ConfigMap uralkali-ca с PEM BER-CA1 монтируется в /opt/uralkali-ca, KC_TRUSTSTORE_PATHS=/opt/uralkali-ca/ber-ca1.crt добавляет его в Truststore SPI Keycloak 25 поверх системных корней, без пересборки образа.