使用Let's Encrypt证书在Docker中启动Keycloak失败求助

1. 修正路径拼写错误（核心问题） #

你的Docker命令中证书路径存在拼写错误：将/etc误写为/ect，这直接导致容器无法找到证书文件。修正后的完整命令如下：

docker run -p 80:8080 -p 443:8443 \
  -v /etc/letsencrypt:/etc/letsencrypt:ro \
  -e KEYCLOAK_ADMIN=admin \
  -e KEYCLOAK_ADMIN_PASSWORD=change_me \
  quay.io/keycloak/keycloak:latest \
  start-dev \
  --https-certificate-file=/etc/letsencrypt/live/$HOSTNAME/cert.pem \
  --https-certificate-key-file=/etc/letsencrypt/live/$HOSTNAME/privkey.pem \
  --hostname=$HOSTNAME

2. 解决证书文件权限问题 #

容器内的Keycloak进程可能没有读取挂载证书的权限，可通过以下方式处理：

• 调整宿主机证书权限：由于/etc/letsencrypt/live目录下的文件是软链接到/etc/letsencrypt/archive的，需确保两者都具备其他用户可读权限：

  chmod -R o+r /etc/letsencrypt/live/
  chmod -R o+r /etc/letsencrypt/archive/
  

• 临时以root用户运行容器（仅适用于开发环境）：在docker run命令中添加--user root参数，让容器以root权限读取证书文件。

3. 确保环境变量正确传递 #

容器默认无法获取宿主机的$HOSTNAME变量，可通过两种方式解决：

• 直接将命令中的$HOSTNAME替换为实际域名（如keycloak.fhir-poc.hcs.us.com）
• 在docker run命令中添加-e HOSTNAME=$HOSTNAME，将宿主机的环境变量传递到容器内

4. 验证挂载路径与文件可用性 #

若问题仍存在，可先启动临时容器验证证书文件是否可访问：

docker run -it --rm -v /etc/letsencrypt:/etc/letsencrypt:ro quay.io/keycloak/keycloak:latest bash

进入容器后执行以下命令确认文件存在且可读：

ls -l /etc/letsencrypt/live/$HOSTNAME/
cat /etc/letsencrypt/live/$HOSTNAME/cert.pem

内容的提问来源于stack exchange，提问作者Christopher Smith