Проверка подлинности сертификата Keycloak x.509

Я пытаюсь настроить следующую архитектуру, но у меня возникают затруднения:

• Контейнер Keycloak с этим образом jboss / keycloak: 7.0.0

• Apache с mod_auth_openidc

• Apache имеет защищенный каталог

• Apache выполняет аутентификацию клиента SSL

Я хочу настроить следующий сценарий:

• Пользователь посещает мой веб-сайт / демонстрацию

• Apache предлагает ему пройти аутентификацию с помощью его сертификата

• Apache перенаправляет информацию в keycloak

• ] Keycloak использует X509 / Validate Username для проверки сертификата (CN)

• Возвращает ресурс пользователю после аутентификации

У меня есть следующая конфигурация для Apache vhost:

Listen 8081 https
<VirtualHost *:8081>

        ServerAdmin webmaster@localhost
        DocumentRoot /var/www/html/

        SSLEngine on
        SSLCipherSuite HIGH
        SSLProtocol all -SSLv3 -TLSv1.3


        SSLCertificateFile /etc/apache2/ssl/serv.crt
        SSLCertificateKeyFile /etc/apache2/ssl/serv.key
        SSLCACertificateFile /etc/apache2/ssl/ca.crt

        <Location /pdf >
                ProxyPass http://mywebsite:5001/pdf
                ProxyPassReverse http://mywebsite:5001/pdf
        </Location>
        #RequestHeader set CERT_CHAIN ""
        RequestHeader set  SSL_CLIENT_CERT ""


        OIDCCryptoPassphrase passphrase
        OIDCProviderMetadataURL https://mywebsite:9004/auth/realms/demorealm/.well-known/openid-configuration
        OIDCClientID demo2
        OIDCClientSecret e6dc781f-49c0-4cfa-9cde-411f9d8bc2cb
        OIDCSSLValidateServer Off
        OIDCRedirectURI https://mywebsite:9998/demo2/redirect
        OIDCRemoteUserClaim preferred_username
        OIDCInfoHook access_token id_token userinfo session


        <Location /demo2 >

                SSLVerifyClient require
                SSLVerifyDepth 2
                #RequestHeader set SSL_CLIENT_CERT_CHAIN_0 "%{{CERT_CHAIN}}s"
                RequestHeader set SSL_CLIENT_CERT "%{SSL_CLIENT_CERT}s"
                #Require ssl


                AuthType openid-connect
                Require valid-user
                Loglevel debug
        </Location>

</VirtualHost>

Для контейнера keycloak я не уверен если контейнер учитывает мой файл standalone.xml, если я монтирую его вместо значения по умолчанию, поэтому я выполнил следующие команды jboss:

   /subsystem=keycloak-server/spi=x509cert-lookup:write-attribute(name=default-provider, value="apache")
   /subsystem=keycloak-server/spi=x509cert-lookup/provider=apache:write-attribute(name=properties.sslClientCert,value="SSL_CLIENT_CERT")
   /subsystem=keycloak-server/spi=x509cert-lookup/provider=apache:write-attribute(name=properties.sslCertChainPrefix,value="CERT_CHAIN")
   /subsystem=keycloak-server/spi=x509cert-lookup/provider=apache:write-attribute(name=properties.certificateChainLength,value="10")
   :reload

Мой keycloak настроен следующим образом: Перенаправления клиентов:

перенаправления клиентов

И поток аутентификации:

Выполнение

Аутентификатор выполнения конфигурации

Но когда я посещаю веб-сайт, я получаю эту ошибку как пользователь «Команда XYZ» с сертификатом CN » Команда XYZ »: {"error_description": "Сертификат клиента X509 отсутствует.", "Error": "invalid_request"}

Журналы Keycloak:

21:10:24,178 WARN  [org.keycloak.services.x509.AbstractClientCertificateFromHttpHeadersLookup] (default task-49) HTTP header "SSL_CLIENT_CERT" is empty

20:09:48,062 WARN  [org.keycloak.events] (default task-9) type=LOGIN_ERROR, realmId=5c005f6f-a912-4788-bf53-345551eb0e01, clientId=demo2, userId=null, ipAddress=Dummy, error=user_not_found, auth_method=openid-connect, auth_type=code, response_type=code, redirect_uri=https://mywebsite:9998/demo2/redirect, code_id=d2b3aecf-0a53-4d3a-85fd-3433aee61d61, response_mode=query, authSessionParentId=d2b3aecf-0a53-4d3a-85fd-3433aee61d61, authSessionTabId=FqOsf6BrEBk

Кто-нибудь, пожалуйста, помогите мне, я застрял в этом уже несколько дней .