为没有合法的认证参数），说明端点是正常的；如果返回404，那得检查你的应用代码：
  确保Startup.cs里的认证配置正确，回调路径和Azure AD里的设置一致：

services.AddAuthentication(AzureADDefaults.AuthenticationScheme)
    .AddAzureAD(options => Configuration.Bind("AzureAd", options));

services.Configure<OpenIdConnectOptions>(AzureADDefaults.OpenIdScheme, options =>
{
    options.CallbackPath = "/signin-oidc"; // 必须和Azure AD应用注册里的重定向URI完全匹配
    options.ResponseType = "code";
    // 其他必要配置
});

还要注意中间件的顺序，UseAuthentication()一定要放在UseAuthorization()前面，否则认证逻辑不会生效。

3. 查nginx-ingress日志找具体原因 #

如果还是不行，直接看Ingress控制器的日志，能精准定位502的根源：

kubectl logs -n <你的Ingress命名空间> <nginx-ingress-controller-pod名称> | grep "502"

常见的坑包括：

• 后端服务超时：加注解nginx.ingress.kubernetes.io/proxy-read-timeout: "60s"延长超时时间
• 连接被拒绝：说明你的debug-ui Pod没正常运行，先检查Pod状态和应用日志

4. 确认Azure AD的重定向URI配置 #

最后再核对一遍Azure AD应用注册里的重定向URI，必须和你的实际访问地址完全一致：比如你的Ingress用HTTPS，那URI就得是https://你的域名/signin-oidc，不能用HTTP，也不能多打一个斜杠或者少个路径。

按这个流程走下来，基本就能解决问题了，我当时就是调整Ingress路径规则加代理体大小限制搞定的。

内容的提问来源于stack exchange，提问作者TechnoCowboy