Keycloak部署在K8s环境下如何配置将ERROR_LOG输出到自定义日志文件

Keycloak底层默认使用WildFly/Quarkus日志框架，官方镜像默认仅开启统一输出到server.log的日志处理器，需新增ERROR级别专属的文件处理器并绑定到日志根记录器，即可实现错误日志拆分存储。

方案一：通过环境变量配置（无需修改镜像，K8s场景优先使用） #

适用于Keycloak 17+ Quarkus 版本（目前官方主流镜像版本），直接在Deployment的env字段添加如下环境变量即可：

• 声明日志处理器，保留原有控制台、普通文件处理器，新增错误日志专属处理器：
  KC_LOG_HANDLERS=console,file,error-file
• 配置错误日志输出路径，可自定义为容器内任意可写路径：
  KC_LOG_ERROR_FILE_PATH=/opt/jboss/keycloak/standalone/log/error.log
• 配置错误日志处理器的级别过滤，仅输出ERROR及以上级别日志：
  KC_LOG_ERROR_FILE_LEVEL=ERROR
• （可选）配置错误日志滚动策略，避免单文件过大：
  • 单文件最大容量：KC_LOG_ERROR_FILE_ROTATION_MAX_FILE_SIZE=100M
  • 历史日志保留份数：KC_LOG_ERROR_FILE_ROTATION_MAX_BACKUP_INDEX=30

如果使用16及更早的WildFly版本Keycloak，可通过JAVA_OPTS_APPEND环境变量追加日志配置参数：
JAVA_OPTS_APPEND="-Dlogging.configuration=file:/opt/jboss/keycloak/standalone/configuration/logging.properties"

方案二：挂载自定义配置文件 #

• 本地编写对应版本的日志配置文件，Quarkus版本新增如下配置到quarkus.properties：

  # 原有普通日志配置保留
  quarkus.log.file.enable=true
  quarkus.log.file.path=/opt/jboss/keycloak/standalone/log/server.log
  quarkus.log.file.level=INFO
  # 新增错误日志专属配置
  quarkus.log.file.additional-loggers.error-log.level=ERROR
  quarkus.log.file.additional-loggers.error-log.path=/opt/jboss/keycloak/standalone/log/error.log
  quarkus.log.file.additional-loggers.error-log.format=%d{yyyy-MM-dd HH:mm:ss,SSS} %-5p [%c] (%t) %s%e%n
  

• 将配置文件通过K8s ConfigMap挂载到容器对应路径：
  • Quarkus版本：/opt/jboss/keycloak/conf/quarkus.properties
  • WildFly版本：/opt/jboss/keycloak/standalone/configuration/logging.properties
• 重启Keycloak Pod即可生效

注意事项 #

如果你将自定义日志路径挂载到了PV或者emptyDir，需要在Deployment的securityContext中配置fsGroup: 1000，确保容器默认运行用户（uid=1000）对挂载路径有写入权限。

验证方法 #

• 进入运行中的Keycloak Pod，执行ls /opt/jboss/keycloak/standalone/log，确认error.log文件已生成
• 查看error.log内容，确认仅包含ERROR及以上级别的日志记录

内容的提问来源于stack exchange，提问作者Breed 32