IDX20803: Unable to obtain configuration from: 'http://keycloak:8080/realms/main/.well-known/openid-configuration'.

メッセージは「Will retry at '…'. Exception: '…'」と内部例外のテキストへと続きます。URL は、設定した `Authority` + `/.well-known/openid-configuration`、または `MetadataAddress` です。

Microsoft.IdentityModel.Protocols (.NET) — ConfigurationManager<OpenIdConnectConfiguration>, used by JwtBearer and OpenIdConnect handlers

このエラーの意味

構成マネージャーが OpenID Connect のディスカバリドキュメントをダウンロード（または解析）できなかったため、JWT Bearer ハンドラーや OpenID Connect ハンドラーには発行者も署名鍵もありません。その結果、すべてのトークンが拒否され、通常は IDX10500/IDX10503 エラーが続きます。本当の原因は内部例外にあります。HTTPS が必須なのにメタデータアドレスが平文 HTTP の場合は IDX20108、それ以外の場合はネットワークまたは TLS のエラーを伴う IDX20804 です。

発生する理由

• RequireHttpsMetadata が有効なのにメタデータアドレスが HTTP

  よくある

  ローカルの Keycloak や IdentityServer のコンテナーには、`http://service:8080` で接続することがよくあります。`RequireHttpsMetadata` はデフォルトで true なので、メタデータの取得処理は接続する前にこのアドレスを拒否します（IDX20108）。

• API から Authority に到達できない

  よくある

  クラスターの外でしか名前解決できない DNS、ファイアウォールや送信用プロキシ、または `localhost` がコンテナー自身を指すコンテナーネットワークが原因です。

• TLS 証明書が信頼されていない

  ときどき

  ID プロバイダーが自己署名証明書や社内 CA の証明書を使っている場合、その CA を API のコンテナー内にインストールしない限り、コンテナー内からの HTTPS リクエストは失敗します。

• Authority のパスが間違っている

  ときどき

  `/realms/<name>`（Keycloak）、テナント ID、`/v2.0`（Entra ID）が欠けていると、ディスカバリ URL が 404 を返します。

修正方法

1. 1.

   HTTP のメタデータは開発環境でのみ許可する

   `RequireHttpsMetadata = false` は開発環境に限定してください。本番環境では Authority は HTTPS でなければなりません。ダウンロードした鍵によって、どのトークンを受け入れるかが決まるからです。

   builder.Services.AddAuthentication().AddJwtBearer(options =>
   {
       options.Authority = builder.Configuration["Auth:Authority"];
       // Plain HTTP only for local development containers; production authorities must be HTTPS.
       options.RequireHttpsMetadata = !builder.Environment.IsDevelopment();
   });

2. 2.

   API が動作している場所から URL を取得する

   API のコンテナーまたは Pod の中からリクエストを実行してください。JSON 付きの 200 が返ればネットワークと TLS に問題はありません。それ以外の応答なら、修正すべきレイヤーが分かります。

   # From inside the API container: DNS, TLS and HTTP status of the metadata URL
   curl -sS -o /dev/null -w '%{http_code} %{ssl_verify_result}\n' https://login.example.com/realms/main/.well-known/openid-configuration

← 署名エラーデータベースをすべて見る