![](/img/trans.png)
[英]How to build a Keycloak custom docker image with disabled ssl for AWS?
[英]Keycloak SSL setup using docker image
我正在尝试使用 docker 映像( https://hub.docker.com/r/jboss/keycloak/ version 4.5.0-Final)部署 keycloak 并面临设置 SSL 的问题。
根据文档
Keycloak 映像允许您指定私钥和证书以提供 HTTPS 服务。 在这种情况下,您需要提供两个文件:
tls.crt - 证书tls.key - 私钥 这些文件需要安装在 /etc/x509/https 目录中。 该映像将自动将它们转换为 Java 密钥库并重新配置 Wildfly 以使用它。
我按照给定的步骤提供了卷挂载设置,其中包含一个包含必要文件(tls.crt 和 tls.key)的文件夹,但是我遇到了 SSL 握手问题,正在获取
ERR_SSL_VERSION_OR_CIPHER_MISMATCH
错误,在尝试访问时阻止浏览器中的 keycloak 加载。
我使用 letencrypt 生成 pem 文件并使用 openssl 创建 .crt 和 .key 文件。 也试过只用 openssl 创建这些文件来缩小问题的范围,并且行为是相同的(如果这很重要的话,还有一些额外的信息)
默认情况下,当我仅指定端口绑定-p 8443:8443而不指定证书卷挂载/etc/x509/https 时,keycloak 服务器会生成自签名证书,并且我在浏览器中查看应用程序时看不到问题
我想这可能更像是一个证书创建问题,而不是特定于 keycloak 的任何问题,但是,不确定如何让它工作。 任何帮助表示赞赏
我还面临着使用jboss/keycloak Docker 映像和来自letsencrypt 的免费证书获得ERR_SSL_VERSION_OR_CIPHER_MISMATCH
错误的问题。 即使在考虑了其他评论的建议之后。 现在,我有一个可以工作(而且非常简单)的设置,它也可能对您有所帮助。
起初,我使用 certbot 为域sub.example.com
生成了我的 letencrypt 证书。 你可以找到详细的说明和替代方法获得的证书https://certbot.eff.org/在和用户指南https://certbot.eff.org/docs/using.html 。
$ sudo certbot certonly --standalone
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Plugins selected: Authenticator standalone, Installer None
Please enter in your domain name(s) (comma and/or space separated) (Enter 'c' to cancel): sub.example.com
Obtaining a new certificate
Performing the following challenges:
http-01 challenge for sub.example.com
Waiting for verification...
Cleaning up challenges
IMPORTANT NOTES:
- Congratulations! Your certificate and chain have been saved at:
/etc/letsencrypt/live/sub.example.com/fullchain.pem
Your key file has been saved at:
/etc/letsencrypt/live/sub.example.com/privkey.pem
Your cert will expire on 2020-01-27. To obtain a new or tweaked
version of this certificate in the future, simply run certbot
again. To non-interactively renew *all* of your certificates, run
"certbot renew"
我使用 docker docker-compose
通过 docker 运行 keycloak。 配置和数据文件存储在路径/srv/docker/keycloak/
。
config
包含docker-compose.yml
data/certs
包含我通过 letencrypt 生成的证书data/keycloack_db
映射到数据库容器以使其数据持久化。当我第一次遇到使用原始 letcrypt 证书作为 keycloak 的问题时,我尝试了将证书转换为另一种格式的解决方法,如先前答案的评论中所述,但也失败了。 最终,我意识到我的问题是由设置到映射证书文件的权限引起的。
因此,对我有用的只是复制和重命名 letencrypt 提供的文件,然后将它们挂载到容器中。
$ cp /etc/letsencrypt/live/sub.example.com/fullchain.pem /srv/docker/keycloak/data/certs/tls.crt
$ cp /etc/letsencrypt/live/sub.example.com/privkey.pem /srv/docker/keycloak/data/certs/tls.key
$ chmod 755 /srv/docker/keycloak/data/certs/
$ chmod 604 /srv/docker/keycloak/data/certs/*
就我而言,我需要使用我的 docker 主机的主机网络。 这不是最佳实践,您的案例不应要求这样做。 请在hub.docker.com/r/jboss/keycloak/的文档中找到有关配置参数的信息。
version: '3.7'
networks:
default:
external:
name: host
services:
keycloak:
container_name: keycloak_app
image: jboss/keycloak
depends_on:
- mariadb
restart: always
ports:
- "8080:8080"
- "8443:8443"
volumes:
- "/srv/docker/keycloak/data/certs/:/etc/x509/https" # map certificates to container
environment:
KEYCLOAK_USER: <user>
KEYCLOAK_PASSWORD: <pw>
KEYCLOAK_HTTP_PORT: 8080
KEYCLOAK_HTTPS_PORT: 8443
KEYCLOAK_HOSTNAME: sub.example.ocm
DB_VENDOR: mariadb
DB_ADDR: localhost
DB_USER: keycloak
DB_PASSWORD: <pw>
network_mode: host
mariadb:
container_name: keycloak_db
image: mariadb
volumes:
- "/srv/docker/keycloak/data/keycloak_db:/var/lib/mysql"
restart: always
environment:
MYSQL_ROOT_PASSWORD: <pw>
MYSQL_DATABASE: keycloak
MYSQL_USER: keycloak
MYSQL_PASSWORD: <pw>
network_mode: host
这就是我的最终文件和文件夹设置的样子。
$ cd /srv/docker/keycloak/
$ tree
.
├── config
│ └── docker-compose.yml
└── data
├── certs
│ ├── tls.crt
│ └── tls.key
└── keycloak_db
最后,我能够使用docker-compose
启动我的软件。
$ cd /srv/docker/keycloak/config/
$ sudo docker-compose up -d
我们可以看到容器内挂载的证书。
$ cd /srv/docker/keycloak/config/
$ sudo docker-compose up -d
我们可以仔细检查容器内安装的证书。
## open internal shell of keycloack container
$ sudo docker exec -it keycloak_app /bin/bash
## open directory of certificates
$ cd /etc/x509/https/
$ ll
-rw----r-- 1 root root 3586 Oct 30 14:21 tls.crt
-rw----r-- 1 root root 1708 Oct 30 14:20 tls.key
考虑到 docker-compose.yml 的设置,keycloak 现在可以在https://sub.example.com:8443 获得
经过一些研究,以下方法有效(对于自签名证书,我仍然需要弄清楚如何使用letsencrypt CA for prod)
使用 keytool 生成自签名证书
keytool -genkey -alias localhost -keyalg RSA -keystore keycloak.jks -validity 10950
将 .jks 转换为 .p12
keytool -importkeystore -srckeystore keycloak.jks -destkeystore keycloak.p12 -deststoretype PKCS12
从 .p12 密钥库生成 .crt
openssl pkcs12 -in keycloak.p12 -nokeys -out tls.crt
从 .p12 密钥库生成 .key
openssl pkcs12 -in keycloak.p12 -nocerts -nodes -out tls.key
然后使用 tls.crt 和 tls.key 进行卷挂载/etc/x509/https
此外,在安全应用程序上,在 keycloak.json 文件中指定以下属性
"truststore" : "path/to/keycloak.jks",
"truststore-password" : "<jks-pwd>",
对于尝试使用受密码保护的私钥文件运行 Keycloak 的任何人:
Keycloak 运行脚本/opt/jboss/tools/x509.sh
以根据/etc/x509/https
提供的文件生成密钥库,如https://hub.docker.com/r/jboss/keycloak - Setting 中所述上 TLS(SSL)。
不幸的是,这个脚本没有考虑密码。 但是在 Docker 构建时稍作修改,您可以自己修复它:在您的 Dockerfile 中添加:
RUN sed -i -e 's/-out "${KEYSTORES_STORAGE}\/${PKCS12_KEYSTORE_FILE}" \\/-out "${KEYSTORES_STORAGE}\/${PKCS12_KEYSTORE_FILE}" \\\n -passin pass:"${SERVER_KEYSTORE_PASSWORD}" \\/' /opt/jboss/tools/x509.sh
此命令修改脚本并附加参数以传入密码-passin pass:"${SERVER_KEYSTORE_PASSWORD}"
该参数的值是一个您可以自由设置的环境变量: SERVER_KEYSTORE_PASSWORD
使用 Keycloak 9.0.0 测试
声明:本站的技术帖子网页,遵循CC BY-SA 4.0协议,如果您需要转载,请注明本站网址或者原文地址。任何问题请咨询:yoyou2525@163.com.