GKE环境下Spring Boot API因Keycloak PKIX路径问题导致JWT验证失败

一、端到端TLS配置方案（解决API信任Keycloak证书问题） #

方案1：复用公网可信证书规避内部信任问题 #

如果Gateway支持证书透传，或允许Keycloak直接使用F5的公网证书（*.example.com），可以彻底绕开内部证书的信任问题：

• 替换Keycloak挂载的证书Secret，改为包含*.example.com证书及私钥的集群内可用Secret。
• 调整Gateway的HTTPRoute配置，让流向Keycloak的流量使用公网证书终止TLS，这样API从https://idp.example.com获取OIDC配置时，拿到的是公开可信的证书，JVM默认信任存储可直接识别。

方案2：注入内部CA证书到API Pod信任存储 #

若必须使用内部LB证书，需将内部CA根证书添加到API的JVM信任存储：

1. 将内部CA证书通过Docker镜像打包，或用Kubernetes ConfigMap挂载到Pod的/etc/ssl/certs目录（或JVM指定的信任存储路径）。
2. 通过启动参数或配置文件指定自定义信任存储：
   启动参数示例：

   java -Djavax.net.ssl.trustStore=/path/to/internal-ca-truststore.jks -Djavax.net.ssl.trustStorePassword=your-password -jar simeox-api.jar
   

   Spring Boot配置文件示例（application.yml）：

   spring:
     security:
       oauth2:
         resourceserver:
           jwt:
             issuer-uri: https://idp.example.com/realms/my-realm
             decoder:
               ssl:
                 trust-store: classpath:internal-ca-truststore.jks
                 trust-store-password: ${TRUST_STORE_PASSWORD}
   

二、Keycloak证书配置疑问解答 #

1. TLS在LB终止后，Keycloak为何仍需私有证书？ #

当前流量路径中，内部LB到Keycloak Pod的通信仍使用HTTPS（从HTTPRoute配置可看到，流量转发到Keycloak的8443端口）。Keycloak的HTTPS监听器必须配置证书才能解密加密请求，因此即使LB做了公网SSL卸载，内部链路的HTTPS通信仍要求Keycloak提供证书。

2. Keycloak的HTTPS监听器该用自签名还是与LB一致的证书链？ #

• 若内部LB到Keycloak的通信仅在集群内流转，用自签名或内部CA证书即可，只要确保API Pod（或内部LB）信任该证书。
• 若想简化证书管理，也可以复用*.example.com的公网证书，让内部链路与公网使用同一证书链。

三、附加问询解答 #

部署Keycloak时，LB负责SSL卸载仍需带私钥的证书，核心取决于LB到Keycloak Pod的通信协议：

• 如果LB到Pod之间转发明文HTTP流量（即完全卸载SSL，流量到Keycloak的HTTP端口），Keycloak无需配置HTTPS证书，只需开启HTTP监听器即可。
• 如果LB到Pod之间保持HTTPS通信（当前场景就是如此），Keycloak必须配置带私钥的证书来解密请求，因为这段内部链路是加密状态。

Keycloak本身不强制要求内部通信用HTTPS，但出于集群内部安全考虑，多数生产环境会保留Pod侧的HTTPS配置，因此需要Keycloak提供证书。

内容的提问来源于stack exchange，提问作者Slim Aloui