Files

T

wbsong111 e1e3926430 add-keycloakx: 실측으로 발견한 command/KC_HOSTNAME 필수값 반영

dev 클러스터 격리 네임스페이스에 실제 배포해 검증하는 과정에서 두 가지
누락을 발견했다:

1. command/args 기본값이 둘 다 빈 배열이라, 지정하지 않으면 컨테이너가
   인자 없는 kc.sh(도움말 출력, exit 0)로 끝나 CrashLoopBackOff가 된다.
2. hostname-strict 기본값이 true라 KC_HOSTNAME 을 지정하지 않으면
   "hostname is not configured" 로 기동이 실패한다.

두 값 모두 custom-values.yaml에 추가하고, BUILD-README/CUSTOM-README에
실측 근거를 남겼다. 이후 admin 부트스트랩(KC-SERVICES0077), DB 마이그레이션,
admin REST API로 realm/client 생성까지 전부 정상 동작 확인.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

2026-08-06 17:34:22 +09:00

4.5 KiB

Raw Blame History

keycloakx 배포

1. 배포 방법

1) 배포 시 주의 사항

keycloakx를 배포하려면 외부 postgresql이 필요하다(이 차트는 내장 DB를 지원하지 않는다 — 서브차트 의존성 없음).
custom-values.yaml의 database.* 를 배포된 DB 정보로 변경한다.
http.relativePath: "/" 를 지우거나 값을 바꾸지 말 것. 이 차트의 기본값은 구버전 WildFly Keycloak 호환을 위한 "/auth"다. "/"로 명시하지 않으면 Quarkus 네이티브 경로 규칙과 달라져, OIDC issuer URL(/realms/{realm})이나 admin REST API(/admin/realms/...)를 경로 접미사 없이 호출하는 소비 앱들의 연동이 조용히 깨진다.
command를 반드시 지정할 것. 차트 기본값(command: [], args: [])만으로는 컨테이너가 인자 없는 kc.sh(도움말 출력, exit 0)로 끝나 CrashLoopBackOff가 된다(실측 확인). custom-values.yaml의 command: ["/opt/keycloak/bin/kc.sh", "start"]를 유지한다.
extraEnv에 KC_HOSTNAME을 반드시 지정할 것. 미지정 시 hostname is not configured; either configure hostname, or set hostname-strict to false로 기동이 실패한다(실측 확인, hostname-strict 기본값 true).

2) 배포 방법

git clone https://github.com/paasup/dip-catalog.git
cd manifests/helm/keycloakx/7.2.2
helm upgrade keycloak ./ -f custom-values.yaml --install -n platform --create-namespace

2. custom-values.yaml 설명

1) pod 설정

Name	설명	기본값
`image.repository`/`image.tag`	오프라인 설치 시에는 사설 미러 레지스트리로 변경.	`quay.io/keycloak/keycloak:26.6.4`
`resources`	keycloak pod의 자원 설정.	`custom-values.yaml 참조`

2) Postgresql 연동 설정

database.* 구조화 필드를 사용한다(구버전 keycloak 차트의 DB_VENDOR/DB_ADDR 같은 extraEnv 방식이 아니다).

database:
  vendor: postgres
  hostname: keycloak-postgresql   # 배포된 DB 서비스명으로 변경
  port: 5432
  database: keycloak
  username: keycloak
  existingSecret: keycloak-db     # kubernetes.io/basic-auth 시크릿 이름
  existingSecretKey: password     # 시크릿 안의 비밀번호 키 (기본값 "password")

extraEnv: |
  - name: KC_HOSTNAME              # 필수 — 미지정 시 hostname-strict 검증으로 기동 실패
    value: keycloak.example.org
  - name: KC_DB_SCHEMA             # public 이 아닌 전용 스키마를 쓸 때 지정
    value: keycloak
  - name: KC_BOOTSTRAP_ADMIN_USERNAME
    value: admin
  - name: KC_BOOTSTRAP_ADMIN_PASSWORD
    value: Paasadm1234!
  - name: TZ
    value: Asia/Seoul

existingSecret으로 지정한 시크릿은 미리 생성해야 한다(이 차트는 시크릿을 만들어주지 않고 참조만 한다):

kubectl create secret generic keycloak-db \
  --type=kubernetes.io/basic-auth \
  --from-literal=username=keycloak \
  --from-literal=password=<비밀번호> \
  -n platform

KC_BOOTSTRAP_ADMIN_USERNAME/KC_BOOTSTRAP_ADMIN_PASSWORD(Keycloak 25+ 표준 부트스트랩 메커니즘)는 master realm이 완전히 비어있는 최초 부팅에만 admin 계정을 생성한다. 재설치·재기동 시 비밀번호를 바꿔주지 않는다 — 정상 동작이다.

3) Ingress 설정

3.1) tls 시크릿 직접 생성

ingress:
  enabled: true
  ingressClassName: apisix          # 사용하는 ingress controller 클래스로 변경
  rules:
    - host: keycloak.example.org    # keycloak에서 사용할 도메인으로 변경
      paths:
        - path: /
          pathType: Prefix
  tls:
    - hosts:
        - keycloak.example.org      # keycloak에서 사용할 도메인으로 변경
      secretName: keycloak-tls

인증서를 secret으로 직접 제공하는 경우:

kubectl create secret tls keycloak-tls --cert=<path-to-cert-file> --key=<path-to-key-file> -n <namespace>

3.2) cert-manager를 이용한 자동 생성

custom-values.yaml의 ingress.annotations.cert-manager.io/cluster-issuer를 미리 배포된 ClusterIssuer 이름으로 변경한다.

ingress:
  enabled: true
  ingressClassName: apisix
  annotations:
    cert-manager.io/cluster-issuer: "root-ca-issuer"
  rules:
    - host: keycloak.example.org
      paths:
        - path: /
          pathType: Prefix
  tls:
    - hosts:
        - keycloak.example.org
      secretName: keycloak-tls

4) Proxy 설정

ingress/리버스 프록시 뒤에 배포하는 표준 구성:

proxy:
  enabled: true
  mode: forwarded

4.5 KiB Raw Blame History