IDX20803: Unable to obtain configuration from: 'http://keycloak:8080/realms/main/.well-known/openid-configuration'.

Дальше сообщение продолжается фразой «Will retry at '…'. Exception: '…'» и текстом внутреннего исключения. URL — это ваш `Authority` + `/.well-known/openid-configuration` или ваш `MetadataAddress`.

Microsoft.IdentityModel.Protocols (.NET) — ConfigurationManager<OpenIdConnectConfiguration>, used by JwtBearer and OpenIdConnect handlers

Что это означает

Диспетчер конфигурации не смог загрузить (или разобрать) документ обнаружения OpenID Connect, поэтому у обработчика JWT Bearer или OpenID Connect нет ни издателя, ни ключей подписи. В результате отклоняется каждый токен, обычно с последующими ошибками IDX10500/IDX10503. Настоящая причина — во внутреннем исключении: IDX20108, если адрес метаданных использует обычный HTTP, а требуется HTTPS, в остальных случаях — IDX20804 с сетевой ошибкой или ошибкой TLS.

Почему это происходит

• Адрес метаданных с HTTP при включённом RequireHttpsMetadata

  часто

  К локальным контейнерам Keycloak или IdentityServer часто обращаются по адресу `http://service:8080`. По умолчанию `RequireHttpsMetadata` равен true, поэтому загрузчик метаданных отвергает адрес ещё до подключения (IDX20108).

• Сервер Authority недоступен из API

  часто

  DNS-имя, которое разрешается только за пределами кластера, межсетевой экран или прокси для исходящего трафика либо контейнерная сеть, где `localhost` означает сам контейнер.

• Сертификату TLS не доверяют

  иногда

  Самоподписанные сертификаты или сертификаты внутреннего CA у поставщика удостоверений приводят к сбою HTTPS-запроса внутри контейнера API, если этот CA там не установлен.

• Неверный путь в адресе Authority

  иногда

  Без `/realms/<name>` (Keycloak), идентификатора тенанта или `/v2.0` (Entra ID) URL документа обнаружения возвращает 404.

Как исправить

1. 1.

   Разрешайте метаданные по HTTP только в среде разработки

   Привяжите `RequireHttpsMetadata = false` к среде разработки; в рабочей среде адрес Authority обязан использовать HTTPS, потому что загружаемые ключи определяют, какие токены вы принимаете.

   builder.Services.AddAuthentication().AddJwtBearer(options =>
   {
       options.Authority = builder.Configuration["Auth:Authority"];
       // Plain HTTP only for local development containers; production authorities must be HTTPS.
       options.RequireHttpsMetadata = !builder.Environment.IsDevelopment();
   });

2. 2.

   Запросите URL оттуда, где работает API

   Выполните запрос внутри контейнера или пода API. Ответ 200 с JSON подтверждает, что сеть и TLS в порядке; любой другой результат укажет, какой уровень нужно исправлять.

   # From inside the API container: DNS, TLS and HTTP status of the metadata URL
   curl -sS -o /dev/null -w '%{http_code} %{ssl_verify_result}\n' https://login.example.com/realms/main/.well-known/openid-configuration

← Открыть всю базу ошибок подписей