Architecture de référence¶

Vue d'ensemble¶

L'architecture de référence deploie Keycloak en mode haute disponibilité avec un clustering Infinispan, un backend PostgreSQL et un reverse proxy TLS en frontal.

graph TD
    Clients["Clients<br/>(navigateurs, services)"] -->|HTTPS 443| Proxy["Reverse Proxy<br/>(HAProxy / Traefik)<br/>TLS termination"]
    Proxy -->|HTTP 8080| KC1["Keycloak #1<br/>(Quarkus)<br/>Infinispan"]
    Proxy -->|HTTP 8080| KC2["Keycloak #2<br/>(Quarkus)<br/>Infinispan"]
    Proxy -->|HTTP 8080| KC3["Keycloak #3<br/>(Quarkus)<br/>Infinispan"]
    KC1 <--> KC2 <--> KC3
    KC1 -->|TCP 5432| PGp["PostgreSQL<br/>(primaire)"]
    KC2 --> PGp
    KC3 --> PGp
    PGp -->|replication| PGr["PostgreSQL<br/>(replica)"]

Composants¶

Keycloak (Quarkus)¶

Depuis la version 17, Keycloak utilise Quarkus comme runtime (remplacement de WildFly). Chaque instance est stateless du point de vue applicatif — l'état de session est partage via Infinispan.

Infinispan (clustering)¶

Infinispan est embarque dans Keycloak et gère le cache distribue des sessions, tokens et realms. Le clustering se configure via la découverte de pairs.

PostgreSQL¶

Backend de persistance pour les realms, utilisateurs, clients, rôles et événements.

Reverse proxy¶

Le reverse proxy termine le TLS et distribue le trafic entre les instances Keycloak.

Dimensionnement¶

Estimation des ressources¶

Regles de dimensionnement¶

• 1 instance Keycloak supporte environ 500 authentifications/seconde en mode OIDC
• La mémoire JVM doit etre ajustee : -Xms et -Xmx a 70% de la RAM allouee au conteneur
• Le nombre de connexions PostgreSQL = nombre d'instances Keycloak x 20 (pool par defaut)
• Le cache Infinispan consomme environ 100 Mo supplémentaires par 10 000 sessions actives

# Exemple de configuration JVM pour un profil moyen
KC_JAVA_OPTS: >-
  -Xms512m
  -Xmx768m
  -XX:+UseG1GC
  -XX:MaxGCPauseMillis=200
  -Djgroups.dns.query=keycloak-headless

Déploiement sur Podman¶

Architecture Podman Compose¶

graph TD
    subgraph Podman["Hote Podman"]
        KC1["Keycloak #1"] --> Net["Podman Network<br/>(keycloak-net)"]
        KC2["Keycloak #2"] --> Net
        Net --> PG["PostgreSQL"]
        Net --> Traefik["Traefik :443"]
    end

Architecture Kubernetes¶

# Composants Kubernetes
Namespace: keycloak-system
  ├── Deployment: keycloak (replicas: 3)
  ├── Service: keycloak (ClusterIP)
  ├── Service: keycloak-headless (headless, pour DNS_PING)
  ├── Ingress: keycloak (TLS termination)
  ├── ConfigMap: keycloak-config
  ├── Secret: keycloak-credentials
  ├── Secret: keycloak-db-credentials
  ├── PodDisruptionBudget: keycloak (minAvailable: 2)
  └── HorizontalPodAutoscaler: keycloak (optional)

Namespace: keycloak-db
  ├── StatefulSet: postgresql (replicas: 2)
  ├── Service: postgresql (ClusterIP)
  ├── PersistentVolumeClaim: postgresql-data
  └── Secret: postgresql-credentials

Sécurité réseau¶

Segment dedie¶

Keycloak est déployé dans un segment réseau dedie au sein de la zone Entreprise :

Network policies (Kubernetes)¶

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: keycloak-ingress
  namespace: keycloak-system
spec:
  podSelector:
    matchLabels:
      app: keycloak
  policyTypes:
    - Ingress
  ingress:
    - from: []  # Toutes les zones doivent pouvoir s'authentifier
      ports:
        - protocol: TCP
          port: 8080
    - from:
        - namespaceSelector:
            matchLabels:
              name: management
      ports:
        - protocol: TCP
          port: 9000  # Health checks et metriques

Points d'attention¶