本地可运行的Quay.io Keycloak镜像，如何在Azure容器实例中部署

以下是针对你的本地Docker Compose配置，部署到ACI时需要调整的关键配置项：

1. 配置ACR镜像拉取权限 #

你的镜像存储在Azure容器注册表（ACR）中，ACI需要具备拉取权限才能获取镜像：

• 方式一：使用ACR管理员账户
  创建ACI时通过CLI指定ACR登录信息：

  az container create --resource-group <你的资源组名> --name keycloak-aci \
    --image <你的ACR名称>.azurecr.io/keycloak:latest \
    --registry-login-server <你的ACR名称>.azurecr.io \
    --registry-username <ACR管理员用户名> \
    --registry-password <ACR管理员密码>
  

• 方式二：使用托管身份（更安全，避免硬编码密码）
  给ACI分配托管身份，并赋予该身份ACR的AcrPull角色权限，创建时指定身份ID即可。

2. 映射Keycloak管理员环境变量 #

本地Compose中的KEYCLOAK_ADMIN和KEYCLOAK_ADMIN_PASSWORD需要配置到ACI的环境变量中：

• CLI方式：

  --environment-variables KEYCLOAK_ADMIN=admin KEYCLOAK_ADMIN_PASSWORD=admin
  

• 门户方式：在ACI创建页面的“环境变量”标签下直接添加这两个键值对。

3. 传递启动命令与参数 #

本地的start-dev --import-realm启动命令需要在ACI中明确指定：

• CLI方式：

  --command-line "start-dev --import-realm"
  

• 门户方式：在“容器”标签页的“命令行”输入框中填入该命令，覆盖镜像默认启动逻辑。

4. 替换本地卷：挂载Realm配置文件 #

本地的realm.json挂载无法直接在ACI中使用，需用Azure文件共享替代：

1. 先创建Azure存储账户和文件共享，将realm.json上传到该共享中。
2. 创建ACI时挂载该共享到容器的/opt/keycloak/data/import/路径：

   --azure-file-volume-account-name <你的存储账户名> \
   --azure-file-volume-account-key <你的存储账户密钥> \
   --azure-file-volume-share-name <你的文件共享名> \
   --azure-file-volume-mount-path /opt/keycloak/data/import/
   

5. 配置端口与访问方式 #

要让Keycloak对外可访问，需指定ACI的IP类型和端口：

• CLI方式添加：

  --ip-address Public --ports 8080
  

• 注意：ACI默认分配动态公共IP，若需固定IP，需搭配Azure负载均衡器或配置静态IP资源。

6. 设置足够的资源限制 #

Keycloak运行需要最低资源保障，默认ACI资源可能不足导致启动失败，建议指定：

--cpu 1 --memory 2

（即1核CPU、2GB内存，可根据实际情况调整）

排查启动失败的常用操作 #

如果ACI容器启动失败，优先查看日志定位问题：

az container logs --resource-group <你的资源组名> --name keycloak-aci

常见问题包括：镜像拉取权限不足、文件挂载路径错误、资源不足、命令参数格式错误等。

内容的提问来源于stack exchange，提问作者Ashinsana Mayuminda