valdemon/keycloak

镜像概述

该镜像基于https://hub.docker.com/r/jboss/keycloak/%E6%9E%84%E5%BB%BA%EF%BC%8C%E9%92%88%E5%AF%B9Keycloak%E5%AE%98%E6%96%B9%E6%96%87%E6%A1%A3%E4%B8%AD%E5%85%B3%E4%BA%8E%E5%A4%96%E9%83%A8HTTPS%E5%8F%8D%E5%90%91%E4%BB%A3%E7%90%86%E7%9A%84%E5%BB%BA%E8%AE%AE%EF%BC%8C%E5%AF%B9Undertow%E5%AD%90%E7%B3%BB%E7%BB%9F%E5%92%8Csocket%E7%BB%91%E5%AE%9A%E9%85%8D%E7%BD%AE%E8%BF%9B%E8%A1%8C%E4%BA%86%E4%BC%98%E5%8C%96%EF%BC%8C%E4%BB%A5%E7%A1%AE%E4%BF%9DKeycloak%E5%9C%A8%E5%A4%96%E9%83%A8HTTPS%E5%8F%8D%E5%90%91%E4%BB%A3%E7%90%86%E7%8E%AF%E5%A2%83%E4%B8%8B%E8%83%BD%E5%A4%9F%E6%AD%A3%E7%A1%AE%E5%A4%84%E7%90%86%E8%AF%B7%E6%B1%82%E8%BD%AC%E5%8F%91%E3%80%82

核心功能与特性

• Undertow子系统配置优化：修改http-listener配置，添加proxy-address-forwarding="true"参数，使Keycloak能够识别并处理来自反向代理的请求转发信息。
• Socket绑定扩展：在socket-binding-group中添加proxy-https绑定，端口设置为443，用于支持HTTPS反向代理场景下的重定向处理。

具体配置变更如下：

Undertow子系统配置：

xml
<subsystem xmlns="urn:jboss:domain:undertow:3.0">
    ...
    <server name="default-server">
        <http-listener name="default" socket-binding="http"
            redirect-socket="https" proxy-address-forwarding="true" />
        ...
    </server>
    ...
</subsystem>

Socket绑定组配置：

xml
<socket-binding-group name="standard-sockets" default-interface="public"
    port-offset="${jboss.socket.binding.port-offset:0}">
    ...
    <socket-binding name="proxy-https" port="443"/>
    ...
</socket-binding-group>

使用场景

适用于Keycloak部署在外部HTTPS反向代理（如Nginx、Apache等）之后的场景，确保Keycloak能够正确识别客户端真实IP、处理HTTPS重定向及代理转发的请求头信息，保障认证流程正常运行。

使用方法与配置说明

基本部署

使用以下命令启动容器：

bash
docker run -d --name keycloak-proxy \
  -p 8080:8080 \
  [镜像名称]

环境变量配置

可通过环境变量配置Keycloak核心参数（与jboss/keycloak镜像兼容），常用参数包括：

• KEYCLOAK_USER：管理员用户名
• KEYCLOAK_PASSWORD：管理员密码
• DB_VENDOR：数据库类型（如h2、postgres、mysql等）
• DB_ADDR：数据库地址
• DB_PORT：数据库端口
• DB_USER：数据库用户名
• DB_PASSWORD：数据库密码

示例（使用PostgreSQL数据库）：

bash
docker run -d --name keycloak-proxy \
  -p 8080:8080 \
  -e KEYCLOAK_USER=admin \
  -e KEYCLOAK_PASSWORD=admin123 \
  -e DB_VENDOR=postgres \
  -e DB_ADDR=postgres-host \
  -e DB_PORT=5432 \
  -e DB_USER=keycloak \
  -e DB_PASSWORD=keycloakdbpass \
  [镜像名称]

反向代理配置建议

在外部HTTPS反向代理（以Nginx为例）中，需确保传递以下请求头：

nginx
location / {
    proxy_pass http://keycloak-container:8080;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
}

以上配置可确保Keycloak正确识别客户端信息及请求协议。