Spring Boot Pod无法连接Keycloak：连接被拒绝（求更优解）

在minikube Kubernetes集群中部署了通过SecurityFilterChain对接同集群Keycloak服务器的Spring Boot应用。mps.internal指向127.0.0.1，外部可通过该域名访问应用与Keycloak，但Spring Boot Pod在验证JWT令牌时出现“Connection refused”错误，错误日志显示无法连接mps.internal/127.0.0.1:80。已通过在Spring Boot应用Deployment中添加hostAlias指向Keycloak Service的IP临时解决问题，但该方案不够优雅，寻求更优解决方案。

1. 直接使用Kubernetes内部服务域名 #

Kubernetes集群内置DNS服务，Pod可以通过Service的FQDN（完全限定域名）直接访问同集群服务，这是最标准的集群内服务发现方式：

• 假设Keycloak的Service名为keycloak，所在命名空间是default，则内部访问地址为http://keycloak.default.svc.cluster.local:<service-port>（替换为实际Service端口，比如Keycloak常用的8080）。
• 修改Spring Boot应用的Keycloak配置（如spring.security.oauth2.resourceserver.jwt.jwk-set-uri）为上述内部地址，Pod会自动通过DNS解析到Keycloak Service的ClusterIP，无需手动维护IP映射。

2. 隔离内外网配置 #

通过Spring Profiles区分内外网环境的配置：

• 创建application-internal.yml，在其中配置内部Keycloak地址为Service的FQDN；
• 在Spring Boot应用的Deployment中添加环境变量：

  env:
    - name: SPRING_PROFILES_ACTIVE
      value: "internal"
  

• 外部客户端仍使用mps.internal访问应用，而Pod内部验证JWT时自动使用内部配置的服务地址。

3. 配置Split Horizon DNS #

如果需要保留mps.internal域名供内部使用，可配置集群内部DNS将该域名解析为Keycloak Service的ClusterIP：

• 对于minikube，编辑CoreDNS的ConfigMap（kubectl edit configmap coredns -n kube-system），添加自定义域名映射规则：

  mps.internal:53 {
      hosts {
          <keycloak-service-cluster-ip> mps.internal
          fallthrough
      }
  }
  

• 这样集群内Pod访问mps.internal时会解析到Keycloak的ClusterIP，外部访问仍解析为127.0.0.1，实现域名的内外网差异化解析。

4. 利用服务网格路由（如Istio） #

如果集群部署了Istio服务网格，可通过Service Entry资源将mps.internal域名映射到Keycloak Service：

apiVersion: networking.istio.io/v1alpha3
kind: ServiceEntry
metadata:
  name: keycloak-internal
spec:
  hosts:
  - mps.internal
  ports:
  - number: 80
    name: http
    protocol: HTTP
  resolution: DNS
  addresses:
  - <keycloak-service-cluster-ip>/32
  location: MESH_INTERNAL

• Istio代理会自动拦截mps.internal的内部请求，路由到Keycloak Service，无需修改应用配置。

内容的提问来源于stack exchange，提问作者stylepatrick