前面有apache作为反向代理的keycloak

Question

我正在尝试将 Keycloak 集成到包含多个应用程序的现有环境中，这些应用程序依赖于提供用户信息的 http 标头。

许多（反向）代理似乎处理 OpenID Connect，尽管在最流行的（nginx、tomcat）中，我选择了 tomcat，因为 nginx 似乎需要付费版本（nginx plus）。 我想使用的模块是mod_auth_openidc 。

我有几个问题：

• 使用反向代理作为 RP 来设置架构，而不是让所有应用程序与 Keycloak 通信（使用适配器），这是一个好习惯吗？ 我知道答案可能是“视情况而定”，但是您能否给出可能影响决策制定的主要特征，因为我无法找到相关细节。
• 似乎文档建议 rproxy 背后的应用程序在访问令牌过期时刷新它（使用刷新令牌）。 它不会破坏 rproxy 的全部目的，即处理所有身份验证协议吗？ 当 apache 拦截具有过期（或理想情况下，接近过期）访问令牌的调用时，它是否可以执行此刷新令牌请求？
• 在具有冗余（多个 apache 前端）的架构上，是否必须设置某种服务器端缓存共享（redis，...）才能使其工作？