9.3. ロードバランサーまたはプロキシーの設定

手順

1. http-listener 要素に redirect-socket 属性を追加します。この値は、定義する必要のあるソケットバインディングを参照する proxy-https である必要があります。

2. 新しい socket-binding 要素を socket-binding-group 要素に追加します。

   <socket-binding-group name="standard-sockets" default-interface="public"
       port-offset="${jboss.socket.binding.port-offset:0}">
       ...
       <socket-binding name="proxy-https" port="443"/>
       ...
   </socket-binding-group>

   Copy to Clipboard Toggle word wrap

手順

1. リバースプロキシーを介してパス /auth/realms/master/.well-known/openid-configuration を開きます。

   たとえば、リバースプロキシーアドレスが https://acme.com/ の場合は、URL https://acme.com/auth/realms/master/.well-known/openid-configuration を開きます。これにより、JSON ドキュメントに Red Hat Single Sign-On の多数のエンドポイントがリストされます。

2. エンドポイントがリバースプロキシーまたはロードバランサーのアドレス (スキーム、ドメイン、ポート) で始まることを確認します。これを実行することで、Red Hat Single Sign-On が正しいエンドポイントを使用していることを確認します。

3. Red Hat Single Sign-On が要求の正しいソース IP アドレスを確認することを確認する必要があります。

   これを確認するには、無効なユーザー名とパスワードを使用して管理コンソールにログインします。これにより、以下のような警告がサーバーログに記録されます。

   08:14:21,287 WARN  XNIO-1 task-45 [org.keycloak.events] type=LOGIN_ERROR, realmId=master, clientId=security-admin-console, userId=8f20d7ba-4974-4811-a695-242c8fbd1bf8, ipAddress=X.X.X.X, error=invalid_user_credentials, auth_method=openid-connect, auth_type=code, redirect_uri=http://localhost:8080/auth/admin/master/console/?redirect_fragment=%2Frealms%2Fmaster%2Fevents-settings, code_id=a3d48b67-a439-4546-b992-e93311d6493e, username=admin

   Copy to Clipboard Toggle word wrap
4. ipAddress の値が、リバースプロキシーまたはロードバランサーの IP アドレスではなく、ログインを試みたマシンの IP アドレスであることを確認します。

1. domain.xml ファイルを編集して、新規ホストのスレーブを指定します。
2. サーバーのディストリビューションをコピーします。domain.xml ファイル、host.xml ファイル、または host-master.xml ファイルは必要ありません。また、standalone/ ディレクトリーも必要ありません。
3. host-slave.xml ファイルを編集して、コマンドラインで使用するバインドアドレスを変更するか、上書きします。

手順

1. domain.xml を開いて、新しいホストスレーブをロードバランサー設定に登録できるようにします。

2. load-balancer プロファイルの undertow 設定に移動します。reverse-proxy XML ブロック内に remote-host3 という名前の新規 host 定義を追加します。

   domain.xml reverse-proxy config

   <subsystem xmlns="urn:jboss:domain:undertow:12.0">
     ...
     <handlers>
         <reverse-proxy name="lb-handler">
            <host name="host1" outbound-socket-binding="remote-host1" scheme="ajp" path="/" instance-id="myroute1"/>
            <host name="host2" outbound-socket-binding="remote-host2" scheme="ajp" path="/" instance-id="myroute2"/>
            <host name="remote-host3" outbound-socket-binding="remote-host3" scheme="ajp" path="/" instance-id="myroute3"/>
         </reverse-proxy>
     </handlers>
     ...
   </subsystem>

   Copy to Clipboard Toggle word wrap

   output-socket-binding は、domain.xml ファイルの後半に設定された socket-binding を示す論理名です。instance-id 属性は、負荷分散時にスティッキーセッションを有効にするために cookie によってこの値が使用されるため、新規ホストに一意である必要があります。

3. load-balancer-sockets socket-binding-group に移動し、remote-host3 に outbound-socket-binding を追加します。

   この新しいバインディングは新規ホストのホストおよびポートを参照する必要があります。

   domain.xml outbound-socket-binding

   <socket-binding-group name="load-balancer-sockets" default-interface="public">
       ...
       <outbound-socket-binding name="remote-host1">
           <remote-destination host="localhost" port="8159"/>
       </outbound-socket-binding>
       <outbound-socket-binding name="remote-host2">
           <remote-destination host="localhost" port="8259"/>
       </outbound-socket-binding>
       <outbound-socket-binding name="remote-host3">
           <remote-destination host="192.168.0.5" port="8259"/>
       </outbound-socket-binding>
   </socket-binding-group>

   Copy to Clipboard Toggle word wrap