Keycloak

Keycloak - open-source сервер управления доступом (IAM) и единого входа (SSO) под крылом CNCF, исторически от Red Hat. Вы поднимаете его один раз, и все ваши приложения перестают хранить пароли у себя: они аутентифицируют пользователей через Keycloak по стандартным протоколам - OpenID Connect (OIDC), OAuth 2.0 и SAML 2.0. Один вход, один каталог пользователей, одна точка для MFA и политик.

Из коробки: единый вход между приложениями, брокеринг внешних провайдеров и социальный логин (Google, GitHub, Microsoft и другие), федерация пользователей из LDAP и Active Directory, многофакторная аутентификация (TOTP/WebAuthn), самостоятельная регистрация, роли и тонкая авторизация, мультиарендность через realms. Это приватная self-hosted замена облачным Okta, Auth0 и Microsoft Entra ID: учетные записи остаются на вашем сервере, без оплаты за активных пользователей.

Если сравнивать внутри self-host: authentik - легче и проще в освоении, хорош для небольших установок; FreeIPA - про идентификацию Linux-хостов (Kerberos/LDAP/CA), другой слой. Keycloak - самый тяжелый из трех, но это корпоративный эталон app-SSO с максимумом протоколов и федерации.

Сервер Keycloak работает на Quarkus (со времен v17 старая сборка на WildFly убрана). Для боевого режима нужна база данных - здесь PostgreSQL 16 (встроенная H2 - только для dev и не переживает рестарт). Мы разворачиваем не start-dev, а именно start --optimized с преднастроенным под Postgres образом - это правильный прод-путь.

Наружу приложение слушает только localhost (порт 8080), health и метрики - на отдельном management-порту 9000. Публичный доступ - через Caddy обратным прокси с авто-TLS. Все realms, пользователи, клиенты и роли лежат в томе PostgreSQL.

1. Создать VM

   Ubuntu 24.04 с Docker. Тариф CPU4-RAM8 - JVM Keycloak любит память.

2. Задать переменные под прокси

   KC_HOSTNAME=https://ваш-домен
   KC_HTTP_ENABLED=true
   KC_PROXY_HEADERS=xforwarded
   KC_DB=postgres

   KC_HOSTNAME обязан совпадать с публичным адресом, иначе редиректы входа сломаются - это главная грабля.

3. Собрать оптимизированный образ и поднять стек

   kc.sh build            # под Postgres
   docker compose up -d   # keycloak + postgres

   Проверка готовности: curl localhost:9000/health/ready должен вернуть status: UP.

4. Закрыть TLS

   Caddy обратным прокси на :8080 - автоматический сертификат Let's Encrypt на ваш домен.

Вход проверили предметно: запросили токен у master-realm через OIDC token endpoint (grant_type=password, client_id=admin-cli, логин admin) - сервер отдал Bearer access_token. То есть админ-вход паролем сервера действительно пускает в консоль, а не просто отдает страницу входа.

Проверено на версии 26.7.0, август 2026. На новых версиях результаты могут отличаться.

Сразу после входа смените пароль администратора и заведите постоянного админа (Keycloak сам подсказывает это баннером про временного bootstrap-админа). Для своих приложений работайте в отдельном realm, а не в master. Порт 8080 наружу не публикуйте - только через обратный прокси с TLS. Включите MFA для админов.

Обновление - смена тега образа и пересборка оптимизированного образа:

docker compose pull && docker compose up -d --build

Бэкап - том PostgreSQL (это все ваши realms, пользователи и клиенты):

docker exec keycloak-postgres-1 pg_dump -U keycloak keycloak > kc-backup.sql

• Ваши приложения - подключаете как OIDC/SAML-клиентов, единый вход между ними.
• LDAP / Active Directory - федерация существующего каталога пользователей.
• Обратный прокси - Caddy или Nginx Proxy Manager для TLS и единого домена.
• Мониторинг - Prometheus и Grafana по метрикам Keycloak и контейнеров.