Déployez Keycloak en un clic

Qu’est-ce que Keycloak ?

Keycloak est un serveur de gestion des identités et des accès : vos applications lui confient la connexion, et une personne connectée une fois l’est à toutes. Il parle OpenID Connect, OAuth 2.0 et SAML 2.0, si bien que la plupart des applications et des frameworks s’y connectent avec leurs bibliothèques standard. Il connecte les gens avec un mot de passe, une clé d’accès ou un compte social comme Google ou GitHub, ajoute l’authentification à deux facteurs avec des codes à usage unique, synchronise les utilisateurs depuis LDAP et Active Directory, et laisse chaque utilisateur gérer son profil, son mot de passe et ses sessions dans sa console Compte.

Keycloak est un projet en incubation de la Cloud Native Computing Foundation, utilisé aussi bien par des entreprises que dans des homelabs pour placer une seule connexion devant de nombreuses applications. Ce template le fait tourner en mode production avec PostgreSQL derrière le proxy, et crée l’administrateur du domaine (realm) master à partir des champs avant que Keycloak ne réponde à quiconque. Le revers : Keycloak est puissant et a beaucoup de réglages, donc un premier client demande un peu de lecture, et il tourne sur Java, qui prend plus de mémoire que la plupart des serveurs de connexion.

Hébergement de Keycloak sur Pethost

1. Vous vous connectez à Pethost avec une clé d’accès, GitHub ou Google. Pas encore de machine ? Vous choisissez une offre, et le lien attend qu’elle soit prête.
2. Nouveau projet s’ouvre sur Keycloak. Vous remplissez ce qu’il demande et cliquez sur Créer le projet : Nom d’utilisateur, Mot de passe administrateur.
3. En une minute ou deux, Keycloak tourne à sa propre adresse en HTTPS. Ses secrets sont créés au hasard, et ses données sont dans la sauvegarde nocturne.
4. C’est un projet comme les autres : vous ou votre agent pouvez le modifier, revenir à une version précédente ou le restaurer.

Questions sur Keycloak

Le fichier Docker Compose de Keycloak

Le template, c’est ce compose.yaml et les variables écrites dans le .env du projet à sa création. Pethost exécute le fichier tel qu’il est écrit.

Conteneurs : keycloak (quay.io/keycloak/keycloak:26.8), postgres (postgres:18-alpine).

Volumes, dans la sauvegarde nocturne : db.

services:
  keycloak:
    image: quay.io/keycloak/keycloak:26.8
    restart: unless-stopped
    command: start
    environment:
      KC_DB: postgres
      KC_DB_URL: jdbc:postgresql://postgres:5432/keycloak
      KC_DB_USERNAME: keycloak
      KC_DB_PASSWORD: ${POSTGRES_PASSWORD}
      KC_HOSTNAME: ${URL}
      # The proxy serves HTTPS and passes requests on over HTTP, saying in X-Forwarded-* who sent
      # them and how.
      KC_HTTP_ENABLED: "true"
      KC_PROXY_HEADERS: xforwarded
      KC_HEALTH_ENABLED: "true"
      # The administrator of the master realm is made from these at the first start, before
      # Keycloak answers anyone; Keycloak calls it temporary until a permanent one replaces it.
      KC_BOOTSTRAP_ADMIN_USERNAME: ${ADMIN_USERNAME}
      KC_BOOTSTRAP_ADMIN_PASSWORD: ${ADMIN_PASSWORD}
    depends_on:
      postgres:
        condition: service_healthy
    # The port listens before Keycloak is ready: the deploy waits for its readiness, which its
    # management port answers. The image has no curl: bash asks it.
    healthcheck:
      test: ["CMD-SHELL", "exec 3<>/dev/tcp/127.0.0.1/9000 && printf 'GET /health/ready HTTP/1.1\\r\\nHost: localhost\\r\\nConnection: close\\r\\n\\r\\n' >&3 && grep -q '\"UP\"' <&3"]
      interval: 5s
      timeout: 5s
      retries: 5
      start_period: 180s

  postgres:
    image: postgres:18-alpine
    restart: unless-stopped
    environment:
      POSTGRES_DB: keycloak
      POSTGRES_USER: keycloak
      POSTGRES_PASSWORD: ${POSTGRES_PASSWORD}
    volumes:
      - db:/var/lib/postgresql
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -h 127.0.0.1 -U keycloak -d keycloak"]
      interval: 5s
      timeout: 5s
      retries: 10
      start_period: 30s

volumes:
  db:

compose.yamlLe voir sur GitHub