使用python-keycloak连接Azure部署的Keycloak遇TLS证书错误求助

问题分析 #

你遇到的keycloak.exceptions.KeycloakConnectionError: Can't connect to server (Could not find a suitable TLS CA certificate bundle, invalid path: True)错误，核心原因是Python-keycloak底层的请求库无法找到有效的TLS CA证书来验证Azure部署的Keycloak服务器证书。前端客户端正常是因为浏览器自带了完整的受信任CA证书库，或者前端配置了不同的证书验证策略。

解决方案 #

1. 修正verify参数的错误配置 #

错误信息里的invalid path: True表明你给verify参数传了布尔值True，但当verify设为非布尔值时，它需要是CA证书文件的路径字符串。你需要根据实际情况调整：

• 如果Azure的Keycloak使用的是公共信任的CA证书（比如Let's Encrypt）：设置verify=True，同时确保Python环境能访问系统默认的CA证书库。Linux系统可安装ca-certificates包确保证书库完整；Windows/macOS一般无需额外操作，但虚拟环境需确认继承系统证书配置。
• 如果使用自定义CA证书：将证书文件（如ca.crt）放到项目目录，设置verify="/absolute/path/to/ca.crt"或相对路径（确保脚本能正确找到）。
• 临时测试（生产环境禁止）：设置verify=False绕过证书验证，但会带来安全风险。

2. 修正server_url的格式错误 #

你的代码中server_url=['SERVER_URL']使用了列表格式，这是错误的，应该传入字符串类型的Keycloak服务器URL，比如"https://your-keycloak-azure-domain/auth/"。

修正后的代码示例 #

from keycloak import KeycloakAdmin
from keycloak import KeycloakOpenIDConnection
from config import cfg

cdb = cfg['test']

keycloak_connection = KeycloakOpenIDConnection(
                        server_url=cdb['SERVER_URL'],  # 改为字符串格式
                        username=cdb['USERNAME'],
                        password=cdb['PASSWORD'],
                        realm_name=cdb['REALM_NAME'],
                        client_id=cdb['CLIENT_ID'],
                        client_secret_key=cdb['CLIENT_SECRET_KEY'],
                        verify="/path/to/your/ca.crt"  # 根据实际情况替换为True/False或证书路径
)

keycloak_admin = KeycloakAdmin(connection=keycloak_connection)

内容的提问来源于stack exchange，提问作者Pai-Ting Lee