Azure容器组中Keycloak容器H2数据库持久化启动故障排查

以下是针对你的问题的具体修复方案及分析：

核心问题分析 #

Keycloak启动失败的主要原因通常是挂载的Azure文件共享目录权限不匹配，或者数据库路径配置与挂载目录冲突：

• Keycloak官方镜像默认以keycloak用户（UID 1000）运行，而Azure文件共享挂载后，目录的所有者/权限可能不允许该用户写入。
• 直接挂载到/opt/keycloak/data/h2会覆盖Keycloak默认的H2数据库初始化目录，导致初始化时无法创建必要文件或目录。

具体修复步骤 #

1. 调整挂载路径与权限配置 #

不要直接挂载到/opt/keycloak/data/h2，改为挂载到/opt/keycloak/data，并在启动命令前添加权限修复步骤，确保Keycloak用户拥有该目录的写入权限：

修改容器的commands和volume配置：

container {
  name  = "keycloak"
  image = "quay.io/keycloak/keycloak:latest"
  cpu   = "1"
  memory = "2.0"

  # 先修复目录权限，再启动Keycloak
  commands = [
    "/bin/sh",
    "-c",
    "chown -R 1000:1000 /opt/keycloak/data && /opt/keycloak/bin/kc.sh start --auto-build"
  ]

  environment_variables = {
    KEYCLOAK_ADMIN          = "admin"
    KEYCLOAK_ADMIN_PASSWORD = "admin"
    KC_DB                  = "h2"
    # 数据库路径指向挂载的共享目录下的h2子目录
    KC_DB_URL              = "jdbc:h2:file:/opt/keycloak/data/h2/keycloak_db;DB_CLOSE_DELAY=-1;MODE=MySQL"
    # 显式指定data目录，确保所有数据写入挂载的共享
    KC_DATA_DIR            = "/opt/keycloak/data"
  }

  # ... 端口配置保持不变 ...

  volume {
    name                 = "keycloak-data"
    # 修改挂载路径为整个data目录
    mount_path           = "/opt/keycloak/data"
    read_only            = false
    share_name           = azurerm_storage_share.keycloakshare.name
    storage_account_name = azurerm_storage_account.keycloakdata.name
    storage_account_key  = azurerm_storage_account.keycloakdata.primary_access_key
  }
}

2. 验证文件共享权限 #

确保Azure存储账户的访问策略允许容器组访问：

• 确认存储账户的allow_nested_items_to_be_public未启用（默认关闭，无需修改）。
• 检查存储账户密钥是否正确，Terraform中azurerm_storage_account.keycloakdata.primary_access_key会自动获取有效密钥，无需手动干预。

3. 排查启动日志 #

如果仍无法启动，通过Azure CLI查看容器日志定位具体错误：

az container logs --resource-group <你的资源组名> --name keycloak --container-name keycloak

常见错误包括：

• 权限拒绝：确认chown命令是否生效。
• 数据库文件无法创建：检查KC_DB_URL路径是否正确，挂载目录是否可写。

额外优化建议 #

• 避免使用latest镜像标签，指定具体版本（如quay.io/keycloak/keycloak:22.0.5），提升部署稳定性。
• 生产环境建议使用外部数据库（如Azure Database for PostgreSQL）替代H2，H2仅适用于测试场景。
• 后续添加Nginx反向代理时，确保容器组内的网络连通性，Keycloak容器暴露8080端口供Nginx访问。

内容的提问来源于stack exchange，提问作者RRM