IAM 网关：Keycloak + oauth2-proxy 保护内部应用
一份面向内部应用的 Keycloak + oauth2-proxy 网关层 SSO 配置清单，覆盖 NGINX Ingress、Traefik ForwardAuth、常见报错和回滚。
2026年7月4日 Keycloak, OAuth2 Proxy5 minutes
Blog
Keycloak + PgBouncer 排错：prepared statement does not exist 与通过环境变量配 JDBC URL 参数
Keycloak 挂在 PgBouncer 后面后事务提交失败、报 prepared statement does not exist 的排错记录，顺带说清楚怎么通过环境变量给任意组件的 JDBC URL 追加参数。
2026年7月17日 Keycloak, PostgreSQL3 minutes
IAM 网关 Keycloak 重定向循环与 401 排错
登录成功后又被弹回登录页，或者明明已登录却一直 401 —— 按反向代理 Header、Cookie、OIDC 回调 URI、TLS 终结层次、Token 校验五道关卡顺序定位，附症状速查表与诊断命令。
2026年7月8日 Keycloak, oauth2-proxy7 minutes
IAM 网关 oauth2-proxy 常见错误排错
把 oauth2-proxy 对接 Keycloak 最容易踩的 12 个错误做成速查：从 csrf cookie not found、expected audience、无限重定向到 Nginx Ingress 503，每条给出日志特征、根因和修复步骤。
2026年7月13日 Keycloak, oauth2-proxy14 minutes
IAM 单点登出排错：Keycloak 登出不彻底的原因与修复
点了退出，另一个应用还是登录状态？RP-Initiated Logout 与 Back-Channel Logout 覆盖范围不同、front/back channel 互斥开关极易配错——说清 400 报错与确认页卡住的根因、最小配置与回滚方式。
2026年9月12日 Keycloak5 minutes
IAM 会话超时排错：Keycloak SSO/Client Session 约束
Refresh Token 设了 30 天却一小时就失效？SSO Session Idle/Max 与 Client Session 的取值优先级（0 表示继承、min() 表示夹住）、改动何时生效，附最小配置与验证命令。
2026年9月13日 Keycloak5 minutes
Keycloak --optimized 启动失败：IAM 构建期选项与运行期选项的边界
容器里给 Keycloak 挂 KC_DB、KC_METRICS_ENABLED 却启动失败或选项不生效，多数是 build-time 与 runtime 选项混用。这篇把校验逻辑、报错原文、版本差异、正确镜像构建方式和回滚讲清楚。
2026年9月24日 Keycloak, Kubernetes4 minutes
IAM 前端跨域排错：Keycloak Web Origins 与 CORS 边界
客户端配了 Web Origins 还是 CORS 报错，或者机器客户端升级后突然 403？按 Keycloak 26.7.4 源码与官方升级说明拆解：哪些端点真的校验 Origin、`+` 和 `*` 展开成什么、26.6.3 起为什么连 client_credentials 都会被 Origin 头拒绝。
2026年9月20日 Keycloak7 minutes
Keycloak 管理员账号进不去：bootstrap-admin 恢复与 26.x 变量变更
给一个已经跑起来的 Keycloak 加 KC_BOOTSTRAP_ADMIN_PASSWORD 不会重置管理员密码——这些选项只在 master realm 不存在时才创建账号。恢复要用 kc.sh bootstrap-admin 命令：先停所有节点，db 选项与服务器保持一致，已优化构建加 --optimized；首次部署在反代后面点不出来创建入口，是 Welcome Page 的本机访问检查在起作用。
2026年9月23日 Keycloak3 minutes
Keycloak Kerberos/SPNEGO 对接 AD 域：IAM 内网免登配置与排错
内网免登不是打开一个开关：SPN 必须与浏览器访问的地址一致、keytab 必须与 AD 账号当前密钥一致、krbPrincipalAttribute 决定票据里的用户怎么落到目录里。这篇给出三段配置、验证命令、错误对照表与只回退一层的回滚顺序。