使用NGINX的Keycloak Oauth2提供程序保护我的RESTful服务

Question

我们在某个URI上有一些Restful服务，我们想在网络上发布我们的服务以在我们的移动应用程序（用Java编写）中使用它们，

我们的服务位于无法同时处理太多请求的服务器上，为此使用了proxy_pass功能，

因此，我在中间服务器上使用了Nginx来控制对REST服务器的访问，

现在，我们想通过Oauth2使用密码或客户端凭据来保护我们的服务（因为我们的移动用户不应登录到我们的服务器，因此我们无法向他们显示任何登录页面），

我设置了一个正在运行的Keycloak服务器，可以为我的客户端获取令牌。 我将把auth / token URI提供给我们的移动开发人员，以便首先获得Oauth2令牌并在他们的请求中使用它。

问题是我不知道如何配置Nginx以使用请求标头中提供的令牌来授权传入的REST请求。

我应该配置Keycloak处理请求并将授权的请求转发给NGINX吗？

谢谢你的帮助

Answer 1

经过一番尝试，我发现了这个解决方案：

1 -你必须添加NJS模块nginx的，这是必要的，你必须先编译它（所以在Windows中，它会很麻烦，我想MinGW和停在一个叫想到这是不是MinGW的书面依赖和它浪费了我花了很多时间，实际上我将IAM移到了ubuntu并在几分钟内完成了njs和nginx的编译！）

2- 自省是这里的关键主题，keycloak支持它，它的URI与令牌URI加自省相同，在标头中使用基本授权，在正文中使用令牌

3- nginx在添加njs模块后也支持自省，这将使nginx支持将js代码插入配置文件中，一个很好的例子是NGINX Demoes- Oauth2自省OSS ，只需复制配置文件和oauth2.js文件并完成。 我在nginx配置文件中的位置标记处添加了api指令，以使调用者知道它受到了保护。

4-在keycloak中为nginx创建一个客户端以进行自省操作，该客户端应处于机密模式，并且应为此启用服务帐户 。

5- nginx应该将身份验证/令牌请求转发（代理通过）到IAM，因此应在配置文件中添加该位置。

6- [对于ubuntu]我在nginx中遇到一个错误，告诉我它无法解析localhost ！ 并安装Bind 9可以解决这个问题（在此浪费了其他时间）。

7-因此，任何想要使用我们服务的人都应先请求令牌，然后将其请求附加到令牌，然后发送给nginx，nginx会自省令牌，如果令牌正常，并且收到{{active“：true} ，则将请求转发给资源并通过密码回复给请求者。

全部做完。