部署在AWS ECS上的Keycloak实例不同步问题排查

• Infinispan缓存配置未精准生效

  • Keycloak针对用户、领域等不同实体有独立缓存区域（如users、realms），若仅修改全局默认失效时间，未针对特定缓存调整，可能无法覆盖目标实体的缓存策略。
  • 需验证配置是否成功加载：可通过Keycloak管理控制台查看缓存参数，或检查容器启动日志中是否有Infinispan配置加载的相关日志。
  • 除失效时间（expiration.lifespan）外，还需确认**最大空闲时间（expiration.max-idle）**等参数是否合理，若空闲时间设置过长，缓存也不会及时失效。

• ECS容器间集群通信异常

  • Infinispan集群依赖容器间的网络互通，需检查ECS安全组是否开放Infinispan集群通信端口（默认TCP 7800，若用Hot Rod协议则是11222）。
  • 若采用awsvpc网络模式，需确保容器处于同一子网，且网络ACL未限制集群通信流量。
  • 验证Infinispan集群发现配置：若使用DNS_PING模式，需确认容器能正确解析集群成员的DNS地址；若为静态IP模式，需确保成员地址配置准确。

• Keycloak缓存模式配置错误

  • 多实例部署时，Keycloak需使用distributed（分布式）或replicated（复制）缓存模式，若仍为默认local模式，各实例缓存完全独立，仅能靠缓存过期同步，必然导致延迟。
  • 检查启动参数或配置文件，确认是否设置了正确的缓存模式，例如启动时添加-Dkeycloak.cache=distributed，或指定集群版的缓存配置文件。

• 数据库层同步延迟

  • 若使用AWS RDS读写分离架构，主库写入后从库同步存在延迟，而Keycloak若配置为读从库，会导致无法及时读取最新变更。
  • 检查数据库事务提交是否正常，是否存在锁等待或事务未及时提交的情况，导致其他实例无法读取最新数据。

• 管理员会话本地缓存未刷新

  • 管理员登录后，Keycloak会将用户权限、领域信息等缓存到会话本地，即使全局缓存失效，会话内的缓存也不会自动刷新。
  • 可测试新登录的管理员是否能立即看到变更：若能，则说明是会话本地缓存问题，需调整会话相关的缓存失效策略。

内容的提问来源于stack exchange，提问作者Remade