反向代理下Keycloak管理控制台登录404问题咨询

官方反向代理建议并不是要排除管理控制台的使用，核心是通过最小化暴露路径来降低攻击面，避免不必要的接口对外开放。

你遇到的404问题，是因为管理控制台的正常运行需要额外放行几个关键路径：

• /admin：管理控制台的前端页面入口，登录后跳转的/admin/master/console就属于这个路径下
• /auth/admin：控制台需要调用Keycloak的管理API获取数据，必须放行这个路径

调整后的Nginx配置示例如下：

# 保留原有的必要路径代理
location /auth/realms/ {
    proxy_pass http://your-keycloak-container:8080;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
}

location /auth/resources/ {
    proxy_pass http://your-keycloak-container:8080;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
}

# 添加管理控制台所需路径代理
location /admin/ {
    proxy_pass http://your-keycloak-container:8080;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
}

location /auth/admin/ {
    proxy_pass http://your-keycloak-container:8080;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
}

如果你的Keycloak是17及以上版本（基于Quarkus架构），默认路径已经去掉了/auth前缀，需要根据实际部署的路径调整配置规则，确保对应路径能被正确代理。

总结来说，官方建议的核心是只放行业务和管理必需的路径，而非禁用管理控制台，你只需要补充管理相关的路径代理即可正常使用控制台。

内容的提问来源于stack exchange，提问作者John M