ແລ່ນ Keycloak ໃນໂໝດ HA ໃນ Kubernetes

TL; DR: ຈະມີຄໍາອະທິບາຍກ່ຽວກັບ Keycloak, ລະບົບການຄວບຄຸມການເຂົ້າເຖິງແຫຼ່ງເປີດ, ການວິເຄາະໂຄງສ້າງພາຍໃນ, ລາຍລະອຽດການຕັ້ງຄ່າ.

ການແນະນໍາແລະແນວຄວາມຄິດທີ່ສໍາຄັນ

ໃນບົດຄວາມນີ້, ພວກເຮົາຈະເຫັນແນວຄວາມຄິດພື້ນຖານທີ່ຕ້ອງຈື່ໄວ້ໃນເວລາທີ່ນໍາໃຊ້ກຸ່ມ Keycloak ຢູ່ເທິງ Kubernetes.

ຖ້າທ່ານຕ້ອງການຮູ້ເພີ່ມເຕີມກ່ຽວກັບ Keycloak, ອ້າງອີງໃສ່ການເຊື່ອມຕໍ່ໃນຕອນທ້າຍຂອງບົດຄວາມ. ເພື່ອກາຍເປັນ immersed ຫຼາຍໃນການປະຕິບັດ, ທ່ານສາມາດສຶກສາ repository ຂອງພວກເຮົາ ກັບໂມດູນທີ່ປະຕິບັດແນວຄວາມຄິດຕົ້ນຕໍຂອງບົດຄວາມນີ້ (ຄູ່ມືການເປີດຕົວແມ່ນຢູ່ທີ່ນັ້ນ, ບົດຄວາມນີ້ຈະໃຫ້ພາບລວມຂອງອຸປະກອນແລະການຕັ້ງຄ່າ, ປະມານ ນັກແປ).

Keycloak ແມ່ນລະບົບທີ່ສົມບູນແບບທີ່ຂຽນໃນ Java ແລະສ້າງຢູ່ເທິງສຸດຂອງເຄື່ອງແມ່ຂ່າຍຂອງແອັບພລິເຄຊັນ ດອກເຜິ້ງ. ໃນສັ້ນ, ມັນເປັນກອບສໍາລັບການອະນຸຍາດທີ່ໃຫ້ສະຫະພັນຜູ້ໃຊ້ແອັບພລິເຄຊັນແລະ SSO (ເຂົ້າສູ່ລະບົບດຽວ).

ພວກເຮົາເຊີນທ່ານອ່ານຢ່າງເປັນທາງການ ເວັບໄຊທ໌ ຫຼື ວິກິພີເດຍ ສໍາລັບຄວາມເຂົ້າໃຈລະອຽດ.

ການເປີດຕົວ Keycloak

Keycloak ຕ້ອງການສອງແຫຼ່ງຂໍ້ມູນທີ່ຄົງຄ້າງເພື່ອດໍາເນີນການ:

• ຖານຂໍ້ມູນທີ່ໃຊ້ເພື່ອເກັບຂໍ້ມູນທີ່ຕັ້ງໄວ້ ເຊັ່ນ: ຂໍ້ມູນຜູ້ໃຊ້
• Datagrid cache, ເຊິ່ງຖືກນໍາໃຊ້ເພື່ອ cache ຂໍ້ມູນຈາກຖານຂໍ້ມູນ, ເຊັ່ນດຽວກັນກັບການເກັບຮັກສາບາງ metadata ສັ້ນແລະການປ່ຽນແປງເລື້ອຍໆ, ເຊັ່ນ: ກອງປະຊຸມຜູ້ໃຊ້. ປະຕິບັດ Infinispan, ເຊິ່ງປົກກະຕິແລ້ວແມ່ນໄວກວ່າຖານຂໍ້ມູນ. ແຕ່ໃນກໍລະນີໃດກໍ່ຕາມ, ຂໍ້ມູນທີ່ບັນທຶກໄວ້ໃນ Infinispan ແມ່ນ ephemeral - ແລະມັນບໍ່ຈໍາເປັນຕ້ອງຖືກບັນທຶກໄວ້ທຸກບ່ອນໃນເວລາທີ່ກຸ່ມຖືກເລີ່ມຕົ້ນໃຫມ່.

Keycloak ເຮັດວຽກຢູ່ໃນສີ່ໂຫມດທີ່ແຕກຕ່າງກັນ:

• ທໍາມະດາ - ຫນຶ່ງ​ແລະ​ພຽງ​ແຕ່​ຫນຶ່ງ​ຂະ​ບວນ​ການ​, configured ຜ່ານ​ໄຟລ​໌​ standalone.xml
• ກຸ່ມປົກກະຕິ (ທາງເລືອກທີ່ມີສູງ) - ຂະບວນການທັງຫມົດຈະຕ້ອງໃຊ້ການຕັ້ງຄ່າດຽວກັນ, ເຊິ່ງຕ້ອງໄດ້ຮັບການ synchronized ດ້ວຍຕົນເອງ. ການຕັ້ງຄ່າຖືກເກັບໄວ້ໃນໄຟລ໌ standalone-ha.xml, ນອກຈາກນັ້ນ, ທ່ານຈໍາເປັນຕ້ອງໄດ້ແບ່ງປັນການເຂົ້າເຖິງຖານຂໍ້ມູນແລະ load balancer.
• ກຸ່ມໂດເມນ — ການເລີ່ມກຸ່ມຢູ່ໃນໂໝດປົກກະຕິຢ່າງວ່ອງໄວຈະກາຍເປັນວຽກປະຈຳ ແລະໜ້າເບື່ອເມື່ອກຸ່ມເຕີບໃຫຍ່ຂຶ້ນ, ເພາະວ່າທຸກໆຄັ້ງທີ່ມີການປ່ຽນແປງການຕັ້ງຄ່າ, ການປ່ຽນແປງທັງໝົດຈະຕ້ອງຖືກເຮັດຢູ່ໃນແຕ່ລະ node ຂອງກຸ່ມ. ຮູບແບບການເຮັດວຽກຂອງໂດເມນແກ້ໄຂບັນຫານີ້ໂດຍການຕັ້ງບາງບ່ອນເກັບມ້ຽນທີ່ແບ່ງປັນ ແລະເຜີຍແຜ່ການຕັ້ງຄ່າ. ການຕັ້ງຄ່າເຫຼົ່ານີ້ຖືກເກັບໄວ້ໃນໄຟລ໌ domain.xml
• ການຈໍາລອງລະຫວ່າງສູນຂໍ້ມູນ — ຖ້າ​ຫາກ​ວ່າ​ທ່ານ​ຕ້ອງ​ການ​ທີ່​ຈະ​ດໍາ​ເນີນ​ການ Keycloak ໃນ​ກຸ່ມ​ຂອງ​ສູນ​ຂໍ້​ມູນ​ຈໍາ​ນວນ​ຫນຶ່ງ​, ສ່ວນ​ຫຼາຍ​ມັກ​ຈະ​ຢູ່​ໃນ​ທີ່​ຕັ້ງ​ພູມ​ສາດ​ທີ່​ແຕກ​ຕ່າງ​ກັນ​. ໃນທາງເລືອກນີ້, ແຕ່ລະສູນຂໍ້ມູນຈະມີກຸ່ມຂອງຕົນເອງຂອງເຄື່ອງແມ່ຂ່າຍຂອງ Keycloak.

ໃນບົດຄວາມນີ້ພວກເຮົາຈະພິຈາລະນາຢ່າງລະອຽດທາງເລືອກທີສອງ, ນັ້ນແມ່ນ ກຸ່ມປົກກະຕິ, ແລະພວກເຮົາຍັງຈະແຕະເລັກນ້ອຍກ່ຽວກັບຫົວຂໍ້ຂອງການຈໍາລອງລະຫວ່າງສູນຂໍ້ມູນ, ເນື່ອງຈາກວ່າມັນສົມເຫດສົມຜົນທີ່ຈະດໍາເນີນການທັງສອງທາງເລືອກນີ້ໃນ Kubernetes. ໂຊກດີ, ໃນ Kubernetes ບໍ່ມີບັນຫາກັບ synchronizing ການຕັ້ງຄ່າຂອງຫຼາຍ pods (Keycloak nodes), ດັ່ງນັ້ນ. ກຸ່ມໂດເມນ ມັນຈະບໍ່ຍາກຫຼາຍທີ່ຈະເຮັດ.

ນອກຈາກນັ້ນ, ກະລຸນາສັງເກດວ່າຄໍາສັບ ກຸ່ມບ້ານ ສໍາລັບສ່ວນທີ່ເຫຼືອຂອງບົດຄວາມຈະນໍາໃຊ້ກັບກຸ່ມຂອງ Keycloak nodes ທີ່ເຮັດວຽກຮ່ວມກັນ, ບໍ່ຈໍາເປັນຕ້ອງອ້າງອີງເຖິງກຸ່ມ Kubernetes.

ກຸ່ມ Keycloak ປົກກະຕິ

ເພື່ອເປີດໃຊ້ Keycloak ໃນໂຫມດນີ້ທ່ານຕ້ອງການ:

• ຕັ້ງຄ່າຖານຂໍ້ມູນທີ່ແບ່ງປັນພາຍນອກ
• ຕິດຕັ້ງ load balancer
• ມີເຄືອຂ່າຍພາຍໃນທີ່ຮອງຮັບ IP multicast

ພວກເຮົາຈະບໍ່ປຶກສາຫາລືກ່ຽວກັບການສ້າງຕັ້ງຖານຂໍ້ມູນພາຍນອກ, ເນື່ອງຈາກວ່າມັນບໍ່ແມ່ນຈຸດປະສົງຂອງບົດຄວາມນີ້. ໃຫ້ສົມມຸດວ່າມີຖານຂໍ້ມູນທີ່ເຮັດວຽກຢູ່ບ່ອນໃດຫນຶ່ງ - ແລະພວກເຮົາມີຈຸດເຊື່ອມຕໍ່ກັບມັນ. ພວກເຮົາຈະເພີ່ມຂໍ້ມູນນີ້ໃສ່ຕົວແປສະພາບແວດລ້ອມ.

ເພື່ອເຂົ້າໃຈດີຂຶ້ນວ່າ Keycloak ເຮັດວຽກແນວໃດໃນກຸ່ມທີ່ລົ້ມເຫລວ (HA), ມັນເປັນສິ່ງສໍາຄັນທີ່ຈະຮູ້ວ່າມັນຫຼາຍປານໃດແມ່ນຂຶ້ນກັບຄວາມສາມາດຂອງກຸ່ມ Wildfly.

Wildfly ໃຊ້ລະບົບຍ່ອຍຫຼາຍ, ບາງສ່ວນຂອງພວກມັນຖືກໃຊ້ເປັນຕົວດຸ່ນດ່ຽງການໂຫຼດ, ບາງອັນສໍາລັບຄວາມທົນທານຕໍ່ຄວາມຜິດ. ຕົວດຸ່ນດ່ຽງການໂຫຼດຈະຮັບປະກັນຄວາມພ້ອມຂອງແອັບພລິເຄຊັນ ເມື່ອ node cluster ໂຫຼດເກີນ, ແລະຄວາມທົນທານຄວາມຜິດ ຮັບປະກັນຄວາມພ້ອມຂອງແອັບພລິເຄຊັນ ເຖິງແມ່ນວ່າບາງ node cluster ລົ້ມເຫລວ. ບາງລະບົບຍ່ອຍເຫຼົ່ານີ້:

• mod_cluster: ເຮັດວຽກຮ່ວມກັນກັບ Apache ເປັນ HTTP load balancer, ຂຶ້ນກັບ TCP multicast ເພື່ອຊອກຫາເຈົ້າພາບໂດຍຄ່າເລີ່ມຕົ້ນ. ສາມາດຖືກແທນທີ່ດ້ວຍຕົວດຸ່ນດ່ຽງພາຍນອກ.

• infinispan: ແຄສທີ່ແຈກຢາຍໂດຍໃຊ້ຊ່ອງ JGroups ເປັນຊັ້ນການຂົນສົ່ງ. ນອກຈາກນັ້ນ, ມັນສາມາດໃຊ້ໂປໂຕຄອນ HotRod ເພື່ອຕິດຕໍ່ສື່ສານກັບກຸ່ມ Infinispan ພາຍນອກເພື່ອ synchronize ເນື້ອໃນ cache.

• jgroups: ສະຫນອງການສະຫນັບສະຫນູນການສື່ສານກຸ່ມສໍາລັບການບໍລິການທີ່ມີສູງໂດຍອີງໃສ່ຊ່ອງທາງ JGroups. ທໍ່ທີ່ມີຊື່ອະນຸຍາດໃຫ້ຄໍາຮ້ອງສະຫມັກໃນກຸ່ມເຊື່ອມຕໍ່ເຂົ້າໄປໃນກຸ່ມເພື່ອໃຫ້ການສື່ສານມີຄຸນສົມບັດເຊັ່ນ: ຄວາມຫນ້າເຊື່ອຖື, ຄວາມເປັນລະບຽບຮຽບຮ້ອຍ, ແລະຄວາມອ່ອນໄຫວຕໍ່ກັບຄວາມລົ້ມເຫລວ.

Load Balancer

ເມື່ອຕິດຕັ້ງເຄື່ອງດຸ່ນດ່ຽງເປັນຕົວຄວບຄຸມ ingress ໃນກຸ່ມ Kubernetes, ມັນເປັນສິ່ງສໍາຄັນທີ່ຈະຮັກສາສິ່ງຕໍ່ໄປນີ້ຢູ່ໃນໃຈ:

Keycloak ສົມມຸດວ່າທີ່ຢູ່ຫ່າງໄກສອກຫຼີກຂອງລູກຄ້າທີ່ເຊື່ອມຕໍ່ຜ່ານ HTTP ກັບເຄື່ອງແມ່ຂ່າຍການກວດສອບແມ່ນທີ່ຢູ່ IP ທີ່ແທ້ຈິງຂອງຄອມພິວເຕີລູກຄ້າ. ການຕັ້ງຄ່າ Balancer ແລະ ingress ຄວນຕັ້ງສ່ວນຫົວ HTTP ຢ່າງຖືກຕ້ອງ X-Forwarded-For и X-Forwarded-Proto, ແລະຍັງບັນທຶກຊື່ຕົ້ນສະບັບ HOST. ສະ​ບັບ​ຫລ້າ​ສຸດ ingress-nginx (>0.22.0) ປິດການໃຊ້ງານນີ້ຕາມຄ່າເລີ່ມຕົ້ນ

ການເປີດໃຊ້ທຸງ proxy-address-forwarding ໂດຍການຕັ້ງຄ່າຕົວແປສະພາບແວດລ້ອມ PROXY_ADDRESS_FORWARDING в true ໃຫ້ Keycloak ເຂົ້າໃຈວ່າມັນເຮັດວຽກຢູ່ເບື້ອງຫຼັງຕົວແທນ.

ນອກນັ້ນທ່ານຍັງຈໍາເປັນຕ້ອງໄດ້ເປີດໃຊ້ ເຊດຊັນຫນຽວ ໃນ ingress. Keycloak ໃຊ້ແຄດ Infinispan ທີ່ແຈກຢາຍເພື່ອເກັບຂໍ້ມູນທີ່ກ່ຽວຂ້ອງກັບເຊດຊັນການກວດສອບຄວາມຖືກຕ້ອງໃນປະຈຸບັນແລະເຊດຊັນຜູ້ໃຊ້. Caches ດໍາເນີນການກັບເຈົ້າຂອງດຽວໂດຍຄ່າເລີ່ມຕົ້ນ, ໃນຄໍາສັບຕ່າງໆອື່ນໆ, ເຊດຊັນສະເພາະນັ້ນຖືກເກັບໄວ້ໃນບາງ node ໃນ cluster, ແລະ nodes ອື່ນໆຕ້ອງສອບຖາມມັນຫ່າງໄກສອກຫຼີກຖ້າພວກເຂົາຕ້ອງການການເຂົ້າເຖິງກອງປະຊຸມນັ້ນ.

ໂດຍສະເພາະ, ກົງກັນຂ້າມກັບເອກະສານ, ການຄັດຕິດກອງປະຊຸມທີ່ມີຊື່ຄຸກກີບໍ່ໄດ້ເຮັດວຽກສໍາລັບພວກເຮົາ AUTH_SESSION_ID. Keycloak ມີວົງການປ່ຽນເສັ້ນທາງ, ດັ່ງນັ້ນພວກເຮົາແນະນໍາໃຫ້ເລືອກຊື່ຄຸກກີທີ່ແຕກຕ່າງກັນສໍາລັບກອງປະຊຸມຫນຽວ.

Keycloak ຍັງເອົາຊື່ຂອງ node ທີ່ຕອບສະຫນອງກ່ອນ AUTH_SESSION_ID, ແລະນັບຕັ້ງແຕ່ແຕ່ລະ node ໃນສະບັບທີ່ມີສູງໃຊ້ຖານຂໍ້ມູນດຽວກັນ, ແຕ່ລະຄົນ ຄວນ​ມີ ຕົວລະບຸ node ແຍກຕ່າງຫາກແລະເປັນເອກະລັກສໍາລັບການຈັດການທຸລະກໍາ. ມັນແມ່ນແນະນໍາໃຫ້ໃສ່ໃນ JAVA_OPTS ທາງເລືອກ jboss.node.name и jboss.tx.node.id ເປັນເອກະລັກສໍາລັບແຕ່ລະ node - ທ່ານສາມາດ, ສໍາລັບການຍົກຕົວຢ່າງ, ໃສ່ຊື່ຂອງຝັກໄດ້. ຖ້າທ່ານໃສ່ຊື່ pod, ຢ່າລືມກ່ຽວກັບຂອບເຂດຈໍາກັດ 23 ຕົວອັກສອນສໍາລັບຕົວແປ jboss, ດັ່ງນັ້ນມັນດີກວ່າທີ່ຈະໃຊ້ StatefulSet ແທນທີ່ຈະເປັນ Deployment.

rake ອື່ນ - ຖ້າຝັກຖືກລຶບຫຼື restarted, cache ຂອງມັນຈະສູນເສຍ. ການພິຈາລະນານີ້, ມັນເປັນມູນຄ່າທີ່ຈະກໍານົດຈໍານວນເຈົ້າຂອງ cache ສໍາລັບ cache ທັງຫມົດຢ່າງຫນ້ອຍສອງ, ດັ່ງນັ້ນສໍາເນົາຂອງ cache ຈະຍັງຄົງຢູ່. ການແກ້ໄຂແມ່ນເພື່ອດໍາເນີນການ script ສໍາລັບ Wildfly ເມື່ອເລີ່ມຝັກ, ວາງມັນໄວ້ໃນໄດເລກະທໍລີ /opt/jboss/startup-scripts ໃນ​ຕູ້​ເກັບ​ຮັກ​ສາ​:

ເນື້ອໃນຂອງສະຄຣິບ

embed-server --server-config=standalone-ha.xml --std-out=echo
batch

echo * Setting CACHE_OWNERS to "${env.CACHE_OWNERS}" in all cache-containers

/subsystem=infinispan/cache-container=keycloak/distributed-cache=sessions:write-attribute(name=owners, value=${env.CACHE_OWNERS:1})
/subsystem=infinispan/cache-container=keycloak/distributed-cache=authenticationSessions:write-attribute(name=owners, value=${env.CACHE_OWNERS:1})
/subsystem=infinispan/cache-container=keycloak/distributed-cache=actionTokens:write-attribute(name=owners, value=${env.CACHE_OWNERS:1})
/subsystem=infinispan/cache-container=keycloak/distributed-cache=offlineSessions:write-attribute(name=owners, value=${env.CACHE_OWNERS:1})
/subsystem=infinispan/cache-container=keycloak/distributed-cache=clientSessions:write-attribute(name=owners, value=${env.CACHE_OWNERS:1})
/subsystem=infinispan/cache-container=keycloak/distributed-cache=offlineClientSessions:write-attribute(name=owners, value=${env.CACHE_OWNERS:1})
/subsystem=infinispan/cache-container=keycloak/distributed-cache=loginFailures:write-attribute(name=owners, value=${env.CACHE_OWNERS:1})

run-batch
stop-embedded-server

ຈາກນັ້ນກຳນົດຄ່າຂອງຕົວແປສະພາບແວດລ້ອມ CACHE_OWNERS ກັບຄວາມຕ້ອງການ.

ເຄືອຂ່າຍສ່ວນຕົວທີ່ຮອງຮັບ IP multicast

ຖ້າທ່ານໃຊ້ Weavenet ເປັນ CNI, multicast ຈະເຮັດວຽກທັນທີ - ແລະຂໍ້ຂອງ Keycloak ທ່ານຈະເຫັນກັນແລະກັນທັນທີທີ່ພວກມັນຖືກເປີດຕົວ.

ຖ້າທ່ານບໍ່ມີການຮອງຮັບ ip multicast ໃນກຸ່ມ Kubernetes ຂອງທ່ານ, ທ່ານສາມາດຕັ້ງຄ່າ JGroups ເພື່ອເຮັດວຽກກັບໂປຣໂຕຄໍອື່ນໆເພື່ອຊອກຫາ nodes.

ທາງເລືອກທໍາອິດແມ່ນການນໍາໃຊ້ KUBE_DNSເຊິ່ງໃຊ້ headless service ເພື່ອຊອກຫາ Keycloak nodes, ທ່ານພຽງແຕ່ຜ່ານ JGroups ຊື່ຂອງການບໍລິການທີ່ຈະຖືກນໍາໃຊ້ເພື່ອຊອກຫາ nodes ໄດ້.

ທາງເລືອກອື່ນແມ່ນໃຊ້ວິທີການ KUBE_PING, ເຊິ່ງເຮັດວຽກກັບ API ເພື່ອຊອກຫາ nodes (ທ່ານຈໍາເປັນຕ້ອງ configure serviceAccount ດ້ວຍ​ສິດ list и get, ແລະຫຼັງຈາກນັ້ນ configure pods ເຮັດວຽກກັບນີ້ serviceAccount).

ວິທີທີ່ JGroups ຊອກຫາ nodes ຖືກຕັ້ງຄ່າໂດຍການຕັ້ງຄ່າຕົວແປສະພາບແວດລ້ອມ JGROUPS_DISCOVERY_PROTOCOL и JGROUPS_DISCOVERY_PROPERTIES. ສຳ ລັບ KUBE_PING ທ່ານຈໍາເປັນຕ້ອງເລືອກຝັກໂດຍການຖາມ namespace и labels.

️ ຖ້າທ່ານໃຊ້ multicast ແລະແລ່ນສອງຫຼືຫຼາຍກວ່າກຸ່ມ Keycloak ໃນກຸ່ມ Kubernetes ດຽວ (ໃຫ້ເວົ້າວ່າຫນຶ່ງໃນ namespace. production, ທີ່​ສອງ - staging) - nodes ຂອງຫນຶ່ງກຸ່ມ Keycloak ສາມາດເຂົ້າຮ່ວມກຸ່ມອື່ນ. ໃຫ້ແນ່ໃຈວ່າໃຊ້ທີ່ຢູ່ multicast ເປັນເອກະລັກສໍາລັບແຕ່ລະ cluster ໂດຍການຕັ້ງຄ່າຕົວແປjboss.default.multicast.address и jboss.modcluster.multicast.address в JAVA_OPTS.

ການຈໍາລອງລະຫວ່າງສູນຂໍ້ມູນ

ການເຊື່ອມຕໍ່

Keycloak ໃຊ້ຫຼາຍກຸ່ມແຄດ Infinispan ແຍກຕ່າງຫາກສໍາລັບແຕ່ລະສູນຂໍ້ມູນບ່ອນທີ່ກຸ່ມ Keycloack ທີ່ປະກອບດ້ວຍຂໍ້ Keycloak ຕັ້ງຢູ່. ແຕ່ບໍ່ມີຄວາມແຕກຕ່າງລະຫວ່າງ Keycloak nodes ໃນສູນຂໍ້ມູນທີ່ແຕກຕ່າງກັນ.

Keycloak nodes ໃຊ້ Java Data Grid ພາຍນອກ (ເຊີບເວີ Infinispan) ສໍາລັບການສື່ສານລະຫວ່າງສູນຂໍ້ມູນ. ການສື່ສານເຮັດວຽກຕາມພິທີການ Infinispan HotRod.

ແຄສ Infinispan ຕ້ອງຖືກຕັ້ງຄ່າດ້ວຍຄຸນສົມບັດ remoteStore, ເພື່ອ​ໃຫ້​ຂໍ້​ມູນ​ທີ່​ສາ​ມາດ​ໄດ້​ຮັບ​ການ​ເກັບ​ຮັກ​ສາ​ໄວ້​ຫ່າງ​ໄກ​ສອກ​ຫຼີກ (ໃນ​ສູນ​ຂໍ້​ມູນ​ອື່ນ​, ປະມານ ນັກແປ) ຖານ​ຄວາມ​ຈໍາ​. ມີກຸ່ມ infinispan ແຍກຕ່າງຫາກໃນບັນດາເຄື່ອງແມ່ຂ່າຍ JDG, ດັ່ງນັ້ນຂໍ້ມູນທີ່ເກັບໄວ້ໃນ JDG1 ຢູ່ໃນເວັບໄຊທ໌ site1 ຈະຖືກຈໍາລອງເປັນ JDG2 ຢູ່ໃນເວັບໄຊ site2.

ແລະສຸດທ້າຍ, ເຊີບເວີ JDG ທີ່ໄດ້ຮັບການແຈ້ງເຕືອນໃຫ້ເຊີບເວີ Keycloak ຂອງກຸ່ມຂອງມັນຜ່ານການເຊື່ອມຕໍ່ລູກຄ້າ, ເຊິ່ງເປັນຄຸນສົມບັດຂອງໂປໂຕຄອນ HotRod. ເປີດ nodes Keycloak site2 ປັບປຸງຖານຄວາມຈໍາ Infinispan ຂອງພວກເຂົາແລະກອງປະຊຸມຜູ້ໃຊ້ສະເພາະກໍ່ມີຢູ່ໃນໂຫນດ Keycloak on site2.

ສໍາລັບບາງແຄດ, ມັນກໍ່ເປັນໄປໄດ້ທີ່ຈະບໍ່ເຮັດການສໍາຮອງຂໍ້ມູນແລະຫຼີກເວັ້ນການຂຽນຂໍ້ມູນຜ່ານເຄື່ອງແມ່ຂ່າຍ Infinispan ທັງຫມົດ. ເພື່ອເຮັດສິ່ງນີ້, ທ່ານຈໍາເປັນຕ້ອງເອົາການຕັ້ງຄ່າອອກ remote-store Infinispan cache ສະເພາະ (ໃນໄຟລ໌ standalone-ha.xml), ຫຼັງຈາກນັ້ນບາງສະເພາະ replicated-cache ຈະບໍ່ຈໍາເປັນໃນດ້ານເຊີບເວີ Infinispan ອີກຕໍ່ໄປ.

ການ​ຕັ້ງ​ຄ່າ​ຖານ​ຄວາມ​ຈໍາ​

ມີສອງປະເພດຂອງຖານຄວາມຈໍາໃນ Keycloak:

• ທ້ອງຖິ່ນ. ມັນຕັ້ງຢູ່ໃກ້ກັບຖານຂໍ້ມູນແລະເຮັດຫນ້າທີ່ເພື່ອຫຼຸດຜ່ອນການໂຫຼດໃນຖານຂໍ້ມູນ, ເຊັ່ນດຽວກັນກັບການຫຼຸດຜ່ອນການຕອບໂຕ້ latency. ປະເພດຂອງ cache ນີ້ເກັບຮັກສາ realm, ລູກຄ້າ, ພາລະບົດບາດ, ແລະ metadata ຂອງຜູ້ໃຊ້. ປະເພດຂອງ cache ນີ້ບໍ່ໄດ້ຖືກ replicated, ເຖິງແມ່ນວ່າ cache ເປັນສ່ວນຫນຶ່ງຂອງກຸ່ມ Keycloak. ຖ້າການເຂົ້າຢູ່ໃນ cache ມີການປ່ຽນແປງ, ຂໍ້ຄວາມກ່ຽວກັບການປ່ຽນແປງຈະຖືກສົ່ງໄປຫາເຄື່ອງແມ່ຂ່າຍທີ່ຍັງເຫຼືອຢູ່ໃນ cluster, ຫຼັງຈາກນັ້ນການເຂົ້າຈະຖືກຍົກເວັ້ນຈາກ cache. ເບິ່ງລາຍລະອຽດ work ເບິ່ງຂ້າງລຸ່ມນີ້ສໍາລັບລາຍລະອຽດເພີ່ມເຕີມຂອງຂັ້ນຕອນ.

• ສຳເນົາ. ປະມວນຜົນເຊດຊັນຂອງຜູ້ໃຊ້, ໂທເຄັນອອບໄລນ໌, ແລະຍັງກວດສອບຄວາມຜິດພາດການເຂົ້າສູ່ລະບົບເພື່ອກວດຫາຄວາມພະຍາຍາມຫຼອກລວງລະຫັດຜ່ານ ແລະການໂຈມຕີອື່ນໆ. ຂໍ້​ມູນ​ທີ່​ເກັບ​ໄວ້​ໃນ​ຖານ​ຄວາມ​ຈໍາ​ເຫຼົ່າ​ນີ້​ແມ່ນ​ຊົ່ວ​ຄາວ​, ເກັບ​ໄວ້​ພຽງ​ແຕ່​ໃນ RAM​, ແຕ່​ສາ​ມາດ​ໄດ້​ຮັບ​ການ replicated ໃນ​ກຸ່ມ​.

ແຄສ Infinispan

ກອງປະຊຸມ - ແນວຄວາມຄິດໃນ Keycloak, ຖານຄວາມຈໍາແຍກຕ່າງຫາກເອີ້ນວ່າ authenticationSessions, ຖືກນໍາໃຊ້ເພື່ອເກັບຮັກສາຂໍ້ມູນຂອງຜູ້ໃຊ້ສະເພາະ. ການຮ້ອງຂໍຈາກຖານຄວາມຈໍາເຫຼົ່ານີ້ແມ່ນຕ້ອງການໂດຍຕົວທ່ອງເວັບແລະເຄື່ອງແມ່ຂ່າຍຂອງ Keycloak, ບໍ່ແມ່ນໂດຍແອັບພລິເຄຊັນ. ນີ້ແມ່ນບ່ອນທີ່ການເພິ່ງພາອາໄສຂອງເຊດຊັນຫນຽວເຂົ້າມາ, ແລະ cache ດັ່ງກ່າວເອງບໍ່ຈໍາເປັນຕ້ອງຖືກ replicated, ເຖິງແມ່ນວ່າໃນກໍລະນີຂອງໂຫມດ Active-Active.

Action Token. ແນວຄວາມຄິດອື່ນ, ປົກກະຕິແລ້ວໃຊ້ສໍາລັບສະຖານະການຕ່າງໆ, ຕົວຢ່າງ, ຜູ້ໃຊ້ຕ້ອງເຮັດບາງສິ່ງບາງຢ່າງ asynchronously ໂດຍທາງໄປສະນີ. ສໍາລັບຕົວຢ່າງ, ໃນໄລຍະຂະບວນການ forget password cache actionTokens ໃຊ້ເພື່ອຕິດຕາມ metadata ຂອງ tokens ທີ່ກ່ຽວຂ້ອງ - ຕົວຢ່າງ, token ໄດ້ຖືກນໍາໃຊ້ແລ້ວແລະບໍ່ສາມາດຖືກເປີດໃຊ້ອີກເທື່ອຫນຶ່ງ. ປະເພດຂອງ cache ນີ້ປົກກະຕິຕ້ອງໄດ້ຮັບການ replicated ລະຫວ່າງສູນຂໍ້ມູນ.

Caching ແລະອາຍຸຂອງຂໍ້ມູນທີ່ເກັບໄວ້ ເຮັດວຽກເພື່ອບັນເທົາການໂຫຼດໃນຖານຂໍ້ມູນ. ປະເພດຂອງ caching ນີ້ປັບປຸງປະສິດທິພາບ, ແຕ່ເພີ່ມບັນຫາທີ່ຈະແຈ້ງ. ຖ້າເຄື່ອງແມ່ຂ່າຍຂອງ Keycloak ປັບປຸງຂໍ້ມູນ, ເຄື່ອງແມ່ຂ່າຍອື່ນໆຕ້ອງໄດ້ຮັບການແຈ້ງໃຫ້ຊາບເພື່ອໃຫ້ພວກເຂົາສາມາດປັບປຸງຂໍ້ມູນໃນແຄດຂອງພວກເຂົາ. Keycloak ໃຊ້ cache ທ້ອງຖິ່ນ realms, users и authorization ສໍາລັບການເກັບຂໍ້ມູນຈາກຖານຂໍ້ມູນ.

ນອກນັ້ນຍັງມີ cache ແຍກຕ່າງຫາກ work, ເຊິ່ງ replicated ທົ່ວສູນຂໍ້ມູນທັງຫມົດ. ຕົວຂອງມັນເອງບໍ່ໄດ້ເກັບຮັກສາຂໍ້ມູນໃດໆຈາກຖານຂໍ້ມູນ, ແຕ່ໃຫ້ບໍລິການສົ່ງຂໍ້ຄວາມກ່ຽວກັບອາຍຸຂອງຂໍ້ມູນໄປຫາກຸ່ມຂອງກຸ່ມລະຫວ່າງສູນຂໍ້ມູນ. ໃນຄໍາສັບຕ່າງໆອື່ນໆ, ທັນທີທີ່ຂໍ້ມູນຖືກປັບປຸງ, Keycloak node ສົ່ງຂໍ້ຄວາມໄປຫາ nodes ອື່ນໆໃນສູນຂໍ້ມູນຂອງມັນ, ເຊັ່ນດຽວກັນກັບ nodes ໃນສູນຂໍ້ມູນອື່ນໆ. ຫຼັງຈາກໄດ້ຮັບຂໍ້ຄວາມດັ່ງກ່າວ, ແຕ່ລະ node ຈະລ້າງຂໍ້ມູນທີ່ສອດຄ້ອງກັນໃນຖານຄວາມຈໍາທ້ອງຖິ່ນຂອງມັນ.

ຊ່ວງເວລາຂອງຜູ້ໃຊ້. ແຄສທີ່ມີຊື່ sessions, clientSessions, offlineSessions и offlineClientSessions, ປົກກະຕິແລ້ວແມ່ນ replicated ລະຫວ່າງສູນຂໍ້ມູນແລະໃຫ້ບໍລິການເກັບຮັກສາຂໍ້ມູນກ່ຽວກັບກອງປະຊຸມຜູ້ໃຊ້ທີ່ມີການເຄື່ອນໄຫວໃນຂະນະທີ່ຜູ້ໃຊ້ເຮັດວຽກຢູ່ໃນຕົວທ່ອງເວັບ. cache ເຫຼົ່ານີ້ເຮັດວຽກກັບຄໍາຮ້ອງສະຫມັກການປະມວນຜົນ HTTP ຮ້ອງຂໍຈາກຜູ້ໃຊ້ສຸດທ້າຍ, ດັ່ງນັ້ນເຂົາເຈົ້າໄດ້ຖືກເຊື່ອມໂຍງກັບ sessions ຫນຽວແລະຕ້ອງໄດ້ຮັບການ replicated ລະຫວ່າງສູນຂໍ້ມູນ.

ການ​ປ້ອງ​ກັນ​ຜົນ​ບັງ​ຄັບ​ໃຊ້ Brute​. ແຄດ loginFailures ໃຊ້ເພື່ອຕິດຕາມຂໍ້ມູນຄວາມຜິດພາດໃນການເຂົ້າສູ່ລະບົບ, ເຊັ່ນວ່າຜູ້ໃຊ້ປ້ອນລະຫັດຜ່ານບໍ່ຖືກຕ້ອງຫຼາຍປານໃດ. Replication ຂອງ cache ນີ້ແມ່ນຄວາມຮັບຜິດຊອບຂອງຜູ້ບໍລິຫານ. ແຕ່ສໍາລັບການຄິດໄລ່ທີ່ຖືກຕ້ອງ, ມັນເປັນມູນຄ່າທີ່ຈະເປີດໃຊ້ການຈໍາລອງລະຫວ່າງສູນຂໍ້ມູນ. ແຕ່ໃນທາງກົງກັນຂ້າມ, ຖ້າທ່ານບໍ່ເຮັດຊ້ໍາຂໍ້ມູນນີ້, ທ່ານຈະປັບປຸງການປະຕິບັດ, ແລະຖ້າບັນຫານີ້ເກີດຂື້ນ, ການສໍາເນົາອາດຈະບໍ່ຖືກເປີດໃຊ້.

ເມື່ອເປີດຕົວກຸ່ມ Infinispan, ທ່ານຈໍາເປັນຕ້ອງເພີ່ມຄໍານິຍາມ cache ໃສ່ໄຟລ໌ການຕັ້ງຄ່າ:

<replicated-cache-configuration name="keycloak-sessions" mode="ASYNC" start="EAGER" batching="false">
</replicated-cache-configuration>

<replicated-cache name="work" configuration="keycloak-sessions" />
<replicated-cache name="sessions" configuration="keycloak-sessions" />
<replicated-cache name="offlineSessions" configuration="keycloak-sessions" />
<replicated-cache name="actionTokens" configuration="keycloak-sessions" />
<replicated-cache name="loginFailures" configuration="keycloak-sessions" />
<replicated-cache name="clientSessions" configuration="keycloak-sessions" />
<replicated-cache name="offlineClientSessions" configuration="keycloak-sessions" />

ທ່ານຕ້ອງກຳນົດຄ່າ ແລະເລີ່ມກຸ່ມ Infinispan ກ່ອນທີ່ຈະເລີ່ມກຸ່ມ Keycloak

ຫຼັງຈາກນັ້ນ, ທ່ານຈໍາເປັນຕ້ອງ configure remoteStore ສໍາລັບຖານຄວາມຈໍາ Keycloak. ເພື່ອເຮັດສິ່ງນີ້, script ແມ່ນພຽງພໍ, ເຊິ່ງແມ່ນເຮັດຄ້າຍຄືກັນກັບອັນທີ່ຜ່ານມາ, ເຊິ່ງຖືກນໍາໃຊ້ເພື່ອກໍານົດຕົວແປ. CACHE_OWNERS, ທ່ານຈໍາເປັນຕ້ອງບັນທຶກມັນໄວ້ໃນໄຟລ໌ແລະໃສ່ໃນໄດເລກະທໍລີ /opt/jboss/startup-scripts:

ເນື້ອໃນຂອງສະຄຣິບ

embed-server --server-config=standalone-ha.xml --std-out=echo
batch

echo *** Update infinispan subsystem ***
/subsystem=infinispan/cache-container=keycloak:write-attribute(name=module, value=org.keycloak.keycloak-model-infinispan)

echo ** Add remote socket binding to infinispan server **
/socket-binding-group=standard-sockets/remote-destination-outbound-socket-binding=remote-cache:add(host=${remote.cache.host:localhost}, port=${remote.cache.port:11222})

echo ** Update replicated-cache work element **
/subsystem=infinispan/cache-container=keycloak/replicated-cache=work/store=remote:add( 
    passivation=false, 
    fetch-state=false, 
    purge=false, 
    preload=false, 
    shared=true, 
    remote-servers=["remote-cache"], 
    cache=work, 
    properties={ 
        rawValues=true, 
        marshaller=org.keycloak.cluster.infinispan.KeycloakHotRodMarshallerFactory, 
        protocolVersion=${keycloak.connectionsInfinispan.hotrodProtocolVersion} 
    } 
)

/subsystem=infinispan/cache-container=keycloak/replicated-cache=work:write-attribute(name=statistics-enabled,value=true)

echo ** Update distributed-cache sessions element **
/subsystem=infinispan/cache-container=keycloak/distributed-cache=sessions/store=remote:add( 
    passivation=false, 
    fetch-state=false, 
    purge=false, 
    preload=false, 
    shared=true, 
    remote-servers=["remote-cache"], 
    cache=sessions, 
    properties={ 
        rawValues=true, 
        marshaller=org.keycloak.cluster.infinispan.KeycloakHotRodMarshallerFactory, 
        protocolVersion=${keycloak.connectionsInfinispan.hotrodProtocolVersion} 
    } 
)
/subsystem=infinispan/cache-container=keycloak/distributed-cache=sessions:write-attribute(name=statistics-enabled,value=true)

echo ** Update distributed-cache offlineSessions element **
/subsystem=infinispan/cache-container=keycloak/distributed-cache=offlineSessions/store=remote:add( 
    passivation=false, 
    fetch-state=false, 
    purge=false, 
    preload=false, 
    shared=true, 
    remote-servers=["remote-cache"], 
    cache=offlineSessions, 
    properties={ 
        rawValues=true, 
        marshaller=org.keycloak.cluster.infinispan.KeycloakHotRodMarshallerFactory, 
        protocolVersion=${keycloak.connectionsInfinispan.hotrodProtocolVersion} 
    } 
)
/subsystem=infinispan/cache-container=keycloak/distributed-cache=offlineSessions:write-attribute(name=statistics-enabled,value=true)

echo ** Update distributed-cache clientSessions element **
/subsystem=infinispan/cache-container=keycloak/distributed-cache=clientSessions/store=remote:add( 
    passivation=false, 
    fetch-state=false, 
    purge=false, 
    preload=false, 
    shared=true, 
    remote-servers=["remote-cache"], 
    cache=clientSessions, 
    properties={ 
        rawValues=true, 
        marshaller=org.keycloak.cluster.infinispan.KeycloakHotRodMarshallerFactory, 
        protocolVersion=${keycloak.connectionsInfinispan.hotrodProtocolVersion} 
    } 
)
/subsystem=infinispan/cache-container=keycloak/distributed-cache=clientSessions:write-attribute(name=statistics-enabled,value=true)

echo ** Update distributed-cache offlineClientSessions element **
/subsystem=infinispan/cache-container=keycloak/distributed-cache=offlineClientSessions/store=remote:add( 
    passivation=false, 
    fetch-state=false, 
    purge=false, 
    preload=false, 
    shared=true, 
    remote-servers=["remote-cache"], 
    cache=offlineClientSessions, 
    properties={ 
        rawValues=true, 
        marshaller=org.keycloak.cluster.infinispan.KeycloakHotRodMarshallerFactory, 
        protocolVersion=${keycloak.connectionsInfinispan.hotrodProtocolVersion} 
    } 
)
/subsystem=infinispan/cache-container=keycloak/distributed-cache=offlineClientSessions:write-attribute(name=statistics-enabled,value=true)

echo ** Update distributed-cache loginFailures element **
/subsystem=infinispan/cache-container=keycloak/distributed-cache=loginFailures/store=remote:add( 
    passivation=false, 
    fetch-state=false, 
    purge=false, 
    preload=false, 
    shared=true, 
    remote-servers=["remote-cache"], 
    cache=loginFailures, 
    properties={ 
        rawValues=true, 
        marshaller=org.keycloak.cluster.infinispan.KeycloakHotRodMarshallerFactory, 
        protocolVersion=${keycloak.connectionsInfinispan.hotrodProtocolVersion} 
    } 
)
/subsystem=infinispan/cache-container=keycloak/distributed-cache=loginFailures:write-attribute(name=statistics-enabled,value=true)

echo ** Update distributed-cache actionTokens element **
/subsystem=infinispan/cache-container=keycloak/distributed-cache=actionTokens/store=remote:add( 
    passivation=false, 
    fetch-state=false, 
    purge=false, 
    preload=false, 
    shared=true, 
    cache=actionTokens, 
    remote-servers=["remote-cache"], 
    properties={ 
        rawValues=true, 
        marshaller=org.keycloak.cluster.infinispan.KeycloakHotRodMarshallerFactory, 
        protocolVersion=${keycloak.connectionsInfinispan.hotrodProtocolVersion} 
    } 
)
/subsystem=infinispan/cache-container=keycloak/distributed-cache=actionTokens:write-attribute(name=statistics-enabled,value=true)

echo ** Update distributed-cache authenticationSessions element **
/subsystem=infinispan/cache-container=keycloak/distributed-cache=authenticationSessions:write-attribute(name=statistics-enabled,value=true)

echo *** Update undertow subsystem ***
/subsystem=undertow/server=default-server/http-listener=default:write-attribute(name=proxy-address-forwarding,value=true)

run-batch
stop-embedded-server

ຢ່າລືມຕິດຕັ້ງ JAVA_OPTS ສໍາລັບຂໍ້ Keycloak ເພື່ອດໍາເນີນການ HotRod: remote.cache.host, remote.cache.port ແລະຊື່ການບໍລິການ jboss.site.name.

ການເຊື່ອມຕໍ່ແລະເອກະສານເພີ່ມເຕີມ

• https://www.keycloak.org/docs/latest/server_installation/index.html
• https://docs.wildfly.org/17/High_Availability_Guide.html#cluster-configuration
• https://infinispan.org/docs/9.4.x/user_guide/user_guide.html
• https://hub.docker.com/r/jboss/keycloak
• https://hub.docker.com/r/jboss/infinispan

ບົດຄວາມໄດ້ຖືກແປແລະກະກຽມສໍາລັບ Habr ໂດຍພະນັກງານ ສູນ​ຝຶກ​ອົບ​ຮົມ Slurm​ — ຫຼັກ​ສູດ​ສຸມ​, ວິ​ດີ​ໂອ​ແລະ​ການ​ຝຶກ​ອົບ​ຮົມ​ບໍ​ລິ​ສັດ​ຈາກ​ຜູ້​ຊ່ຽວ​ຊານ​ປະ​ຕິ​ບັດ (Kubernetes​, DevOps​, Docker​, Ansible​, Ceph​, SRE​)

ແຫຼ່ງຂໍ້ມູນ: www.habr.com