Keycloak结合AWS Connect身份代理在ECS Fargate扩容时的SAML问题咨询

问题1：ECS Fargate扩容时能否保留容器原有状态？ #

ECS Fargate扩容时不会复用原有容器的状态，每次扩容都是基于任务定义中的镜像和配置启动全新的容器实例，底层逻辑类似执行docker run命令。默认情况下Keycloak使用嵌入式H2数据库，容器启动时会自动生成新的证书和元数据，这就是扩容后元数据不一致的根源。

要实现状态一致，必须将Keycloak的状态持久化到外部存储：

• 使用AWS RDS作为Keycloak的数据库（替代默认H2），让所有容器共享同一数据源，配置和元数据会统一存储在数据库中。
• 挂载AWS EFS到Keycloak的数据目录（比如/opt/keycloak/data），将证书、密钥等状态文件持久化到EFS，所有容器共享这些文件。

问题2：如何自定义Keycloak的SAML元数据，确保KeyName和X.509证书一致？ #

可以通过以下两种方式固定SAML元数据中的KeyName和证书：

方式1：使用预先生成的固定证书和密钥 #

1. 用OpenSSL或keytool生成长期有效的X.509证书和密钥对：

   openssl req -x509 -newkey rsa:4096 -keyout saml-private.key -out saml-public.crt -days 3650 -nodes -subj "/CN=your-saml-sp"
   

2. 将证书和密钥存储到AWS Secrets Manager或S3，通过ECS任务定义的挂载卷或环境变量加载到容器内的指定路径（比如/opt/keycloak/custom-certs/）。
3. 登录Keycloak管理控制台，找到对应的SAML客户端：
   • 进入「Keys」标签页，选择「Import」导入自定义的私钥和证书。
   • 设置固定的KeyName，同时将签名、加密的密钥配置为导入的自定义密钥。

方式2：通过启动脚本/CLI预配置元数据 #

1. 编写Keycloak启动脚本，添加CLI命令预先配置SAML客户端的密钥和元数据，示例CLI命令：

   /opt/keycloak/bin/kc.sh start --spi-saml-key-store-file=/opt/keycloak/custom-certs/saml-private.key --spi-saml-key-store-password=your-password --spi-saml-key-name=fixed-key-name
   

2. 将启动脚本打包到Keycloak镜像中，或者通过EFS挂载到容器，确保所有容器启动时执行相同的配置命令。
3. 配合外部数据库（RDS）使用，确保配置持久化，避免每次启动重新生成。

内容的提问来源于stack exchange，提问作者Felice Coppola