Docker Compose部署Keycloak如何实现配置永久持久化

• 数据卷挂载路径配置错误：jboss/keycloak:13.0.1 版本所有领域、客户端、用户等配置默认存储在容器内/opt/jboss/keycloak/standalone/data路径下，你当前配置将本地目录挂载到/keycloak，完全没有覆盖真实数据存储目录，容器销毁重建后数据自然全部丢失。
• 端口映射不需要永久配置：不需要长期将Keycloak的8080端口映射到宿主机，仅初始化配置阶段临时开放即可，关闭映射后不影响同网络下的Flask服务访问Keycloak。

1. 修正持久化配置 #

将Keycloak服务下错误的卷挂载替换为正确路径，优先使用Docker命名卷，避免本地目录权限适配问题。修改后的完整docker-compose.yml参考如下：

version: '2'
services:
  web:
    build: .
    ports:
      - 5000:5000
    volumes:
      - .:/app
    links:
      - keycloak:kc
    depends_on:
      - keycloak
  keycloak:
    container_name: keycloak
    image: jboss/keycloak:13.0.1
    volumes:
      # 挂载Keycloak真实数据存储目录到命名卷
      - keycloak_data:/opt/jboss/keycloak/standalone/data
    expose:
      - 8080
    environment:
      KEYCLOAK_USER: admin
      KEYCLOAK_PASSWORD: admin
# 声明持久化用的命名卷
volumes:
  keycloak_data:

如果你执意要绑定本地目录做持久化，需要提前给本地目录授予UID为1000的用户读写权限——Keycloak容器内默认以jboss用户（UID 1000）运行，权限不足会导致容器启动失败。命名卷由Docker自动维护权限，不需要手动调整，更推荐使用。

2. 临时开放端口完成初始化 #

两种方式任选其一，不需要修改长期运行配置：

• 临时修改compose文件：在keycloak服务的配置下增加ports: - "8080:8080"，执行docker-compose up -d启动服务，容器就绪后访问http://localhost:8080登录管理控制台，完成所有realm、客户端、权限规则的配置。
• 命令行临时启动：不修改原compose文件，直接执行docker-compose run -d -p 8080:8080 --name keycloak_temp keycloak启动临时实例，完成配置后删除该临时容器即可。

3. 关闭宿主机映射，恢复内部访问限制 #

所有配置完成后，执行docker-compose down停止运行中的容器：

• 如果是通过修改compose文件加的端口映射，直接删掉keycloak服务下新增的8080端口映射配置，仅保留expose: - 8080即可。
• 如果是通过临时命令启动的实例，执行docker rm -f keycloak_temp删除临时容器即可。

之后正常执行docker-compose up -d启动整套服务即可：

• Flask服务依然可以通过你配置的kc:8080别名正常访问Keycloak，服务间通信不受影响。
• 后续不管重启容器、执行up/down操作，Keycloak的所有配置都会持久化保存在Docker命名卷中，不会丢失。
• 宿主机没有绑定Keycloak的8080端口，外部无法直接访问Keycloak控制台，符合你要求的访问控制规则。

后续如果需要调整Keycloak配置，重复临时开放端口的操作即可，数据卷里的内容不会因为端口映射的增删被清空。

内容的提问来源于stack exchange，提问作者Goxo