在Digital Ocean Docker Droplet部署Keycloak后遇HTTPS required问题求助

Keycloak默认强制管理控制台使用HTTPS访问，这是出于安全层面的考量，尤其是生产环境下的强制要求。下面根据不同场景给出对应的解决方案：

一、测试/开发环境：快速禁用HTTPS强制校验 #

如果只是在测试环境临时使用，你可以通过添加环境变量让Keycloak允许HTTP访问管理控制台。先停止当前运行的容器，再用以下命令重新启动：

docker run -e KEYCLOAK_USER=admin -e KEYCLOAK_PASSWORD={你的密码} -e KEYCLOAK_HTTP_REQUIRED=none -p 8080:8080 jboss/keycloak

执行完成后，你就能通过 http://<你的DropletIP>:8080/auth/admin 正常访问管理控制台了。注意：这种方式绝对不建议在生产环境使用，会带来明显的安全风险。

二、生产环境：配置HTTPS访问（推荐方案） #

对于生产环境，我们需要正确配置HTTPS保障安全，这里提供两种常用的实现方式：

方案1：让Keycloak容器直接启用HTTPS

你需要先准备好SSL证书（可以通过Let's Encrypt免费获取），然后将证书挂载到容器中，通过环境变量指定证书路径：

1. 将你的证书文件（比如server.crt）和私钥文件（比如server.key）放到Droplet的/opt/keycloak/certs目录下；
2. 使用以下命令启动容器：

docker run -e KEYCLOAK_USER=admin -e KEYCLOAK_PASSWORD={你的密码} \
  -v /opt/keycloak/certs:/opt/jboss/keycloak/certs \
  -e KEYCLOAK_HTTPS_CERTIFICATE_FILE=/opt/jboss/keycloak/certs/server.crt \
  -e KEYCLOAK_HTTPS_CERTIFICATE_KEY_FILE=/opt/jboss/keycloak/certs/server.key \
  -p 8443:8443 jboss/keycloak

之后就能通过 https://<你的DropletIP>:8443/auth/admin 访问管理控制台了。

方案2：使用Nginx反向代理处理HTTPS（更灵活）

这种方式适合需要同时托管多个服务的场景，由Nginx统一处理SSL加密，Keycloak在后台通过HTTP和Nginx通信：

1. 在Droplet上安装Nginx：

apt update && apt install nginx -y

2. 安装Certbot并获取免费SSL证书（替换成你的域名）：

apt install certbot python3-certbot-nginx -y
certbot --nginx -d your-domain.com

3. 创建并修改Nginx配置文件（比如/etc/nginx/sites-available/keycloak）：

server {
    listen 80;
    server_name your-domain.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl;
    server_name your-domain.com;

    ssl_certificate /etc/letsencrypt/live/your-domain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/your-domain.com/privkey.pem;

    location / {
        proxy_pass http://localhost:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

4. 启用配置并重启Nginx：

ln -s /etc/nginx/sites-available/keycloak /etc/nginx/sites-enabled/
nginx -t && systemctl restart nginx

5. 重新启动Keycloak容器，添加PROXY_ADDRESS_FORWARDING=true环境变量，让Keycloak识别来自Nginx的HTTPS转发请求：

docker run -e KEYCLOAK_USER=admin -e KEYCLOAK_PASSWORD={你的密码} -e PROXY_ADDRESS_FORWARDING=true -p 127.0.0.1:8080:8080 jboss/keycloak

这里把容器的8080端口绑定到Droplet的本地回环地址，避免直接暴露HTTP端口到公网，进一步提升安全性。之后你就能通过 https://your-domain.com/auth/admin 访问管理控制台了。

内容的提问来源于stack exchange，提问作者user6947621