SpringBoot集成Keycloak Adapter部署至Kubernetes集群后无法通过Service域名访问Keycloak服务的问题求助

我之前在部署Spring Boot + Keycloak Adapter到K8s集群时也遇到过几乎一模一样的问题——Feign能正常调用其他服务，但Keycloak Adapter就是连不上内部的Keycloak Service。下面是我排查和解决的几个关键点，你可以逐一验证：

1. 检查Keycloak Adapter的URL配置格式 #

Keycloak Adapter对auth-server-url的格式有严格要求，必须确保路径和协议都正确：

• 如果你的Keycloak在集群内用HTTP协议（非HTTPS），配置必须明确写http://，比如：

  keycloak.auth-server-url=http://keycloak.kc-namespace:8080/auth
  

• 注意末尾的/auth：这是Keycloak传统版本的默认上下文路径；如果是Keycloak 17+的Quarkus版本，默认移除了/auth，配置要改成http://keycloak.kc-namespace:8080

2. 关闭强制SSL验证（集群内部HTTP场景） #

如果集群内Keycloak用的是HTTP服务，Adapter默认开启的SSL验证会导致连接失败，需要添加配置关闭强制SSL：

keycloak.ssl-required=none

这个参数告诉Adapter不需要强制使用SSL，适合集群内部的HTTP通信场景。

3. 验证Kubernetes网络连通性 #

虽然Feign能正常工作，但还是要确认应用Pod到Keycloak Service的网络是通的：

• 进入应用Pod执行telnet测试：telnet keycloak.kc-namespace 8080
• 用curl访问Keycloak的OpenID配置端点：curl http://keycloak.kc-namespace:8080/auth/realms/your-realm/.well-known/openid-configuration
  如果命令失败，大概率是K8s网络问题：
  • 检查Keycloak Service的targetPort是否和容器暴露的端口一致
  • 查看Namespace下的NetworkPolicy，是否阻止了应用Pod访问Keycloak Service

4. 确认Keycloak服务状态 #

有时候Service存在，但Keycloak Pod可能未正常启动或初始化完成：

• 查看Keycloak Pod日志：kubectl logs -n kc-namespace keycloak-pod-name
• 确认OpenID配置端点能正常返回JSON内容（用上面的curl命令）

5. 检查Adapter的HTTP客户端配置 #

Keycloak Adapter使用独立的HTTP客户端，可能和Feign的配置逻辑不同：

• 确保没有给Adapter的客户端设置代理
• 手动解析Keycloak Service的IP确认DNS正常：nslookup keycloak.kc-namespace

我当时的问题就是集群内配置没加http://前缀，也没设置ssl-required=none，导致Adapter一直尝试用HTTPS连接内部HTTP服务，从而失败。按照上面的步骤排查，应该能找到你的问题所在。

内容的提问来源于stack exchange，提问作者naouf3l