IAM 网关：Keycloak + oauth2-proxy 保护内部应用
一份面向内部应用的 Keycloak + oauth2-proxy 网关层 SSO 配置清单，覆盖 NGINX Ingress、Traefik ForwardAuth、常见报错和回滚。
2026年7月4日 Keycloak, OAuth2 Proxy5 minutes
SSO
Keycloak Kerberos/SPNEGO 对接 AD 域：IAM 内网免登配置与排错
内网免登不是打开一个开关：SPN 必须与浏览器访问的地址一致、keytab 必须与 AD 账号当前密钥一致、krbPrincipalAttribute 决定票据里的用户怎么落到目录里。这篇给出三段配置、验证命令、错误对照表与只回退一层的回滚顺序。