keycloak 主从安装配置

部署情况

主机	ip	角色	备注
主	192.168.88.161	master
主		loadblance
从		slave

• 部署版本 keycloak-15.0.2.tar.gz
• 主从模式之间会互相同步数据,即使设置从节点对数据库为只读权限 基于服务器之间的UDP也会将数据同步
• 拓扑架构

数据库

在mysql创建keycloak数据库，创建时选择编码utf-8，注意不支持utfmb4，创建完应用启动会自动创建数据表。

运行环境要求

1. 2台以上的服务器。

2. 系统空间：512m内存，1g磁盘空间

3. 需要安装JRE 1.8以上版本，并配置环境变量。

4. 安装nginx作分发代理（部署完成之后，把IP端口配置分发,不用ng 写本机ip也能用）。

5. 最好没有防火墙，服务器与服务器之间的UDP端口55200，45688必须互通。

6. 集群内部数据共享需要开启IP多播，在root 权限下 master ,slave 机执行：

route add -net 224.0.0.0 netmask 240.0.0.0 dev eth0

注：如果服务器不支持IP多播（阿里云ECS***服务器不支持）或网络环境不允许使用UDP，请参照配置TCP**点对点共享方式。

主机 master

• 主机作为集群主干，请选择稳定且空间大的服务器做主机。把部署包keycloak-15.0.2.tar.gz 上传到服务器解压到当前 目录(以下用DEP代替)。

配置

日志配置

进入DEP/keycloak-4.0.0.Beta3/bin目录，编辑domain.sh文件，找到JBOSS_LOG_DIR参数,并修改为JBOSS_LOG_DIR="/cy/logs/keycloak/log"，具体按实际路径修改。

主日志

默认服务器日志配置

DEP/keycloak-4.0.0.Beta3/domain/configuration目录，编辑default-server-logging.properties文件，找到 
handler.FILE.fileName=${org.jboss.boot.log.file:server.log}
修改为  handler.FILE.fileName=/cy/logs/keycloak/server-one/server.log
注： server-one 代表主机，从机请修改为server-two,server-three...

数据库配置

• 创建目录与驱动模块

### 创建目录 (只要目录对了即可)
[root@node1 main]# mkdir  /home/admin/keycloak-15.0.2/modules/system/layers/base/com/mysql/main

   ```bash

创建驱动模块

[root@node1 main]# vim module.xml

<?xml version="1.0" encoding="UTF-8"?>

---

mysql-connector-java-8.0.26.jar是jar包名称 需要将jar包上传到该文件的同级目录
```

• 添加数据库地址

进入DEP/keycloak-4.0.0.Beta3/domain/configuration目录，打开domain.xml文件，找到KeycloakDS。注：有两处都要修改。
<connection-url>jdbc:mysql://192.168.3.206:3306/keycloak?characterEncoding=UTF-8</connection-url>.....<security><user-name>root</user-name> --数据库用户名<password>govnet123</password>--数据库密码</security>.......

• 添加数据库MySQL类

### 进入目录
[root@node1 main]# cd  /home/admin/keycloak-15.0.2/domain/configuration/
### 编辑集群模式的域配置文件
[root@node1 configuration]# vim  domain.xml
.....<drivers><driver name="h2" module="com.h2database.h2"><xa-datasource-class>org.h2.jdbcx.JdbcDataSource</xa-datasource-class></driver><driver name="mysql" module="com.mysql"><xa-datasource-class>com.mysql.cj.jdbc.MysqlXADataSource</xa-datasource-class></driver></drivers>
......

• 可以直接下载我修改好的 然后将数据库ip修改成为自己的即可

链接：https://pan.baidu.com/s/1r8c0QErk64v98QGl4gwrog
提取码：gx12

IP端口配置

### 进入目录
[root@node1 main]# cd  /home/admin/keycloak-15.0.2/domain/configuration/
### 编辑集群模式的域配置文件
[root@node1 configuration]# vim  domain.xml
...
<interface name="private"><inet-address value="${jboss.bind.address.private:127.0.0.1}"/> --修改为服务器IP
</interface>
......<socket-binding-groups><socket-binding-group name="standard-sockets" default-interface="public"><socket-binding name="ajp" port="${jboss.ajp.port:8009}"/><socket-binding name="http" port="${jboss.http.port:8080}"/> --修改为服务器可用端口
......<socket-binding-group name="ha-sockets" default-interface="public"><socket-binding name="ajp" port="${jboss.ajp.port:8009}"/><socket-binding name="http" port="${jboss.http.port:8080}"/>--修改为服务器可用端口（与上面端口一样）.......            

• 主机IP，连接端口，控制台端口，端口偏移量

进入DEP/keycloak-4.0.0.Beta3/domain/configuration目录，打开host-master.xml文件，
......
<management-interfaces><native-interface security-realm="ManagementRealm"><socket interface="management" port="${jboss.management.native.port:9999}"/>
--9999是从机连接主机端口号（如未占用不做修改）
</native-interface><http-interface security-realm="ManagementRealm"><http-upgrade enabled="true"/><socket interface="management" 	port="${jboss.management.http.port:9990}"/>--9990主机控制器管理客户端访问端口（如未占用不做修改）   </http-interface>......<interfaces><interface name="management"><inet-address value="${jboss.bind.address.management127.0.0.1}"/>  --修改为服务器IP</interface><interface name="public"><inet-address value="${jboss.bind.address:127.0.0.1}"/> --修改为服务器IP
</interface>
</interfaces>
......<server name="server-one" group="auth-server-group" auto-start="true"><!--~  Remote JPDA debugging for a specific server~             <jvm name="default">~               <jvm-options>~                 <option value="-agentlib:jdwp=transport=dt_socket,address=8787,server=y,suspend=n"/>~               </jvm-options>~            </jvm>~            --><!--~  server-two avoids port conflicts by incrementing the ports in~                  the default socket-group declared in the server-group --><socket-bindings port-offset="150"/> --端口偏移量，主机的集群节点端口根据这个偏移量产生，比如主机端口配置8080，主机节点端口为8080+150=8230。
</server>
......

添加用户

此用户是主机控制台管理用户，也是从机连接主机认证用户，非系统用户，admin已经创建，会提示已经存在，选择a 重置密码。
进入DEP/keycloak-4.0.0.Beta3/bin目录，添加add-user.sh文件执行权限,执行这个文件。
$ add-user.shWhat type of user do you wish to add?a) Management User (mgmt-users.properties)b) Application User (application-users.properties)(a): aEnter the details of the new user to add.Using realm 'ManagementRealm' as discovered from the existing property files.Username : admin
Password recommendations are listed below. To modify these restrictions edit the add-user.properties configuration file.- The password should not be one of the following restricted values {root, admin, administrator}- The password should contain at least 8 characters, 1 alphabetic character(s), 1 digit(s), 1 non-alphanumeric symbol(s)- The password should be different from the usernamePassword :Re-enter Password :What groups do you want this user to belong to? (Please enter a comma separated list, or leave blank for none)[ ]:About to add user 'admin' for realm 'ManagementRealm'Is this correct yes/no? yesAdded user 'admin' to file '/.../standalone/configuration/mgmt-users.properties'Added user 'admin' to file '/.../domain/configuration/mgmt-users.properties'Added user 'admin' with groups to file '/.../standalone/configuration/mgmt-groups.properties'Added user 'admin' with groups to file '/.../domain/configuration/mgmt-groups.properties'Is this new user going to be used for one AS process to connect to another AS process?e.g. for a slave host controller connecting to the master or for a Remoting connection for server to server EJB calls.yes/no? yesTo represent the user add the following to the server-identities definition <secret value="bWdtdDEyMyE=" />admin / bWdtdDEyMyE=  是从机连接主机的用户名、密钥，请保存。

• 配置文件分享 可以直接下载然后修改自己本地ip

链接：https://pan.baidu.com/s/1Ky_mQlpVYwNG1ytucuMDZg
提取码：gx12

启动master节点

• 添加domain.sh文件执行权限

• ./domain.sh --host-config=host-master.xml

• 这里输入的就是自己当时增加admin用户设置的密码

• 正常状态下可以看到节点的状态 进入页面之后点击Runtime 会显示master节点上的服务 (这里应该还有一个负载均衡 虚拟机配置不高 所以把这里注释掉了)

master节点日志

tail -f  /home/admin/keycloak-15.0.2/domain/servers/server-one/log/server.log

关机

1.	执行   ps -ef | grep keycloak   查看进程号2.	再执行 kill -9 进程号注：默认2个进程，可能会有多个进程，一般结束掉第一个后面进程都会结束掉，不排除特殊情况，请多次执行ps -ef | grep keycloak 查看是否有可执行进程。

服务器不支持IP多播配置(可选)

注：此步骤是配置TCP共享数据方式，默认不需要配置（集群默认采用UDP共享），服务器不支持IP多播或网络环境不允许使用UDP必须配置此项，如果不想采用UDP多播共享数据也可以配置。阿里云ECS不支持IP多播部署需要配置此项。......
<subsystem xmlns="urn:jboss:domain:jgroups:5.0"><channels default="ee"><channel name="ee" stack="tcp" cluster="ejb"/> --配置TCP连接方式 </channels>......<stacks><stack name="tcp"><transport type="TCP" socket-binding="jgroups-tcp"/><!-- <socket-protocol type="MPING" socket-binding="jgroups-mping"/> --><protocol type="TCPPING">  <property name="initial_hosts">127.0.0.1[7700],127.0.0.2[7700]</property>--配置集群IP,  127.0.0.1为集群服务器IP，7700端口是根据7600+端口偏移量产生<property name="port_range">0</property> -- 你要搜寻机器可以Ping到port 的范围</protocol><protocol type="MERGE3"/><protocol type="FD_SOCK"/><protocol type="FD_ALL"/><protocol type="VERIFY_SUSPECT"/><protocol type="pbcast.NAKACK2"/><protocol type="UNICAST3"/><protocol type="pbcast.STABLE"/><protocol type="pbcast.GMS"/><protocol type="MFC"/><protocol type="FRAG2"/></stack></stacks></subsystem>
......

从机 slave

配置

进入DEP/keycloak-4.0.0.Beta3/domain/configuration目录，打开host-slave.xml文件，
<host xmlns="urn:jboss:domain:5.0" name="slave">
--slave节点名，配置2个或2个以上从机请修改
......<server-identities><!-- Replace this with either a base64 password of your own, or use a vault with a vault expression --><secret value="bWdtdDEyMyE="/>  --连接主机密钥</server-identities>......<domain-controller><remote username="admin" security-realm="ManagementRealm"> --admin连接主机用户名<discovery-options><static-discovery name="primary" protocol="${jboss.domain.master.protocol:remote}" host="${jboss.domain.master.address:127.0.0.1}" port="${jboss.domain.master.port:9999}"/>
--127.0.0.1主机IP,9999主机连接端口</discovery-options></remote>
</domain-controller>
<interfaces><interface name="management"><inet-address value="${jboss.bind.address.management127.0.0.1}"/>
--127.0.0.1服务器IP</interface><interface name="public">--127.0.0.1服务器IP</interface><interface name="private"><inet-address value="${jboss.bind.address.private:127.0.0.1}"/>
--127.0.0.1服务器IP</interface>
</interfaces>......
<servers><server name="server-two" group="auth-server-group" auto-start="true">
--server-two从机服务器名，配置2个或2个以上从机请修改第三个从机为server-three，第四个从机为server-four.....<!--~  server-two avoids port conflicts by incrementing the ports in~                  the default socket-group declared in the server-group --><socket-bindings port-offset="250"/> --端口偏移量，从机的集群节点端口根据这个偏移量产生，比如主机端口配置8080，从机节点端口为8080+250=8330。</server>
</servers>
......

启动

./bin/domain.sh --host-config=host-slave.xml

验证

从机节点：访问 http://127.0.0.1:8330  
说明 ：127.0.0.1：服务器IP    8330：8080（主机配置端口）+250（主机端口偏移量）

关闭

同上

登录keycloak页面

./add-user-keycloak.sh --sc ../domain/servers/server-one/configuration -u admin -p admin

• 尝试过用add.sh 增加用户 结果无法登陆 查询其他文档之后发现建议add-user-keycloak.sh增加控制台用户.