迁移Keycloak至新服务器后登录用户属性获取异常问题

结论 #

不需要更新Keycloak内的密钥，当前报错的核心是Web应用与新Keycloak服务器之间的SSL连接失败，而非Keycloak的签名密钥问题。

错误分析 #

报错链清晰指向SSL连接层面的问题：
IDX20803: 无法获取配置 → 无法从指定地址获取文档 → SSL连接无法建立 → 传输流收到意外EOF

这说明Web应用在尝试访问Keycloak的OpenID配置端点（如.well-known/openid-configuration）或JWKS密钥集端点时，SSL握手失败，导致无法获取验证用户身份所需的配置数据。迁移时如果完整复制了Realm数据，密钥会和旧服务器一致，且旧服务器能正常工作也证明密钥配置本身没问题。

排查步骤 #

• 验证端点访问性：在Web应用服务器上执行命令，直接访问Keycloak的OpenID配置端点：

  curl -v https://your-keycloak-domain/realms/your-realm/.well-known/openid-configuration
  

  （注意：Keycloak旧版本路径为/auth/realms/...）
  观察输出是否有SSL证书验证错误、连接超时或EOF提示。

• 检查Keycloak的SSL证书链：用openssl工具检查新服务器的证书是否完整（包含中间证书）：

  openssl s_client -connect your-keycloak-domain:443
  

  查看输出中是否有verify return:1的结果，如果是verify return:20（无法获取本地颁发者证书），说明缺少中间证书，需要补充配置。

• 确认Web应用服务器的信任存储：如果新Keycloak使用自签名证书或非公共CA颁发的证书，需将证书添加到Web应用服务器的系统信任存储（如Linux的/etc/ssl/certs目录），或.NET应用的信任配置中。

• 检查防火墙/安全组规则：确认新Keycloak服务器的443端口对Web应用服务器的IP开放，防火墙拦截连接会导致传输流意外中断，出现EOF错误。

• 清理DNS缓存或重启Web应用：Web应用服务器可能缓存了旧Keycloak的IP地址，导致请求仍发往旧服务器，可清理DNS缓存（如Linux执行systemctl restart systemd-resolved）或重启Web应用服务。

内容的提问来源于stack exchange，提问作者Norman Hacker