Docker部署Keycloak无法连接远程SQL Server问题求助

错误原因 #

报错核心是SQL Server使用的SSL证书为1024位RSA密钥，而Java 8及后续版本默认禁用密钥长度小于2048位的RSA算法，触发了证书算法约束检查失败。

解决方案 #

方案一：更换SQL Server SSL证书为2048位及以上（生产环境推荐） #

1. 生成合规证书：创建2048位或更长的RSA自签证书，或使用CA颁发的标准SSL证书。
2. 配置SQL Server：按照SQL Server官方文档替换现有SSL证书，确保服务端使用新证书提供加密连接。
3. 信任自签证书（若使用自签）：将新证书导入Keycloak容器的Java信任库，命令示例：

   # 复制本地证书到容器内
   docker cp /path/to/your/sqlserver-cert.crt keycloak:/opt/jboss/jdk/lib/security/
   # 导入证书到Java信任库（默认密码为changeit）
   docker exec -it keycloak keytool -import -alias sqlserver-cert -keystore /opt/jboss/jdk/lib/security/cacerts -file /opt/jboss/jdk/lib/security/sqlserver-cert.crt
   

方案二：修改Keycloak容器的Java安全策略（临时测试方案） #

通过放宽Java的算法约束，允许1024位RSA密钥，仅适合临时调试：

1. 从容器复制默认配置文件：

   docker cp keycloak:/opt/jboss/jdk/lib/security/java.security ./java.security
   

2. 编辑文件，找到jdk.tls.disabledAlgorithms配置项，移除其中的RSA keySize < 2048内容。
3. 挂载修改后的文件启动容器：

   docker run --name keycloak \
     --net keycloak-network \
     -p 8080:8080 \
     -v $(pwd)/java.security:/opt/jboss/jdk/lib/security/java.security \
     -e DB_VENDOR=mssql \
     -e DB_USER=*** \
     -e DB_PASSWORD=*** \
     -e DB_ADDR=172.... \
     -e DB_DATABASE=Keycloak \
     -e KEYCLOAK_USER=user \
     -e KEYCLOAK_PASSWORD=password \
     jboss/keycloak
   

方案三：禁用SQL Server连接SSL（仅测试环境） #

直接强制Keycloak不使用SSL连接SQL Server，操作简单但无加密保护：

docker run --name keycloak \
  --net keycloak-network \
  -p 8080:8080 \
  -e DB_VENDOR=mssql \
  -e DB_USER=*** \
  -e DB_PASSWORD=*** \
  -e DB_ADDR=172.... \
  -e DB_DATABASE=Keycloak \
  -e DB_SSL=false \
  -e KEYCLOAK_USER=user \
  -e KEYCLOAK_PASSWORD=password \
  jboss/keycloak

内容的提问来源于stack exchange，提问作者Ricardo Rodrigues Ribeiro Dias