டோக்கரில் Nginx ரிவர்ஸ் ப்ராக்ஸியுடன் Keycloak v26 ஐ உள்ளமைத்தல்: பல்வேறு பகுதிகளில் உள்ள கன்சோல் சிக்கல்களைத் தீர்ப்பது

Nginx மற்றும் Docker மூலம் Keycloak Console பிழைகளை சமாளித்தல்

Nginx ரிவர்ஸ் ப்ராக்ஸி மூலம் Docker கண்டெய்னரில் Keycloak அமைப்பது பாதுகாப்பான அணுகலை நிர்வகிப்பதற்கான சக்திவாய்ந்த உள்ளமைவாக இருக்கும், ஆனால் இது சவால்கள் இல்லாமல் வராது. 🐳 Keycloak தரவுத்தளங்களை நகர்த்தும்போது அல்லது பல பகுதிகளைக் கையாளும் போது, ​​எதிர்பாராத பிழைகள் அடிக்கடி ஏற்படலாம், இது நிர்வாகிகளுக்கு குழப்பத்தை உருவாக்குகிறது.

இந்த காட்சியானது Keycloak v19.0.2 இலிருந்து Keycloak v26 க்கு இடம்பெயர்வதை விவரிக்கிறது, இதன் போது உள்நுழைந்த பிறகு அனைத்து பகுதிகளிலும் "பிழை செய்தியை கண்டறிய முடியவில்லை". Nginx பதிவுகள் மற்றும் Keycloak பிழைப் பதிவுகள் மூலம் சிக்கலைக் கண்காணிப்பது தோல்வியுற்ற HTTP கோரிக்கையைக் காட்டியது.

இதே போன்ற அமைப்புகளில், தவறாக உள்ளமைக்கப்பட்ட ப்ராக்ஸி அல்லது நெட்வொர்க்கிங் லேயர் "502 மோசமான கேட்வே" பிழைகளைத் தூண்டலாம், பொதுவாக Nginx அல்லது Docker எப்படி Keycloak க்கு கோரிக்கைகளை அனுப்புகிறது என்பதில் உள்ள சிக்கல்கள் காரணமாகும். இந்தச் சிக்கலுக்கு, ப்ராக்ஸி அமைப்புகள், சூழல் மாறிகள் அல்லது SSL உள்ளமைவுகளில் கீக்ளோக் தடையின்றிச் செயல்படுவதை உறுதிசெய்ய வேண்டியிருக்கும்.

இந்த வழிகாட்டியில், இந்தச் சிக்கலைத் தீர்ப்பதற்கான சாத்தியமான தீர்வுகளை Keycloak இல் காண்போம். முக்கிய உள்ளமைவுகளை மதிப்பாய்வு செய்வோம், பிழை பதிவுகளை பகுப்பாய்வு செய்வோம், மேலும் Docker-Nginx அமைப்பிற்குள் Keycloak ஐ நிலைப்படுத்த உதவும் குறிப்பிட்ட அமைப்புகளை ஆராய்வோம். முடிவில், இதுபோன்ற சிக்கல்களைத் தீர்ப்பது மற்றும் நிர்வாகக் கன்சோலுக்கான தடையின்றி அணுகலை உறுதிசெய்வது பற்றிய நுண்ணறிவுகளைப் பெறுவீர்கள்.

Keycloak மற்றும் Nginx கட்டமைப்பின் விரிவான முறிவு

Nginx ரிவர்ஸ் ப்ராக்ஸியின் பின்னால் Keycloak ஐ உள்ளமைப்பதற்காக நாங்கள் உருவாக்கிய ஸ்கிரிப்டுகள், Keycloak நிர்வாகி கன்சோலுக்கான பாதுகாப்பான அணுகலை ரூட்டிங் செய்வதிலும் நிர்வகிப்பதிலும் முக்கியப் பங்காற்றுகின்றன. Nginx கட்டமைப்பு கோப்பு, எடுத்துக்காட்டாக, ஒரு குறிப்பிடுகிறது அப்ஸ்ட்ரீம் Keycloak இன் பின்தள IP முகவரி மற்றும் போர்ட்டை வரையறுக்கும் தொகுதி, Nginxஐ கோரிக்கைகளை துல்லியமாக இயக்க அனுமதிக்கிறது. Keycloak சேவை வேறு நெட்வொர்க் பிரிவில் அல்லது டோக்கர் கொள்கலனில் செயல்படும் காட்சிகளுக்கு இது அவசியம். போன்ற ப்ராக்ஸி வழிமுறைகளைப் பயன்படுத்துவதன் மூலம் ப்ராக்ஸி_பாஸ், Nginx ஐ ஒரு இடைத்தரகராகச் செயல்படவும், வெளிப்புறக் கோரிக்கைகளைக் கையாளவும், அவற்றை Keycloak இன் உள் சேவை இறுதிப் புள்ளிக்கு அனுப்பவும் நாங்கள் செய்கிறோம். சுமை சமநிலை மற்றும் பாதுகாப்பான அணுகலுக்கு ரிவர்ஸ் ப்ராக்ஸிகள் தேவைப்படும் உற்பத்தி சூழல்களில் இந்த அமைப்பு பொதுவாகக் காணப்படுகிறது.

Nginx கட்டமைப்பிற்குள், பல தலைப்புகள் அமைக்கப்பட்டுள்ளன ப்ராக்ஸி_செட்_தலைப்பு Keycloak அனைத்து கிளையன்ட் தகவல்களையும் துல்லியமாக பெறுவதை உறுதி செய்வதற்கான கட்டளைகள். உதாரணமாக, எக்ஸ்-ரியல்-ஐபி மற்றும் X-Forwarded-Proto கிளையண்டின் ஐபி மற்றும் அசல் கோரிக்கை நெறிமுறையை அனுப்ப பயன்படுகிறது. துல்லியமான வழிமாற்று URLகளை உருவாக்கவும் பாதுகாப்புக் கொள்கைகளை நிர்வகிக்கவும் Keycloak இதைப் பயன்படுத்துவதால் இந்தத் தகவல் இன்றியமையாதது. இது போன்ற அமைப்புகளில் உள்ள பொதுவான பிரச்சனை தலைப்புகள் விடுபட்டுள்ளது, இது Keycloak பயனர்களை அங்கீகரிக்க அல்லது பகுதிகளை சரிபார்க்க முயற்சிக்கும் போது பிழைகளுக்கு வழிவகுக்கும். இந்த தலைப்புகளை வெளிப்படையாக வரையறுப்பதன் மூலம், கோரிக்கைகளைச் சரியாகச் செயலாக்குவதற்குத் தேவையான சூழலை Keycloak பெறுவதை நிர்வாகிகள் உறுதி செய்கிறார்கள். இந்த அணுகுமுறை கோரிக்கைகள் எவ்வாறு நிர்வகிக்கப்படுகிறது என்பதில் பாதுகாப்பு மற்றும் நிலைத்தன்மை ஆகிய இரண்டையும் மேம்படுத்துகிறது.

Keycloak க்காக நாங்கள் உருவாக்கிய Docker Compose கோப்பு, பயன்படுத்துவதன் மூலம் வரிசைப்படுத்தலை எளிதாக்குகிறது env_file அனைத்து சுற்றுச்சூழல் மாறிகளுக்கும். தரவுத்தள நற்சான்றிதழ்கள், கீக்ளோக் ஹோஸ்ட்பெயர் மற்றும் தொடர்புடைய பாதைகள் போன்ற உள்ளமைவுகளை ஏற்றுவதற்கு இது Docker கண்டெய்னரை அனுமதிக்கிறது, மேலும் இது மிகவும் பாதுகாப்பானதாகவும் மாற்றியமைக்கக்கூடியதாகவும் இருக்கும். சூழல் கோப்பைப் பயன்படுத்துவதும் நடைமுறைக்குரியது, ஏனெனில் இது டோக்கர் கம்போஸ் கோப்பிலிருந்து முக்கியமான தகவல்களைத் துண்டிக்கிறது, கடின குறியிடப்பட்ட மதிப்புகளைத் தவிர்க்கிறது. இதன் விளைவாக, தரவுத்தளங்களை மாற்றுவது அல்லது அணுகல் நற்சான்றிதழ்களை மாற்றுவது தடையற்றதாக மாறும், இது சேவைகள் அடிக்கடி புதுப்பிக்கப்படும் மாறும் சூழல்களில் குறிப்பாக பயனுள்ளதாக இருக்கும். எடுத்துக்காட்டில், சுற்றுச்சூழல் மாறி KC_PROXY_HEADERS ஆனது "xforwarded" என அமைக்கப்பட்டது, அது ப்ராக்ஸிக்குப் பின்னால் இருப்பதை Keycloak புரிந்துகொள்வதை உறுதிசெய்கிறது, அதற்கேற்ப URL உருவாக்கம் மற்றும் அமர்வு நிர்வாகத்தில் மாற்றங்களைச் செய்கிறது.

கட்டமைப்புக்கு கூடுதலாக, நாங்கள் வழங்கினோம் a பேஷ் கீக்ளோக் கிடைப்பதைச் சரிபார்க்க எளிய சுகாதாரச் சோதனையாகச் செயல்படும் ஸ்கிரிப்ட். ஸ்கிரிப்ட் பயன்படுத்துகிறது சுருட்டு கீக்ளோக் எண்ட்பாயிண்டிற்கு ஒரு HTTP கோரிக்கையைச் செயல்படுத்தி, சேவை செயல்படுவதைக் குறிக்கும் நிலைக் குறியீடு 200க்கு சமமாக உள்ளதா என்பதைச் சரிபார்க்கவும். தோல்வியுற்றால், ஸ்கிரிப்ட் Nginx கொள்கலனை மறுதொடக்கம் செய்கிறது, இது ஒரு வகையான தானியங்கு மீட்டெடுப்பை வழங்குகிறது. இயக்க நேரம் முக்கியமானதாக இருக்கும் உற்பத்திச் சூழல்களுக்கு இந்த அமைப்பு சிறந்தது, ஏனெனில் இது இணைப்புச் சிக்கல்கள் ஏற்பட்டால் சேவையை சுயமாக குணப்படுத்த உதவுகிறது. இறுதிப்புள்ளி அணுகலுக்கான பைதான் அடிப்படையிலான யூனிட் சோதனையுடன் இது போன்ற ஸ்கிரிப்ட்களைச் சோதிப்பது, கணினியின் நிலைத்தன்மையை வலுப்படுத்துகிறது, இந்த அமைப்பு சிக்கல்களை முன்கூட்டியே தெரிவிக்கும் அல்லது சரிசெய்யும் என்பதை அறிந்து நிர்வாகிகளுக்கு மன அமைதியை அளிக்கிறது. வேலையில்லா நேரத்தைக் குறைப்பதற்கும், கீக்ளோக்கிற்கு தடையற்ற அணுகலை உறுதி செய்வதற்கும் நிர்வாகத்திற்கான இந்த முன்முயற்சியான அணுகுமுறை முக்கியமானது. நிர்வாகி பணியகம்.

upstream sso-mydomain-com {
    server 10.10.0.89:8080;
}
server {
    listen 443 ssl;
    server_name sso.mydomain.com;
    location / {
        proxy_pass http://sso-mydomain-com/;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Forwarded-Host $host;
        proxy_set_header X-Forwarded-Port $server_port;
    }
    ssl_certificate /etc/nginx/ssl/sso.mydomain.com/fullchain.pem;
    ssl_certificate_key /etc/nginx/ssl/sso.mydomain.com/privkey.pem;
}
server {
    listen 8443 ssl;
    server_name sso.mydomain.com;
    error_log /usr/local/nginx/logs/sso_err.log debug;
    location / {
        proxy_pass http://sso-mydomain-com/;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Forwarded-Host $host;
        proxy_set_header X-Forwarded-Port $server_port;
    }
    ssl_certificate /etc/nginx/ssl/sso.mydomain.com/fullchain.pem;
    ssl_certificate_key /etc/nginx/ssl/sso.mydomain.com/privkey.pem;
}

version: '3.9'
services:
  keycloak:
    container_name: keycloak
    image: quay.io/keycloak/keycloak:26.0
    env_file:
      - .env
    ports:
      - "8080:8080"
    volumes:
      - /opt/keycloak/themes:/opt/keycloak/themes
      - /etc/localtime:/etc/localtime
    privileged: true
    command: start

import requests
def test_whoami_endpoint():
    url = "https://sso.mydomain.com:8443/auth/admin/master/console/whoami?currentRealm=master"
    headers = {"Content-Type": "application/json"}
    try:
        response = requests.get(url, headers=headers, verify=True)
        assert response.status_code == 200, "Expected 200 OK, got {}".format(response.status_code)
        print("Test passed: whoami endpoint accessible")
    except requests.ConnectionError:
        print("Connection error: Check Nginx reverse proxy and Keycloak availability")
    except AssertionError as e:
        print("Assertion error:", e)
# Run the test
test_whoami_endpoint()

#!/bin/bash
# Check if Keycloak is reachable via the /whoami endpoint
URL="http://10.10.0.89:8080/auth/admin/master/console/whoami"
STATUS_CODE=$(curl -s -o /dev/null -w "%{http_code}" $URL)
if [ "$STATUS_CODE" -ne 200 ]; then
    echo "Keycloak endpoint unavailable, restarting Nginx..."
    docker restart nginx
else
    echo "Keycloak endpoint is healthy."
fi

பாதுகாப்பான மற்றும் தடையற்ற தலைகீழ் ப்ராக்ஸி செயல்பாடுகளுக்கு கீக்ளோக்கை மேம்படுத்துதல்

ஒரு தலைகீழ் ப்ராக்ஸிக்கு பின்னால் Keycloak ஐ உள்ளமைக்கும் போது Nginx, அமைவு பாதுகாப்பானது, செயல்திறன் மிக்கது மற்றும் நிலையானது என்பதை உறுதிப்படுத்த பல கூடுதல் பரிசீலனைகள் உதவும். ஒரு முக்கியமான அம்சம் SSL முடித்தல் - Nginx லேயரில் HTTPS ஐக் கையாளுதல். Keycloak பொதுவாக டோக்கரில் HTTPஐக் கேட்பதால், Nginx SSL இறுதிப் புள்ளியாகச் செயல்படும், குறியாக்கத்தை ஏற்றி, Keycloakல் ஆதாரச் சுமையைக் குறைக்கும். இறுதிப் பயனர்களுக்கான பாதுகாப்பான HTTPS அணுகலைப் பராமரிக்கும் போது HTTP வழியாக Keycloak உடன் தொடர்பு கொள்ள இந்த அமைப்பு Nginx ஐ அனுமதிக்கிறது. கூடுதலாக, SSL சான்றிதழ்கள் Nginx இல் மட்டுமே சேமிக்கப்படுகின்றன, இது சான்றிதழ் நிர்வாகத்தை எளிதாக்குகிறது. லெட்ஸ் என்க்ரிப்ட் போன்ற தானியங்கு கருவிகள் புதுப்பித்தலை நெறிப்படுத்தலாம், குறிப்பாக சான்றிதழ்கள் புதுப்பிப்பாக Nginx ஐ மீண்டும் ஏற்றும் ஸ்கிரிப்ட்களுடன்.

மற்றொரு முக்கியமான காரணி சுமை சமநிலை மற்றும் அளவிடுதல் ஆகும். உதாரணமாக, டோக்கரின் நெட்வொர்க் உள்ளமைவுகளைப் பயன்படுத்தி, நிர்வாகிகள் Nginx இல் ஒரு அப்ஸ்ட்ரீம் சர்வர் குளத்தை உருவாக்கலாம், அதில் பல கீக்ளோக் கொள்கலன்கள் அடங்கும், சுமை விநியோகம் மற்றும் கிடைக்கும் தன்மையை மேம்படுத்துகிறது. தி ப்ராக்ஸி_பாஸ் பல Keycloak நிகழ்வுகளில் கோரிக்கைகளை வழியமைக்க Nginx ஐ இயக்கும் வகையில், இந்த குளத்திற்கு வழிகாட்டுதல் புள்ளிகள். இந்த அணுகுமுறை அதிக ட்ராஃபிக் சூழல்களில் நன்மை பயக்கும், ஏனெனில் இது எந்த ஒரு நிகழ்வையும் அதிகமாக விடாமல் தடுக்கிறது. கூடுதலாக, அமர்வு நிலைத்தன்மை, ஒட்டும் அமர்வுகள் என்றும் அழைக்கப்படும், பயனர்கள் அதே நிகழ்வில் இணைந்திருப்பதை உறுதிசெய்கிறது, அங்கீகாரச் சிக்கல்களைத் தவிர்க்கிறது. Nginx அல்லது Docker ஸ்கிரிப்ட்களைப் பயன்படுத்தி உடல்நலப் பரிசோதனைகள் தானியங்குபடுத்தப்படலாம், Keycloak இன் கிடைக்கும் தன்மையைக் கண்காணித்தல் மற்றும் தோல்விகள் ஏற்பட்டால் நிகழ்வுகளை மறுதொடக்கம் செய்யலாம். 🛠️

இறுதியாக, கீக்ளோக்கின் உள்ளமைக்கப்பட்ட அளவீடுகள் மற்றும் பதிவுகளை மேம்படுத்துவது கணினியைப் பராமரிக்கவும் சரிசெய்தலுக்கும் இன்றியமையாதது. ஒவ்வொரு கோரிக்கைக்கும் விரிவான பதிவுகளை Keycloak உருவாக்க முடியும், இது Nginx இன் அணுகல் பதிவுகளுடன் இணைக்கப்பட்டால், முழுமையான தணிக்கைப் பாதையை உருவாக்குகிறது. Prometheus மற்றும் Grafana போன்ற கண்காணிப்பு கருவிகள் Keycloak இன் செயல்திறன் அளவீடுகளை காட்சிப்படுத்தலாம், பயனர்களை பாதிக்கும் முன் முரண்பாடுகளின் நிர்வாகிகளை எச்சரிக்கும். Nginx இல், அமைப்பு பிழை_பதிவு செய்ய debug அமைவின் போது நிலை, உள்ளமைவு அல்லது பிணைய சிக்கல்களைக் கண்டறிவதற்கான விரிவான தகவலைப் பிடிக்கிறது. ஒன்றாக, இந்த உத்திகள் மிகவும் நெகிழக்கூடிய மற்றும் பாதுகாப்பான Keycloak வரிசைப்படுத்தலை உறுதி செய்கின்றன, இது தலைகீழ் ப்ராக்ஸிக்குப் பின்னால் நிறுவன தர அங்கீகாரத்திற்கான சிறந்த தீர்வாக அமைகிறது.