如何让Nginx为Keycloak 3.4.3.Final容器处理HTTPS请求

我来帮你解决这个头疼的问题——你已经用Nginx做了反向代理，但Keycloak还是一个劲提示“需要HTTPS”，核心原因是Keycloak没意识到请求其实是通过HTTPS进来的，它只看到了容器内部的HTTP请求。下面是一步步的修复方案：

1. 补全Nginx反向代理配置 #

你的现有配置缺了关键的转发头，我给你整理了完整的可用配置，直接替换或者补充你的现有配置就行：

events {
    worker_connections 4096;
}

http {
    upstream keycloak-stream {
        server keycloak:8080;
    }

    server {
        listen 443 ssl;
        server_name localhost redacted.com *.redacted.com;

        # 这里替换成你实际的SSL证书和密钥路径
        ssl_certificate /etc/nginx/ssl/your-cert.pem;
        ssl_certificate_key /etc/nginx/ssl/your-key.pem;

        autoindex off;

        location / {
            # 传递真实的请求信息给Keycloak
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            # 最关键的一行：告诉Keycloak请求是HTTPS协议
            proxy_set_header X-Forwarded-Proto $scheme;
            proxy_set_header X-Forwarded-Port $server_port;

            # Keycloak容器内部是HTTP监听，所以这里用http://
            proxy_pass http://keycloak-stream;
            proxy_http_version 1.1;
            proxy_set_header Upgrade $http_upgrade;
            proxy_set_header Connection "upgrade";
        }
    }

    # 可选但推荐：把所有HTTP请求自动重定向到HTTPS
    server {
        listen 80;
        server_name localhost redacted.com *.redacted.com;
        return 301 https://$host$request_uri;
    }
}

几个要注意的点：

• 一定要给listen 443加上ssl，并配置正确的证书路径，不然Nginx的HTTPS服务起不来
• proxy_pass别用https://，Keycloak 3.4.3的容器内部默认是跑在HTTP 8080端口的，直接连内部的HTTP就行
• X-Forwarded-Proto这个头是核心，没它Keycloak就不知道外面是HTTPS

2. 给Keycloak容器加反向代理信任配置 #

启动Keycloak容器的时候，要加几个环境变量，让它知道自己在反向代理后面，信任Nginx传过来的头：

docker run -d \
  --name keycloak \
  -e KEYCLOAK_USER=你的管理员用户名 \
  -e KEYCLOAK_PASSWORD=你的管理员密码 \
  # 开启反向代理模式，让Keycloak使用转发的头信息
  -e PROXY_ADDRESS_FORWARDING=true \
  # 可选：如果你的Keycloak对外的地址是固定的，设置这个让它生成正确的链接
  -e KEYCLOAK_FRONTEND_URL=https://redacted.com/auth \
  jboss/keycloak:3.4.3.Final

PROXY_ADDRESS_FORWARDING=true这个参数是关键，它会让Keycloak放弃直接检测容器内部的协议，转而使用X-Forwarded-Proto的值来判断请求协议。

3. 重启服务验证 #

做完上面两步后：

• 重启Nginx：sudo systemctl restart nginx（如果是Docker部署的Nginx就重启容器）
• 重启Keycloak容器：docker restart keycloak
• 现在访问https://redacted.com/auth，应该就能正常进入Keycloak的登录页面，不会再弹“需要HTTPS”的提示了。

如果还是有问题，先查Nginx的错误日志（比如/var/log/nginx/error.log）看看是不是证书或者代理配置错了，再看Keycloak的容器日志docker logs keycloak，有没有关于请求协议的报错信息。

内容的提问来源于stack exchange，提问作者Jack Murphy