Keycloak连接启用TLS的MySQL数据库报错求助（Kubernetes环境）

这个错误是因为Keycloak的JVM信任库不认可MySQL的SSL证书链，要么是证书没导入，要么是证书链不完整，以下是具体解决步骤：

1. 先确认MySQL SSL证书链完整 #

• 把MySQL的服务器证书、中间CA证书（如果存在）、根CA证书合并成一个PEM文件，比如命名为mysql-full-chain.pem
• 用openssl验证证书链是否有效：

  openssl verify -CAfile root-ca.pem server-cert.pem
  

  返回OK说明链没问题，要是报错就得补全缺失的中间证书

2. 在Kubernetes里给Keycloak配置证书 #

方法一：导入证书到JVM信任库 #

• 创建ConfigMap存放证书：

  kubectl create configmap mysql-ssl-certs --from-file=mysql-full-chain.pem=/本地路径/mysql-full-chain.pem
  

• 修改Keycloak的Deployment，挂载这个ConfigMap到容器内的/opt/keycloak/certs/路径
• 在启动命令里先导入证书再启动Keycloak（JDK默认信任库密码是changeit），Deployment的command配置示例：

  command:
    - /bin/bash
    - -c
    - |
      keytool -importcert -file /opt/keycloak/certs/mysql-full-chain.pem -alias mysql-ca -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit -noprompt
      /opt/keycloak/bin/kc.sh start --db mysql --db-url jdbc:mysql://<MySQL地址>:3306/<数据库名>?useSSL=true&requireSSL=true&verifyServerCertificate=true --db-username <数据库用户名> --db-password <数据库密码>
  

方法二：直接在JDBC URL里指定证书路径（无需导入信任库） #

• 同样先挂载证书ConfigMap到容器内
• 修改JDBC URL，添加证书参数：

  jdbc:mysql://<MySQL地址>:3306/<数据库名>?useSSL=true&requireSSL=true&verifyServerCertificate=true&trustCertificateKeyStoreUrl=file:/opt/keycloak/certs/mysql-full-chain.pem&trustCertificateKeyStorePassword=
  

  注：如果只需要验证服务器证书，只填trustCertificateKeyStoreUrl即可，PEM格式证书密码留空

3. 验证配置是否生效 #

• 启动Pod后查看日志：kubectl logs <Keycloak Pod名称>，确认没有SSL相关报错
• 可以进入Pod测试连接：

  kubectl exec -it <Keycloak Pod名称> -- /bin/bash
  # 若Pod内有mysql客户端，直接测试
  mysql -h <MySQL地址> -u <数据库用户名> -p --ssl-mode=VERIFY_IDENTITY --ssl-ca=/opt/keycloak/certs/mysql-full-chain.pem
  

内容的提问来源于stack exchange，提问作者0001000