Red Hat容器目录(RHCC)镜像无文档？生产环境镜像使用咨询

首先得明确：Red Hat Single Sign-On（RHSSO）本质就是Keycloak的商业支持版本，所以它的核心配置逻辑和你熟悉的jboss/keycloak镜像高度一致——这也是为什么很多环境变量、目录结构能直接复用的原因。你没找到RHCC镜像的文档，大概率是找错了地方，下面详细说：

1. RHCC镜像的文档在哪里？ #

RHCC（Red Hat Container Catalog）里的镜像详情页确实不会像DockerHub那样把所有配置都列出来，但Red Hat把完整的容器部署文档放在了产品官方文档库里，而不是镜像页面。你需要去对应版本的《Red Hat Single Sign-On Deployment Guide》里找“Containerized Deployment”相关章节，里面会详细说明：

• 所有支持的环境变量（和jboss/keycloak大部分兼容，比如DB_VENDOR、DB_USER、DB_PASSWORD这些核心变量完全一致）
• OpenShift上的部署最佳实践（比如使用Secret管理凭证、持久化卷配置）
• 镜像的目录结构（和jboss/keycloak基本相同，比如数据持久化路径还是/opt/jboss/keycloak/standalone/data）

2. RHCC的Red Hat SSO镜像绝非仅用于扩展 #

完全不是！这类镜像就是为生产环境打造的，相比DockerHub的jboss/keycloak，它的优势在于：

• 包含Red Hat官方的安全补丁和版本支持（关键漏洞会及时修复，且有SLA保障）
• 和OpenShift深度集成（比如支持OpenShift的OAuth身份验证、资源配额、健康检查探针的默认配置更贴合生产）
• 符合合规要求（比如RHEL基础镜像的认证，适合对合规有要求的企业环境）

3. 实际使用中的关键注意点 #

我在OpenShift生产环境部署过多个RHSSO实例，分享几个实用细节：

• 环境变量映射：RHSSO的初始管理员用户变量是SSO_ADMIN_USERNAME和SSO_ADMIN_PASSWORD，对应jboss/keycloak的KEYCLOAK_USER和KEYCLOAK_PASSWORD——部分旧版本可能还是用Keycloak的变量名，所以需要核对对应版本的文档。
• 镜像标签选择：RHCC的镜像标签是版本化的，比如redhat-sso-7/sso76-openshift-rhel8，要确保标签和你使用的RHSSO版本匹配，避免兼容性问题。
• 数据库配置：如果用OpenShift内置的数据库服务（比如PostgreSQL Operator），建议通过Secret注入数据库凭证，而不是直接设置环境变量——这也是OpenShift生产部署的最佳实践。
• 持久化配置：必须挂载/opt/jboss/keycloak/standalone/data目录到OpenShift的PersistentVolumeClaim，否则重启后数据会丢失，这个路径和jboss/keycloak完全一致。

总之，RHSSO镜像的使用逻辑和jboss/keycloak一脉相承，只是文档位置和部分细节（比如商业支持相关）不同，完全可以基于你现有的Keycloak经验快速迁移到OpenShift生产环境。

内容的提问来源于stack exchange，提问作者Ernesto Salgado