502 плохой шлюз, размер заголовка

Question

Поскольку наша организация использует единый вход для персонала, мы получаем 502 плохих шлюза, когда пользователи пытаются войти с помощью shibboleth.

Пользователи, которые имеют доступ к нескольким группам и пытаются войти в систему, получают 502, но пользователи, которые имеют меньший доступ, могут войти в систему.

Максимальный размер заголовка со всемидоступ - 32768.

Мы пробовали --max-http-header-size 42768 в докере, но это не помогло.Пользователи с обычным доступом (меньший размер заголовка) могут войти в систему.

Наша настройка: VM1 использует nginx в качестве обратного прокси-сервера.Конфигурация ниже.У хоста VM2 более одного докера.

server {
listen 80;
server_name **********;

proxy_buffering off;
proxy_set_header X-Real-IP  $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header Host $host;

client_body_timeout 60s;
client_header_timeout 60s;
keepalive_timeout 70s;
send_timeout 60s;

client_body_buffer_size 32k;
client_header_buffer_size 32k;
client_max_body_size 0;
large_client_header_buffers 4 32k;

access_log off;
error_log /data/nginx/logs/****_error.log warn;

location / {
    proxy_pass http://******:8098;
}

}

Error log:
2019/09/25 10:25:38 [error] 20070#0: *123 upstream prematurely closed 
connection while reading response header from upstream, client: ****, 
server: ******, request: "GET /auth/shibboleth?redirect=L2FjY291bnQ= 
HTTP/1.1", upstream: "http://******:8098/auth/shibboleth?redirect=L2FjY291bnQ=", 
 host: "*****", referrer: 
"https://******/profile/SAML2/Redirect/SSO?execution=e1s2"
2019/09/25 10:25:50 [error] 20070#0: *125 upstream prematurely closed 
connection while reading response header from upstream, client: ****, 
server: *****, request: "GET / HTTP/1.1", upstream: "http://****:8098/", 
 host: "*****"

  Docker setup

  FROM node:8-alpine as intermediate

  RUN apk add --no-cache git openssh alpine-sdk python2
  RUN python2 -m ensurepip && \
    rm -r /usr/lib/python*/ensurepip && \
    pip install --upgrade pip setuptools && \
    if [[ ! -e /usr/bin/python ]]; then ln -sf /usr/bin/python2 
  /usr/bin/python; fi

  WORKDIR /usr/src/app

  RUN touch config.js && mkdir config
  COPY package*.json ./
  RUN http_proxy="http://****:3128" https_proxy="http://****:3128" npm install

  COPY . .
  RUN rm -rf .private


 FROM node:8-alpine

 WORKDIR /usr/src/app
 COPY --from=intermediate /usr/src/app /usr/src/app

 EXPOSE 8080
 CMD [ "node", "app.js", "-p 8080" ]