9.3. 设置负载均衡器或代理

流程

1. 将 redirect-socket 属性添加到 http-listener 元素。该值应该是 proxy-https，它指向您还需要定义的套接字绑定。

2. 在 socket-binding - group 元素中添加新的 socket-binding 元素：

   <socket-binding-group name="standard-sockets" default-interface="public"
       port-offset="${jboss.socket.binding.port-offset:0}">
       ...
       <socket-binding name="proxy-https" port="443"/>
       ...
   </socket-binding-group>

流程

1. 通过反向代理打开路径 /auth/realms/master/.well-known/openid-configuration。

   例如，如果反向代理地址是 https://acme.com/，打开 URL https://acme.com/auth/realms/master/.well-known/openid-configuration。这将显示 JSON 文档，其中列出了红帽单点登录的多个端点。

2. 确保端点以反向代理或负载均衡器的地址（scheme、domain 和 port）开头。这样做后，请确保您的 Red Hat Single Sign-On 使用正确的端点。

3. 验证 Red Hat Single Sign-On 是否看到请求的正确源 IP 地址。

   要检查这一点，您可以尝试使用无效的用户名和/或密码登录到管理控制台。这应该在服务器日志中显示如下警告：

   08:14:21,287 WARN  XNIO-1 task-45 [org.keycloak.events] type=LOGIN_ERROR, realmId=master, clientId=security-admin-console, userId=8f20d7ba-4974-4811-a695-242c8fbd1bf8, ipAddress=X.X.X.X, error=invalid_user_credentials, auth_method=openid-connect, auth_type=code, redirect_uri=http://localhost:8080/auth/admin/master/console/?redirect_fragment=%2Frealms%2Fmaster%2Fevents-settings, code_id=a3d48b67-a439-4546-b992-e93311d6493e, username=admin

4. 检查 ipAddress 的值是您试图使用 登录的机器的 IP 地址，而不是反向代理或负载均衡器的 IP 地址。

1. 编辑 domain.xml 文件以指向您的新主机从设备
2. 复制服务器分发。您不需要 domain.xml、host.xml 或 host-master.xml 文件。您不需要 standalone/ 目录。
3. 编辑 host-slave.xml 文件，以更改所用的绑定地址或在命令行中覆盖它们

流程

1. 打开 domain.xml，以便您可以使用负载均衡器配置注册新主机从设备。

2. 转到 load-balancer 配置集中的 undertow 配置。在 reverse-proxy XML 块中添加名为 remote- host 3 的新主机定义。

   domain.xml reverse-proxy 配置

   <subsystem xmlns="urn:jboss:domain:undertow:12.0">
     ...
     <handlers>
         <reverse-proxy name="lb-handler">
            <host name="host1" outbound-socket-binding="remote-host1" scheme="ajp" path="/" instance-id="myroute1"/>
            <host name="host2" outbound-socket-binding="remote-host2" scheme="ajp" path="/" instance-id="myroute2"/>
            <host name="remote-host3" outbound-socket-binding="remote-host3" scheme="ajp" path="/" instance-id="myroute3"/>
         </reverse-proxy>
     </handlers>
     ...
   </subsystem>

   output-socket-binding 是指向稍后在 domain.xml 文件中配置的 socket-binding 的逻辑名称。instance-id 属性还必须对新主机是唯一的，因为此值由 Cookie 使用，以便在负载平衡时启用粘性会话。

3. 转到 load-balancer-sockets socket-binding-group，再为 remote-host3 添加 outbound-socket-binding ：

   这个新绑定需要指向新主机的主机和端口。

   domain.xml outbound-socket-binding

   <socket-binding-group name="load-balancer-sockets" default-interface="public">
       ...
       <outbound-socket-binding name="remote-host1">
           <remote-destination host="localhost" port="8159"/>
       </outbound-socket-binding>
       <outbound-socket-binding name="remote-host2">
           <remote-destination host="localhost" port="8259"/>
       </outbound-socket-binding>
       <outbound-socket-binding name="remote-host3">
           <remote-destination host="192.168.0.5" port="8259"/>
       </outbound-socket-binding>
   </socket-binding-group>