安志合的学习博客
·
k8s部署keycloak高可用集群及使用
💡
原文中文，约5900字，阅读约需14分钟。
📝
内容提要
Keycloak是一个开源的身份和访问管理解决方案，提供单点登录、身份验证和授权服务。它支持多种身份验证方式和访问控制方法，易于集成到各种应用程序和平台。
🎯
关键要点
- Keycloak 是一个开源的身份和访问管理解决方案，由红帽开发。
- 提供单点登录、身份验证和授权服务，简化现代应用程序的访问控制。
- 支持多种身份验证方式，包括用户名/密码、社交登录、SAML、OAuth、OpenID Connect。
- 允许精细控制用户对应用程序和资源的访问权限，支持基于角色的访问控制和基于策略的访问控制。
- 提供强大的身份管理工具，易于集成到各种应用程序和平台。
- Keycloak 可以水平扩展，以满足不断增长的用户和应用程序需求。
- 适用于需要集中管理用户身份和权限的企业，提供单点登录功能的应用程序。
- Keycloak k8s 高可用部署需要注意节点间数据共享和与反向代理的通信方式。
- 使用 Infinispan 进行分布式缓存，默认端口为 7800。
- KC_PROXY 设置控制 Keycloak 与反向代理之间的通信方式，支持 edge 和 passthrough 模式。
- edge 模式适合内部网络安全性高的环境，反向代理处理 HTTPS，Keycloak 使用 HTTP。
- passthrough 模式适合内部网络安全性较低的场景，Keycloak 直接处理 HTTPS 请求。
- 部署 Keycloak 集群需要配置 Infinispan 和 KC_PROXY，使用 edge 模式时内网 Keycloak 不需处理 TLS。
- 提供的 k8s 配置示例包括 Service 和 StatefulSet 的 YAML 文件。
- 通过 kubectl 创建数据库访问账号密码至 Secret 中，并执行集群部署命令。
- 集群正常运行后，配置负载均衡器以解析访问域名。
❓
延伸问答
Keycloak是什么？
Keycloak是一个开源的身份和访问管理解决方案，提供单点登录、身份验证和授权服务。
Keycloak支持哪些身份验证方式？
Keycloak支持用户名/密码、社交登录、SAML、OAuth和OpenID Connect等多种身份验证方式。
如何在Kubernetes中部署Keycloak高可用集群？
在Kubernetes中部署Keycloak高可用集群需要配置Infinispan和KC_PROXY，并使用edge模式。
Keycloak的KC_PROXY设置有什么作用？
KC_PROXY设置控制Keycloak与反向代理之间的通信方式，支持edge和passthrough模式。
Keycloak的edge模式和passthrough模式有什么区别？
edge模式由反向代理处理HTTPS，Keycloak使用HTTP；passthrough模式则由Keycloak直接处理HTTPS请求。
如何创建Keycloak的数据库访问账号密码？
使用命令kubectl create secret -n keycloak generic keycloak-db-secret --from-literal=username=keycloak --from-literal=password=yourpassword创建数据库访问账号密码。
➡️
