logo标签列表

Docker（Spring Boot或Thorntail）和Keycloak

javadockerspring-bootkeycloakthorntail
6

我在Docker容器中运行Spring Boot和Keycloak时遇到了问题。

我首先在Docker中启动了使用MySQL作为数据库的Keycloak。

services:
  mysql:
    image: mysql:5.7
    container_name: mysql
    volumes:
      - mysql_data:/var/lib/mysql
    environment:
      MYSQL_ROOT_PASSWORD: root
      MYSQL_DATABASE: keycloak
      MYSQL_USER: keycloak
      MYSQL_PASSWORD: password
    networks:
      - testNetwork

  keycloak:
    image: jboss/keycloak
    container_name: keycloak
    restart: on-failure
    volumes:
      - ./config:/config/
    environment:
      DB_VENDOR: MYSQL
      DB_ADDR: mysql
      DB_DATABASE: keycloak
      DB_USER: keycloak
      DB_PASSWORD: password
      KEYCLOAK_USER: xxx
      KEYCLOAK_PASSWORD: yyy
      KEYCLOAK_IMPORT_REALM: /keycloak/import/realm-import.json
    ports:
      - 8180:8080
    depends_on:
      - mysql
    networks:
      - testNetwork

然后我添加了我的领域（SpringBootKeycloak），我的客户端（testclient）和一个拥有“用户”角色的用户。 之后，我将spring-security添加到我的Spring-boot应用程序中。并编辑了我的application.yml文件。

spring:
  main:
    banner-mode: 'off'
  application:
    name: testclient
    version: @project.version@
  jpa:
    hibernate:
      ddl-auto: create
  datasource:
    url: jdbc:h2:mem:testclient;DB_CLOSE_DELAY=-1;DB_CLOSE_ON_EXIT=FALSE
    username: xxx
    password: xxx
keycloak:
  auth-server-url: http://localhost:8180/auth
  realm: SpringBootKeycloak
  resource: testclient
  public-client: true
  principal-attribute: preferred_username
  security-constraints:
    - authRoles:
      - user
      securityCollections:
        - patterns:
          - /*
server:
  port: ${port:8090}
  rest:
    path: testclient

根据此，我添加了我的SecurityConfig：

  /**
   * Secure appropriate endpoints
   */
  @Override
  protected void configure(HttpSecurity http) throws Exception {
    super.configure(http);
    http.authorizeRequests()
        .antMatchers("/*").hasRole("user") // only user with role user are allowed to access
        .anyRequest().permitAll();
  }

在本地运行我的SpringBoot应用程序没有问题。我必须使用keycloak登录并被重定向到localhost:8090。但是，当我将我的SpringBoot应用程序添加到docker-compose中，并在容器中启动时，我仍需前往keycloak进行登录，但当我应该重定向时会收到403错误。

  testclient:
    image: testclient
    container_name: testclient
    environment:
      JAVA_OPTS: "-agentlib:jdwp=transport=dt_socket,address=5005,server=y,suspend=n"
    build:
      context: testclient-application
    ports:
      - 8090:8090
      - 5006:5005
    networks:
      - testNetwork

以下是容器日志：

{"@timestamp":"2018-08-16T11:50:11.530+00:00","@version":"1","message":"failed to turn code into token","logger_name":"org.keycloak.adapters.OAuthRequestAuthenticator","thread_name":"http-nio-8090-exec-6","level":"ERROR","level_value":40000,"stack_trace":"java.net.ConnectException: Connection refused (Connection refused)\n\tat java.net.PlainSocketImpl.socketConnect(Native Method)\n\tat java.net.AbstractPlainSocketImpl.doConnect(AbstractPlainSocketImpl.java:350)\n\tat java.net.AbstractPlainSocketImpl.connectToAddress(AbstractPlainSocketImpl.java:206)\n\tat java.net.AbstractPlainSocketImpl.connect(AbstractPlainSocketImpl.java:188)\n\tat java.net.SocksSocketImpl.connect(SocksSocketImpl.java:392)\n\tat java.net.Socket.connect(Socket.java:589)\n\tat org.apache.http.conn.scheme.PlainSocketFactory.connectSocket(PlainSocketFactory.java:121)\n\tat org.apache.http.impl.conn.DefaultClientConnectionOperator.openConnection(DefaultClientConnectionOperator.java:180)\n\tat org.apache.http.impl.conn.AbstractPoolEntry.open(AbstractPoolEntry.java:144)\n\tat org.apache.http.impl.conn.AbstractPooledConnAdapter.open(AbstractPooledConnAdapter.java:134)\n\tat org.apache.http.impl.client.DefaultRequestDirector.tryConnect(DefaultRequestDirector.java:610)\n\tat org.apache.http.impl.client.DefaultRequestDirector.execute(DefaultRequestDirector.java:445)\n\tat org.apache.http.impl.client.AbstractHttpClient.doExecute(AbstractHttpClient.java:835)\n\tat org.apache.http.impl.client.CloseableHttpClient.execute(CloseableHttpClient.java:83)\n\tat org.apache.http.impl.client.CloseableHttpClient.execute(CloseableHttpClient.java:108)\n\tat org.apache.http.impl.client.CloseableHttpClient.execute(CloseableHttpClient.java:56)\n\tat org.keycloak.adapters.ServerRequest.invokeAccessCodeToToken(ServerRequest.java:111)\n\tat org.keycloak.adapters.OAuthRequestAuthenticator.resolveCode(OAuthRequestAuthenticator.java:336)\n\tat org.keycloak.adapters.OAuthRequestAuthenticator.authenticate(OAuthRequestAuthenticator.java:281)\n\tat org.keycloak.adapters.RequestAuthenticator.authenticate(RequestAuthenticator.java:139)\n\tat org.keycloak.adapters.tomcat.AbstractKeycloakAuthenticatorValve.authenticateInternal(AbstractKeycloakAuthenticatorValve.java:203)\n\tat org.keycloak.adapters.tomcat.KeycloakAuthenticatorValve.authenticate(KeycloakAuthenticatorValve.java:50)\n\tat org.keycloak.adapters.tomcat.KeycloakAuthenticatorValve.doAuthenticate(KeycloakAuthenticatorValve.java:57)\n\tat org.apache.catalina.authenticator.AuthenticatorBase.invoke(AuthenticatorBase.java:575)\n\tat org.keycloak.adapters.tomcat.AbstractKeycloakAuthenticatorValve.invoke(AbstractKeycloakAuthenticatorValve.java:181)\n\tat org.apache.catalina.core.StandardHostValve.invoke(StandardHostValve.java:140)\n\tat org.apache.catalina.valves.ErrorReportValve.invoke(ErrorReportValve.java:81)\n\tat org.apache.catalina.core.StandardEngineValve.invoke(StandardEngineValve.java:87)\n\tat org.apache.catalina.connector.CoyoteAdapter.service(CoyoteAdapter.java:342)\n\tat org.apache.coyote.http11.Http11Processor.service(Http11Processor.java:800)\n\tat org.apache.coyote.AbstractProcessorLight.process(AbstractProcessorLight.java:66)\n\tat org.apache.coyote.AbstractProtocol$ConnectionHandler.process(AbstractProtocol.java:800)\n\tat org.apache.tomcat.util.net.NioEndpoint$SocketProcessor.doRun(NioEndpoint.java:1471)\n\tat org.apache.tomcat.util.net.SocketProcessorBase.run(SocketProcessorBase.java:49)\n\tat java.util.concurrent.ThreadPoolExecutor.runWorker(ThreadPoolExecutor.java:1149)\n\tat java.util.concurrent.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:624)\n\tat org.apache.tomcat.util.threads.TaskThread$WrappingRunnable.run(TaskThread.java:61)\n\tat java.lang.Thread.run(Thread.java:748)\n","app":"testclient","version":"1.0.0-SNAPSHOT"}

我无法解决这个问题...

编辑1： 还有一件事：我在Windows上运行docker。

编辑2：一个解决方案

我的工作解决方案包括以下内容：

  1. 步骤，将keycloak添加为主机

为了使事情正常工作，您需要确保将以下内容添加到您的主机文件中（/ etc / hosts在Mac / Linux上，c：\ Windows \ System32 \ Drivers \ etc \ hosts在Windows上）。

127.0.0.1 keycloak

这是因为您将使用本地机器上的浏览器（其名称为localhost或127.0.0.1）访问应用程序，但在Docker内部，它将在其自己的容器中运行，其名称为keycloak。

  1. 步骤

Docker内部端口和发布的端口需要相同：

services:
  mysql:
    image: mysql:5.7
    container_name: mysql
    volumes:
      - mysql_data:/var/lib/mysql
    environment:
      MYSQL_ROOT_PASSWORD: root
      MYSQL_DATABASE: keycloak
      MYSQL_USER: keycloak
      MYSQL_PASSWORD: password
    networks:
      - testNetwork

  keycloak:
    image: jboss/keycloak
    container_name: keycloak
    restart: on-failure
    volumes:
      - ./config:/config/
    environment:
      DB_VENDOR: MYSQL
      DB_ADDR: mysql
      DB_DATABASE: keycloak
      DB_USER: keycloak
      DB_PASSWORD: password
      KEYCLOAK_USER: xxx
      KEYCLOAK_PASSWORD: yyy
      KEYCLOAK_IMPORT_REALM: /keycloak/import/realm-import.json
    ports:
      - 8080:8080   <--- edited
    depends_on:
      - mysql
    networks:
      - testNetwork

第三步：在Spring Boot的application.yml文件中编辑keycloak定义，包括auth-server-url。
    keycloak:
  realm: SpringBootKeycloak
  auth-server-url: http://keycloak:8080/auth   <--- edited
  resource: testclient
  public-client: true
  security-constraints:
    - authRoles:
      - user
      securityCollections:
        - patterns:
          - /*
  ssl-required: external
  confidential-port: 0

这个解决方案的问题是： 你不能将Docker端口映射到另一个端口以从URL访问。 端口： - 8080:8080 我花了很多时间测试其他组合，结果是访问URL的端口必须与内部docker端口相同（在我的情况下为8080）。
编辑4： Thorntail也可以使用相同的方法。 要更改Keycloak的端口，请添加...
environment:
  JAVA_OPTS: "-Djboss.socket.binding.port-offset=10 -Xms64m -Xmx512m -XX:MetaspaceSize=96M -XX:MaxMetaspaceSize=256m
  -Djava.net.preferIPv4Stack=true -Djboss.modules.system.pkgs=org.jboss.byteman -Djava.awt.headless=true"

在docker-compose中使用keycloak。 -Djboss.socket.binding.port-offset=10设置默认端口（8080）+偏移量（10）。 其他值为keycloak的默认值。 不要忘记编辑“ports”和“auth-server-url”。
3个回答
7
我想你的问题在于 auth-server-url: http://localhost:8180/auth。当您的应用程序在 docker 容器内运行时，localhost 的含义实际上是不同的。
在容器内部，需要使用容器名称，例如keycloak。这有点棘手，因为当您从主机连接到 keycloak 时，希望使用localhost，但令牌颁发者 url 需要与请求令牌的 url 匹配（否则令牌将被拒绝），因此最终必须将keycloak放入 etc/hosts 文件中。
在解决此问题时，您不是一个人 - 我遇到过类似问题 working with Activiti。您可以找到JHipster项目以相同方式处理该问题 - 他们说：
为使其正常工作，您需要确保将以下内容添加到您的hosts文件中（Mac/Linux上为/etc/hosts，Windows上为c:\Windows\System32\Drivers\etc\hosts）。 127.0.0.1 keycloak 这是因为您将使用计算机上的浏览器（名称为localhost或127.0.0.1）访问您的应用程序，但在Docker内部，它将在自己的容器中运行，其名称为keycloak。
1
谢谢您的快速答复。我想 https://www.jhipster.tech/docker-compose/#7 解决了问题。 如上所述，我在 Windows 的 c:\Windows\System32\Drivers\etc\hosts 添加了一个主机（'127.0.0.1 keycloak'）。现在我遇到了下一个问题... 我陷入了无限重定向循环。我的有效重定向 URI 是 "http://localhost:8090/*" … 我还在继续努力解决它，但也许您可以再次这样快速帮助我 ;-) - Dagger87
2
感谢您的问题和答案！我曾经为此苦苦挣扎，一直收到连接被拒绝的错误。原因是我将8180端口映射到8080端口，但当我将8080:8080映射时，一切都开始正常工作了！再次感谢！
0
如果您想更改暴露的端口，您需要在docker-compose中修改keycloak配置：
  KC_HTTP_PORT: port_you_wanted
  KC_HTTPS_PORT: port_you_wanted
ports: 
 - "port_you_wanted:port_you_wanted"
你的回答可以通过提供更多支持信息来改进。请编辑以添加进一步的细节，例如引用或文档，以便他人可以确认你的答案是正确的。您可以在帮助中心找到有关如何编写良好答案的更多信息。 - Community
网页内容由stack overflow 提供, 点击上面的
可以查看英文原文，
原文链接