Keycloak容器无法连接Azure托管PostgreSQL数据库求助

核心问题原因 #

Keycloak 17+版本启用了新的配置参数体系，旧的DB_VENDOR等环境变量在Docker镜像的start-dev模式下不再被优先识别，加上Azure PostgreSQL强制要求SSL连接，导致容器默认回退到内置H2数据库。

具体解决步骤 #

1. 更新环境变量配置

修改endpoint.txt文件为Keycloak 17+兼容的参数，并添加Azure PostgreSQL必需的SSL配置：

KC_DB=postgres
KC_DB_URL=jdbc:postgresql://Azure_postgres_url:5432/keycloak_database?sslmode=require
KC_DB_USERNAME=user
KC_DB_PASSWORD=password

重点：Azure PostgreSQL强制要求SSL连接，必须在JDBC URL中追加?sslmode=require，否则会被拒绝连接。

2. 重新启动Docker容器

使用更新后的环境变量文件启动容器：

docker run --env-file endpoint.txt -p 8080:8080 quay.io/keycloak/keycloak:19.0.2 start-dev

如果想快速测试，也可以直接在命令中指定环境变量：

docker run -p 8080:8080 \
  -e KC_DB=postgres \
  -e KC_DB_URL=jdbc:postgresql://Azure_postgres_url:5432/keycloak_database?sslmode=require \
  -e KC_DB_USERNAME=user \
  -e KC_DB_PASSWORD=password \
  quay.io/keycloak/keycloak:19.0.2 start-dev

3. 验证连接状态

启动后查看容器日志，确认数据库连接是否成功：

docker logs <你的容器ID>

如果日志中出现Establishing JDBC connection to jdbc:postgresql://Azure_postgres_url:5432/keycloak_database的日志，说明参数生效；若出现SSL或权限错误，需检查：

• Azure PostgreSQL防火墙是否允许Docker主机的公网IP访问
• 数据库用户是否拥有keycloak_database的读写权限
• JDBC URL中的sslmode=require是否正确添加

4. 确认已有数据加载

如果容器启动后仍要求重新创建管理员，说明Keycloak未识别到已有数据库表结构，需检查：

• KC_DB_URL中的数据库名称是否与独立版使用的一致
• 数据库用户是否能访问该数据库中的所有表

内容的提问来源于stack exchange，提问作者Pratik M