GKE中Wildfly运行Keycloak无密码连接PostgreSQL配置问题

问题核心原因 #

你遇到的问题根源是：PostgreSQL的JDBC驱动以及Wildfly数据源默认逻辑中，完全不配置密码不等于不传递密码参数，而是会主动传递空字符串作为密码。Cloud SQL的IAM认证要求登录时不携带密码参数，而非携带空密码，这也是你用psql -U <sa>@<project>.iam可以登录，加-p输入空密码就失败的原因。

需要补充的配置 #

• 你需要在修改后的change-database.cli中，显式将密码属性赋值为null，而非直接删除这行配置，使用JBoss表达式语法即可实现无对应环境变量时自动赋值为null：

/subsystem=datasources/data-source=KeycloakDS: write-attribute(name=password, value=${env.DB_PASSWORD::null})

这行配置的作用是：如果存在DB_PASSWORD环境变量就使用该变量值，否则直接将密码属性设为null，Wildfly数据源识别到密码为null时就不会向服务端传递密码参数，符合Cloud SQL IAM认证的要求。

• 额外需要确认的校验项：
  1. 你使用的PostgreSQL JDBC驱动版本支持无密码登录逻辑，建议使用42.3.1及以上稳定版本
  2. 对应GSA已被授予Cloud SQL实例的Cloud SQL ClientIAM权限，同时已在PostgreSQL实例中完成了服务账号用户的创建与数据库读写权限绑定
  3. Keycloak容器的环境变量中没有被意外注入DB_PASSWORD变量
• 完成上述配置后重启Keycloak Pod即可正常连接数据库。

内容的提问来源于stack exchange，提问作者uthomas