Azure App Service中Keycloak容器启动失败：预热请求无响应

问题核心原因 #

Azure App Service的容器预热与健康检查机制默认发送HTTP请求到指定端口，但你当前配置的Keycloak在8443端口运行的是HTTPS服务，导致预热请求无法完成SSL握手，最终超时失败。

解决方案 #

方案一：启用Keycloak HTTP端口（推荐，最简单） #

让Keycloak同时监听HTTP 8080端口，让Azure用这个端口做健康检查，外部访问仍通过Azure的HTTPS转发：

1. 在App Service的环境变量中添加KC_HTTP_ENABLED=true，开启Keycloak的HTTP服务（默认监听8080）
2. 修改App Service配置里的WEBSITES_PORT=8080，指定Azure用8080端口做预热和健康检查
3. 修正KC_HOSTNAME的值，去掉https://前缀，直接填写你的Azure域名（如xxxxxxxxx.azurewebsites.net）
4. 重启App Service，此时Azure的HTTP预热请求会被Keycloak正常响应，服务即可启动

方案二：配置Keycloak适配Azure HTTPS检查（适合需容器内HTTPS的场景） #

如果必须在容器内使用HTTPS，需要让Keycloak使用Azure认可的证书：

1. 将App Service绑定的SSL证书挂载到容器内部（通过App Service的证书管理功能配置挂载路径）
2. 添加以下Keycloak环境变量，指定证书路径：

   KC_HTTPS_CERTIFICATE_FILE=/path/to/mounted/certificate.pem
   KC_HTTPS_CERTIFICATE_KEY_FILE=/path/to/mounted/private-key.pem
   

3. 确保WEBSITES_PORT=8443保持不变，重启App Service后，Azure的HTTPS预热请求能完成正常握手

额外注意事项 #

• 确认所有数据库相关环境变量（KC_DB、KC_DB_URL、KC_DB_USERNAME等）配置正确，即使Keycloak启动日志显示成功，数据库连接异常也会导致服务无法响应请求
• 保留WEBSITES_CONTAINER_START_TIME_LIMIT=1800的配置，给Keycloak足够的启动时间
• 开启App Service的Always on设置，避免服务因闲置被回收

内容的提问来源于stack exchange，提问作者Jun