at 2023-02-01 18:02:24 +0000
Processing by Users::OmniauthCallbacksController#failure as HTML
Parameters: {"message"=>"openid_connect_discovery_error", "strategy"=>"oidc"}
Rendered users/omniauth_callbacks/failure.html.erb within layouts/no_ember (Duration: 0.1ms | Allocations: 17)
Rendered layout layouts/no_ember.html.erb (Duration: 17.3ms | Allocations: 5113)
Completed 200 OK in 24ms (Views: 19.7ms | ActiveRecord: 0.0ms | Allocations: 6610)
```
---
### Author:  [@RGJ](https://meta.discourse.org/u/RGJ)
#### Post date: [01.Февраль.2023 18:28:46 UTC](https://meta.discourse.org/t/openid-connect-plugin-cant-fetch-configuration/253728/2 "2023-02-01T18:28:46Z")
Существует [патч безопасности](https://github.com/discourse/discourse/blame/64171730827c58df26a7ad75f0e58f17c2add118/lib/final_destination/ssrf_detector.rb), который запрещает обращение к адресам в частных диапазонах (10.0.0.0/8 и т. д.), чтобы предотвратить исследование внутренней сети.
Чтобы обойти эту проверку, вам нужно добавить имя хоста в раздел «Администрирование» → «Настройки» → «Безопасность» → «Разрешённые внутренние хосты».
Было бы неплохо, если бы плагин делал это за вас.
---
### Author:  [@joshml.extra](https://meta.discourse.org/u/joshml.extra)
#### Post date: [01.Февраль.2023 18:37:59 UTC](https://meta.discourse.org/t/openid-connect-plugin-cant-fetch-configuration/253728/4 "2023-02-01T18:37:59Z")
Отлично! Значит, если я добавлю сюда свой Keycloak, всё должно заработать? Буду ли я использовать для этого URL или IP-адрес?
РЕДАКТИРОВАНИЕ: Забыл, это сработало. Большое спасибо! Я потратил так много времени на это, а решение оказалось таким простым.
---
### Author:  [@hiteshsp](https://meta.discourse.org/u/hiteshsp)
#### Post date: [02.Февраль.2023 18:58:52 UTC](https://meta.discourse.org/t/openid-connect-plugin-cant-fetch-configuration/253728/5 "2023-02-02T18:58:52Z")
@joshml.extra, какое совпадение — я столкнулся с точно такой же проблемой при интеграции Keycloak через OIDC, и решение, предложенное @RGJ, выглядит многообещающе. Я попробовал его, но оно сработало только для IP-адреса, в моём случае — для IP-адреса пода в Kubernetes.
@RGJ — возможно ли, чтобы DNS работал аналогичным образом? В моём случае это URL Nginx Ingress, и я вижу ошибку проверки сертификата, так как на контроллере Nginx используются сертификаты, подписанные внутренним УЦ. URL Ingress разрешается в частный IP-адрес.
Спасибо за эту тему!! Очень признателен 🙂. Я уже почти отказался от поиска решения для нашей изолированной (air-gapped) среды.
---
### Author:  [@RGJ](https://meta.discourse.org/u/RGJ)
#### Post date: [02.Февраль.2023 19:21:51 UTC](https://meta.discourse.org/t/openid-connect-plugin-cant-fetch-configuration/253728/6 "2023-02-02T19:21:51Z")
> [@Hitesh](#):
>
> Ошибка проверки сертификата, так как на контроллере Nginx используются сертификаты, подписанные внутренним центром сертификации (CA). URL-адрес ingress разрешается в приватный IP-адрес.
Похоже, что ваша проблема не связана с приватным IP-адресом. В конце концов, если бы доступ блокировался из-за приватного IP, вы бы даже не дошли до этапа ошибки проверки сертификата.
---
### Author:  [@hiteshsp](https://meta.discourse.org/u/hiteshsp)
#### Post date: [03.Февраль.2023 03:24:30 UTC](https://meta.discourse.org/t/openid-connect-plugin-cant-fetch-configuration/253728/7 "2023-02-03T03:24:30Z")
Понял! Имеет смысл.
Спасибо за объяснение. У меня всё работает отлично с IP-адресом / именем хоста.
---
### Author:  [@system](https://meta.discourse.org/u/system)
#### Post date: [05.Март.2023 03:25:13 UTC](https://meta.discourse.org/t/openid-connect-plugin-cant-fetch-configuration/253728/8 "2023-03-05T03:25:13Z")
This topic was automatically closed 30 days after the last reply. New replies are no longer allowed.