Keycloak跨Realm使用内部Identity Provider时证书错误求助

环境与配置 #

基于Keycloak 18.0.0版本，配置两个realm实现用户隔离：

• external realm：配置了指向internal realm的Keycloak OpenID Connect身份提供商，该realm内的client支持应用通过client adapter验证用户。
• 核心配置详情（未提及项为默认/关闭/空白）：
  • external realm身份提供商：启用状态，开启存储令牌、信任邮箱，首次登录流为first broker login，同步模式为force；OIDC参数中Auth URL、Token URL等指向internal realm对应client，客户端认证方式为Client secret sent as basic auth，配置匹配的Client Secret、Issuer URL，默认作用域openid，开启签名验证、JWKS URL、PKCE（方法S256）。
  • internal realm的client：启用状态，协议为openid-connect，访问类型confidential，开启标准流，有效重定向URI为https://<hostname>/auth/realms/<externalRealmName>/broker/<internalRealmName>/endpoint，开启后台登出会话要求，凭证为Client Id and Secret，已同步至external realm身份提供商配置。

问题现象 #

external realm本地用户及其他外部OIDC身份提供商用户可正常登录，但通过指向internal realm的身份提供商登录时，页面提示Unexpected error when authenticating with identity provider，Keycloak日志报错：

WARN  [org.keycloak.events] (default task-405) type=IDENTITY_PROVIDER_LOGIN_ERROR, realmId=<externalRealmName>, clientId=<externalRealmClientName>, userId=null, ipAddress=<removed>, error=identity_provider_login_failure, code_id=258c44bd-88fc-44a1-b93c-18225b00df49

ERROR [org.keycloak.broker.oidc.AbstractOAuth2IdentityProvider] (default task-405) Failed to make identity provider oauth callback: javax.net.ssl.SSLHandshakeException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

排查步骤 #

1. 检查internal realm的SSL证书信任链

   • 确认internal realm的HTTPS证书类型：如果是自签名或私有CA签发，external realm所在Keycloak实例的JVM信任库（默认路径为$JAVA_HOME/jre/lib/security/cacerts，Keycloak 18可能使用自带JRE，路径为<keycloak-install-dir>/jre/lib/security/cacerts）必须包含该CA根证书或证书本身。
   • 用keytool查看信任库内容，对比是否存在目标证书：

     keytool -list -keystore /path/to/keycloak/truststore -v
     

   • 若缺失，导入证书到信任库：

     keytool -importcert -file /path/to/internal-realm-cert.crt -keystore /path/to/keycloak/truststore -alias internal-realm-cert
     

2. 验证身份提供商URL配置准确性

   • 检查external realm身份提供商配置的Auth URL、Token URL、Issuer URL是否使用正确的HTTPS域名，避免拼写错误或使用与证书绑定域名不符的IP地址。
   • 确认URL端口是否正确，若internal realm使用非标准HTTPS端口，需在URL中明确指定。

3. 检查证书域名匹配性

   • 查看internal realm证书的Subject Alternative Name（SAN）字段是否包含配置中使用的域名，避免因域名不匹配导致验证失败。
   • 用openssl查看证书详情：

     openssl s_client -connect <internal-realm-host>:<port> | openssl x509 -noout -text
     

4. 对比其他外部身份提供商的证书差异

   • 其他外部OIDC提供商可正常工作，说明external realm的Keycloak实例信任这些提供商的证书。对比证书类型：若其他提供商为公共CA签发，而internal realm为私有CA/自签名，则问题大概率是私有CA证书未导入信任库。

5. 临时测试验证（生产环境禁用）

   • 在external realm的身份提供商配置中关闭签名验证，若此时可正常登录，即可确认是证书信任链问题。

内容的提问来源于stack exchange，提问作者Oak