Keycloak集成PingFed作为IDP时OAuth回调SSL握手失败求助

问题现象 #

本地独立部署的Keycloak集成PingFed作为OIDC身份提供商，跳转PingFed完成用户认证前流程正常，但认证完成回调Keycloak时，系统提示**"使用身份提供商认证时出现意外错误"**，日志核心报错如下：

024-09-10 10:26:51,402 ERROR [org.keycloak.broker.oidc.AbstractOAuth2IdentityProvider] (default task-12) Failed to make identity provider oauth callback: javax.net.ssl.SSLHandshakeException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
    at java.base/sun.security.ssl.Alert.createSSLException(Alert.java:130)
    at java.base/sun.security.ssl.TransportContext.fatal(TransportContext.java:378)
    at java.base/sun.security.ssl.TransportContext.fatal(TransportContext.java:321)
    at java.base/sun.security.ssl.TransportContext.fatal(TransportContext.java:316)
    at java.base/sun.security.ssl.CertificateMessage$T13CertificateConsumer.checkServerCerts(CertificateMessage.java:1326)
    at java.base/sun.security.ssl.CertificateMessage$T13CertificateConsumer.onConsumeCertificate(CertificateMessage.java:1203)
    at java.base/sun.security.ssl.CertificateMessage$T13CertificateConsumer.consume(CertificateMessage.java:1146)

此前集成Azure AD、OKTA及Google作为IDP均未出现该问题。

问题原因 #

PingFed使用的SSL证书未被Keycloak运行依赖的Java信任库（cacerts）认可。Azure AD、OKTA等公共IDP的证书由全球通用的根CA签发，已默认包含在Java默认信任库中；而PingFed大概率使用自签名证书或私有CA签发的证书，不在默认信任列表内，导致Keycloak验证PingFed回调请求时出现证书路径验证失败。

解决步骤 #

1. 获取PingFed的SSL证书 #

• 浏览器导出：访问PingFed的OIDC端点（如授权端点、令牌端点），点击地址栏锁图标，导出Base64编码的X.509格式证书，保存为pingfed.crt。
• 命令行导出：使用openssl从PingFed服务器抓取证书：

  openssl s_client -connect <pingfed主机名>:<端口> </dev/null | sed -n '/-----BEGIN CERTIFICATE-----/,/-----END CERTIFICATE-----/p' > pingfed.crt
  

2. 将证书导入Keycloak的Java信任库 #

找到Keycloak使用的JDK的cacerts文件路径，通常为$JAVA_HOME/jre/lib/security/cacerts（Java 8及以下）或$JAVA_HOME/lib/security/cacerts（Java 9+）。执行导入命令：

keytool -importcert -file pingfed.crt -alias pingfed -keystore <cacerts文件路径> -storepass changeit

• changeit是Java默认信任库的密码，若已修改需替换为实际密码。
• 导入时提示"是否信任此证书?"，输入y确认。

3. 重启Keycloak服务 #

证书导入完成后，必须重启Keycloak服务，使新的信任配置生效。

可选：测试环境临时跳过证书验证（生产禁用） #

若为测试场景，可临时通过JVM参数让Keycloak跳过SSL证书验证（生产环境绝对禁止，存在严重安全风险）：
在Keycloak启动脚本中添加如下参数：

-Djavax.net.ssl.trustStore=/path/to/custom/cacerts -Djavax.net.ssl.trustStorePassword=changeit
# 或完全禁用验证（风险极高）
-Dcom.sun.net.ssl.checkRevocation=false -Djavax.net.ssl.trustStoreType=JKS -Djavax.net.ssl.trustStore=/dev/null -Djavax.net.ssl.trustStorePassword=changeit

内容的提问来源于stack exchange，提问作者ManishBharathi