跨Keycloak服务器身份配置问题：JWT验证失败求助

针对您遇到的Signed JWT rejected: Another algorithm expected, or no matching key(s) found错误，以下是遗漏的关键配置步骤：

一、让Keycloak B获取Keycloak A的签名验证密钥 #

Keycloak B需要验证Keycloak A生成的JWT签名，必须能获取到A的公钥：

• 在Keycloak B的身份提供商配置页面，找到JWKS URL字段，填入Keycloak A的公钥集端点，对应你的场景就是http://localhost:8083/auth/realms/master/protocol/openid-connect/certs。
• 如果无法通过JWKS URL自动获取，也可以手动复制Keycloak A领域的公钥（在Keycloak A的领域设置→密钥→公钥），粘贴到Keycloak B身份提供商的公钥字段中。

二、统一签名算法配置 #

确保Keycloak A的JWT签名算法与Keycloak B身份提供商的预期一致：

• 登录Keycloak A，找到之前创建的客户端，进入高级标签页，查看并记录签名算法（通常是RS256）。
• 回到Keycloak B的身份提供商配置页面，将使用JWT签名算法设置为与Keycloak A完全一致的值；若为测试环境，可临时开启允许任何算法（生产环境不推荐）。

三、配置Keycloak B的目标客户端接受身份提供商认证 #

让被管控的Spring Boot应用对应的Keycloak B客户端信任来自Keycloak A的身份：

• 在Keycloak B中找到该应用对应的客户端，进入登录标签页，在身份提供商强制下拉框中选择你创建的Keycloak A身份提供商；或者在允许的身份提供商中添加该提供商ID。
• 确认该客户端的访问类型配置正确（如果应用是后端服务，通常设为bearer-only）。

四、验证JWT受众（aud）声明匹配 #

Keycloak B的客户端会校验JWT的受众声明：

• 检查Keycloak A生成的JWT中aud字段是否包含Keycloak B目标客户端的client_id；如果没有，可在Keycloak A的客户端配置中，添加Keycloak B的客户端ID到有效受众列表中。

五、同步两台Keycloak服务器时钟 #

JWT的有效期校验依赖服务器时间，若两台服务器时钟偏差过大，也可能引发签名相关的验证错误：

• 确保Keycloak A和Keycloak B的系统时钟同步，偏差控制在几分钟内。

内容的提问来源于stack exchange，提问作者Max Ferreira