Keycloak Chart

Keycloak头盔表

Keycloak Helm chart与CloudNativePG（CNPG）PostgreSQL数据库和Kubernetes的MCP服务器集成。

特性

• 钥匙锁 -现代身份和访问管理解决方案
• CloudNativePG数据库 -使用CNPG运算符管理PostgreSQL
• MCP服务器侧车 -Keycloak MCP服务器，用于AI/LLM集成
• 高可用性 -支持集群的StatefulSet
• 入口 -使用证书管理器启用TLS的入口
• 普罗米修斯指标 -Prometheus操作员服务监视器
• 安全 -非根容器、安全上下文和机密管理

先决条件

• 库贝内特斯1.19+
• 头盔3.8+
• 已安装CloudNativePG操作员
• NGINX入口控制器
• 证书管理器（可选，用于TLS）
• Prometheus运算符（可选，用于度量）

安装

快速开始

# Install with default values
helm install keycloak oci://ghcr.io/robotinfra/keycloak

# Install with custom values
helm install keycloak oci://ghcr.io/robotinfra/keycloak \
  --set ingress.hosts[0].host=keycloak.example.com \
  --set ingress.tls[0].hosts[0]=keycloak.example.com

配置

关键配置选项：

# Admin credentials
admin:
  username: admin
  password: ""  # Auto-generated if empty

# Database configuration
database:
  enabled: true
  cnpg:
    instances: 3
    storage:
      size: 10Gi
      storageClass: longhorn

# MCP Server sidecar
mcpServer:
  enabled: true
  port: 8081

# Ingress
ingress:
  enabled: true
  className: nginx
  hosts:
    - host: keycloak.example.com
      paths:
        - path: /
          pathType: Prefix

# Prometheus metrics
monitoring:
  enabled: true
  serviceMonitor:
    enabled: true
    interval: 30s

看 values.yaml 对于所有配置选项。

组件

钥匙锁

该图表将Keycloak部署为StatefulSet，其中包含：

• 通过JGroups实现高可用性集群
• 健康、准备和启动探测
• 可配置的资源限制
• PostgreSQL数据库后端

CloudNativePG数据库

使用CNPG运算符来配置PostgreSQL集群：

• 多实例实现高可用性
• 自动故障转移
• 备份支持（可配置）
• Keycloak专用数据库和用户

MCP服务器侧车

可选的sidecar容器提供MCP（模型上下文协议）服务器：

• 通过MCP展示密钥斗篷管理员API
• 预配置为连接到本地Keycloak
• 默认情况下可在端口8081上访问
• 基于https://github.com/sshaaf/keycloak-mcp-server

普罗米修斯监控

启用后，为Prometheus操作员创建ServiceMonitor：

• 刮擦 /metrics 端点
• 可配置的刮擦间隔
• Keycloak公开了各种JVM和应用程序指标

访问Keycloak

安装后：

1. 获取管理员密码：

   kubectl get secret keycloak-admin -o jsonpath='{.data.password}' | base64 -d

1. 通过入口进入：

   https://keycloak.example.com

1. 访问MCP服务器（如果启用）：

   kubectl port-forward svc/keycloak 8081:8081
   # MCP server available at http://localhost:8081

数据库管理

该图表创建了一个引用PostgreSQL集群的CNPG数据库资源，该集群名为 postgresql 在 database 命名空间。确保此群集存在：

# Check CNPG cluster
kubectl get cluster -n database postgresql

# Check database status
kubectl get database keycloak-db

监控

访问Keycloak指标：

# Port-forward to access metrics
kubectl port-forward svc/keycloak 8080:8080

# View metrics
curl http://localhost:8080/metrics

如果启用ServiceMonitor，Prometheus会自动抓取指标。

升级

helm upgrade keycloak oci://ghcr.io/bclermont/keycloak-chart \
  --reuse-values \
  --set image.tag=26.0.5

卸载

helm uninstall keycloak

注： CNPG数据库将保持不变。要删除：

kubectl delete database keycloak-db

参数

看 values.yaml 查看完整的参数列表。

建筑

┌─────────────────────────────────────┐
│         Ingress (TLS)               │
│    keycloak.example.com             │
└─────────────┬───────────────────────┘
              │
┌─────────────▼───────────────────────┐
│     Keycloak Service                │
│       (ClusterIP)                   │
└─────────────┬───────────────────────┘
              │
┌─────────────▼───────────────────────┐
│    Keycloak StatefulSet             │
│  ┌───────────────────────────────┐  │
│  │  Keycloak Container           │  │
│  │  - Port 8080 (HTTP)           │  │
│  │  - Port 9000 (Health)         │  │
│  │  - Metrics enabled            │  │
│  └───────────────────────────────┘  │
│  ┌───────────────────────────────┐  │
│  │  MCP Server Container         │  │
│  │  - Port 8081                  │  │
│  │  - Connects to localhost:8080 │  │
│  └───────────────────────────────┘  │
└─────────────┬───────────────────────┘
              │
┌─────────────▼───────────────────────┐
│   CloudNativePG PostgreSQL          │
│   - 3 instances (HA)                │
│   - Auto-failover                   │
│   - Dedicated database: keycloak    │
└─────────────────────────────────────┘

故障排除

数据库连接问题

检查数据库状态：

kubectl get database keycloak-db
kubectl logs statefulset/keycloak -c keycloak

集群未形成

验证无头服务：

kubectl get svc keycloak-headless
kubectl exec keycloak-0 -- nslookup keycloak-headless

MCP服务器没有响应

检查sidecar日志：

kubectl logs statefulset/keycloak -c mcp-server

许可证

此图表按原样提供。Keycloak根据Apache License 2.0获得许可。

参考文献

• Keycloak文档
• CloudNativePG
• Keycloak MCP服务器