Guzman en 22:46 18 abr 2026

2026-04-18T22:46:26Z

Página nueva

== Instalación Keycloak en Docker ==
Instalación de [https://hub.docker.com/hardened-images/catalog/dhi/keycloak dhi.io/keycloak] en Docker.
Vamos a usar una imagen "Docker Hardened Image" (imágenes seguras, mínimas y listas para producción).

== Requisitos ==
Para poder realizar esta configuración se necesita:
* Servidor GNU Linux (ver [[Securizar Ubuntu Server]])
** Cortafuegos FirewallD (UFW tiene problemas con Docker)
* Docker Engine (ver [[Docker Engine]])
** Módulo: Docker Compose (para PRO)
* MariaDB (ver [[MariaDB]])
** Usaremos MariaDB para almacenar los datos. [https://www.keycloak.org/server/db Más información].
* Nginx (ver [[LEMP]])
* Cuenta en Docker Hub
** Necesario para acceder a Docker Hardened Image.

== Entorno de DEV ==
Como entorno de DEV se va a usar Docker Desktop.

=== Login en catálogo DHI ===
<syntaxhighlight lang="Bash">docker login dhi.io</syntaxhighlight>

=== Descargar imagen ===
Vamos a usar la imagen que es la latest a día de hoy (26.5.6).
<syntaxhighlight lang="Bash">docker pull dhi.io/keycloak:26.5</syntaxhighlight>

=== Certificados SSL ===
Para poder arrancar la Keycloak hace falta tener certificados SSL/TLS.
Nombres:
* tls.crt: Certificado Fullchain (X.509 PEM)
* tls.key: Clave RSA (PKCS#8)
'''Nota''': en DEV usaremos auto-firmados y en PRO de Let's Encrypt.

=== Crear volumen para certificados SSL ===
* Crear volumen "keycloak-certs"
<syntaxhighlight lang="Bash">docker volume create keycloak-certs</syntaxhighlight>

* Copiar certificados en el "keycloak-cert":
<syntaxhighlight lang="Bash">
cd /c/Users/guzman/Desktop/temp
docker create --name temp-copia -v keycloak-certs:/data alpine
docker cp entrardev.culturetas.net-fullchain.crt temp-copia:/data/tls.crt
docker cp entrardev.culturetas.net.key temp-copia:/data/tls.key
docker cp culturetas-root-ca.crt temp-copia:/data/ca.crt
docker rm temp-copia
</syntaxhighlight>

=== Crear base de datos para MariaDB ===
Ver [[MariaDB]] para montar la BD necesaria.

=== Ejecutar contenedor en Docker Desktop (DEV) ===
<syntaxhighlight lang="Bash">
docker run -d --name keycloak \
--hostname entrardev.culturetas.net \
--env KC_BOOTSTRAP_ADMIN_USERNAME=admin \
--env KC_BOOTSTRAP_ADMIN_PASSWORD=admin \
--env KC_HTTP_PORT=9080 \
--env KC_HTTPS_PORT=9443 \
--env KC_HTTPS_CERTIFICATE_FILE=//etc/x509/https/tls.crt \
--env KC_HTTPS_CERTIFICATE_KEY_FILE=//etc/x509/https/tls.key \
--env KC_HOSTNAME=https://localhost:9443/ \
--env KC_DB=mariadb \
--env KC_DB_URL=jdbc:mariadb://172.17.0.2:3306/keycloakdb \
--env KC_DB_USERNAME=keycloak \
--env KC_DB_PASSWORD=keycloak \
-p 127.0.0.1:9443:9443 \
-v keycloak-certs:/etc/x509/https:ro \
dhi.io/keycloak:26.5 start
</syntaxhighlight>

Nota: si se desea usar una DB H2 hay que crear un volumen para guardar persistentemente dicha DB. NO RECOMENDADO PARA PRO.
<syntaxhighlight lang="Bash">
-v keycloak-data:/opt/keycloak/data/ \
</syntaxhighlight>

=== Pruebas ===
Accedemos con un navegador web [https://localhost:9443/ https://localhost:9443/].
[[Archivo:Keycloak-DEV-Accesos.png|border|900px|none]]

== Entorno de PRO ==
En el entorno de PRO se va a desplegar transformando la configuración de Docker Desktop en fichero YAML de Docker Composer.

=== Configurar Virtual Host para Keycloak ===
* Añadir Virtual Host:
<syntaxhighlight lang="Bash">sudo -i</syntaxhighlight>
<syntaxhighlight lang="Bash">vi /etc/nginx/sites-available/entrar.culturetas.net</syntaxhighlight>
<syntaxhighlight lang="text">
###########################
# KEYCLOAK REVERSER PROXY #
###########################
server {
listen 80;
listen [::]:80;
server_name entrar.culturetas.net;
# Redirect HTTP to HTTPS
return 301 https://$host$request_uri;
}

server {
# SSL configuration
#
listen 443 ssl http2;
listen [::]:443 ssl http2;
ssl_certificate /etc/ssl/certs/selfsigned.crt;
ssl_certificate_key /etc/ssl/private/selfsigned.key;

# Root directory
root /var/www/entrar.culturetas.net;

# Add index.php to the list if you are using PHP
index index.php index.html index.htm;

server_name entrar.culturetas.net;

access_log /var/log/nginx/entrar.culturetas.net-access.log;
error_log /var/log/nginx/entrar.culturetas.net-error.log;

# Activate HSTS (HTTP Strict Transport Security)
# Note: reinclude if in a location a header is set
include snippets/hsts.conf;

# Allow favicon.ico, robots.txt, .well-known/
# Deny *.txt, *.log, .*/*.php, .*, *.json, .lock, *.ht
#include snippets/allowed.conf;
#include snippets/denied.conf;

location / {
# First attempt to serve request as file, then
# as directory, then fall back to displaying a 404.
#try_files $uri $uri/ =404;
proxy_pass https://127.0.0.1:9443;
}

location = /robots.txt {
allow all;
}

location ~* ^/.well-known/ {
allow all;
}
}
</syntaxhighlight>

* Crear carpeta para VirtualHost:
<syntaxhighlight lang="Bash">mkdir /var/www/entrar.culturetas.net</syntaxhighlight>

* Activar Virtual Host:
<syntaxhighlight lang="Bash">ln -s /etc/nginx/sites-available/entrar.culturetas.net /etc/nginx/sites-enabled/entrar.culturetas.net</syntaxhighlight>
<syntaxhighlight lang="Bash">systemctl reload nginx</syntaxhighlight>

=== Generar certificados Let's Encrypt ===
<syntaxhighlight lang="Bash">certbot --nginx</syntaxhighlight>
<syntaxhighlight lang="text">
Saving debug log to /var/log/letsencrypt/letsencrypt.log

Which names would you like to activate HTTPS for?
We recommend selecting either all domains, or all domains in a VirtualHost/server block.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
1: entrar.culturetas.net
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Select the appropriate numbers separated by commas and/or spaces, or leave input
blank to select all options shown (Enter 'c' to cancel): 1
Requesting a certificate for entrar.culturetas.net

Successfully received certificate.
Certificate is saved at: /etc/letsencrypt/live/entrar.culturetas.net/fullchain.pem
Key is saved at: /etc/letsencrypt/live/entrar.culturetas.net/privkey.pem
This certificate expires on 2026-07-17.
These files will be updated when the certificate renews.
Certbot has set up a scheduled task to automatically renew this certificate in the background.

Deploying certificate
Successfully deployed certificate for entrar.culturetas.net to /etc/nginx/sites-enabled/entrar.culturetas.net
Congratulations! You have successfully enabled HTTPS on https://entrar.culturetas.net

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
If you like Certbot, please consider supporting our work by:
* Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate
* Donating to EFF: https://eff.org/donate-le
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
</syntaxhighlight>

=== Crear BD para keycloak (MariaDB) ===

==== Conectar a la base de datos ====
Conectamos como root:
<syntaxhighlight lang="Bash">
mariadb
</syntaxhighlight>

==== Crear base de datos ====
En este ejemplo creamos una BD para keycloak:
<syntaxhighlight lang="Bash">
CREATE DATABASE keycloakdb CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;
</syntaxhighlight>

==== Crear usuario ====
En este ejemplo creamos una BD para keycloak:
<syntaxhighlight lang="Bash">
CREATE USER keycloak IDENTIFIED BY 'keycloak';
</syntaxhighlight>

==== Dar permisos a usuario en BD ====
En este ejemplo creamos una BD para keycloak:
<syntaxhighlight lang="Bash">
GRANT ALL PRIVILEGES ON keycloakdb.* TO 'keycloak';
FLUSH PRIVILEGES;
</syntaxhighlight>

==== Comprobar permisos ====
<syntaxhighlight lang="Bash">
SHOW GRANTS FOR 'keycloak';
</syntaxhighlight>
<syntaxhighlight lang="text">
+---------------------------------------------------------------------------------------------------------+
| Grants for keycloak@% |
+---------------------------------------------------------------------------------------------------------+
| GRANT USAGE ON *.* TO `keycloak`@`%` IDENTIFIED BY PASSWORD '*XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX' |
| GRANT ALL PRIVILEGES ON `keycloakdb`.* TO `keycloak`@`%` |
+---------------------------------------------------------------------------------------------------------+
</syntaxhighlight>

==== Habilitar conexiones remotas ====
El necesario que la BD tenga configurada conexiones remotas (no sólo desde localhost).
Ver documento [[LEMP|Configuración MariaDB]].

Nota: se recomienda NO exponer la base de datos a Internet. Es decir, sí habilitar las conexiones remotas, pero no abrir el puerto en los firewalls.

=== Crear carpetas para Keycloak ===
<syntaxhighlight lang="Bash">mkdir -p /opt/keycloak/data</syntaxhighlight>

=== Certificados SSL para el contenedor (auto-firmados) ===
Vamos a usar los unos certificados SSL auto-firmados para usar dentro del contenedor.
Aunque estos sean auto-firmados los finales son los que muestra Nginx (Let's Encrypt).

<syntaxhighlight lang="Bash">
mkdir -p /opt/keycloak/data/ssl
mv /tmp/entrar.culturetas.net* /opt/keycloak/data/ssl/
chown root:root /opt/keycloak/data/ssl/entrar.culturetas.net*
chmod 644 /opt/keycloak/data/ssl/entrar.culturetas.net*
</syntaxhighlight>

Nota: aunque la key no se recomienda 644 (sino 600). Keycloak no es capaz de leerlo con otros permisos.

=== Login en catálogo DHI ===
* Acceso a Docker Hub: https://app.docker.com/accounts/<user>/settings/personal-access-tokens

* Generar nuevo token
[[Archivo:Culturetas-access-token.png|border|900px|none]]

* Guardar token en lugar seguro

* Acceder a Docker
<syntaxhighlight lang="Bash">docker login -u <user> dhi.io</syntaxhighlight>
Nota: las imágenes Hardened son libres pero bajo registro.

=== Descargar imagen ===
Vamos a usar la imagen que es la latest a día de hoy (26.5.6).
<syntaxhighlight lang="Bash">docker pull dhi.io/keycloak:26.5</syntaxhighlight>

=== Generar fichero Compose YAML ===
<syntaxhighlight lang="Bash">vi /opt/keycloak/compose.yaml</syntaxhighlight>
<syntaxhighlight lang="text">
name: keycloak
services:
keycloak:
container_name: keycloak
hostname: entrar.culturetas.net
restart: unless-stopped
environment:
- KC_BOOTSTRAP_ADMIN_USERNAME=admin
- KC_BOOTSTRAP_ADMIN_PASSWORD=admin
- KC_HTTP_PORT=9080
- KC_HTTPS_PORT=9443
- KC_HTTPS_CERTIFICATE_FILE=/etc/x509/https/tls.crt
- KC_HTTPS_CERTIFICATE_KEY_FILE=/etc/x509/https/tls.key
- KC_HOSTNAME=https://entrar.culturetas.net/
- KC_DB=mariadb
- KC_DB_URL=jdbc:mariadb://135.125.179.32:3306/keycloakdb
- KC_DB_USERNAME=keycloak
- KC_DB_PASSWORD=keycloak
ports:
- 127.0.0.1:9443:9443
volumes:
- /opt/keycloak/data/ssl/entrar.culturetas.net-fullchain.crt:/etc/x509/https/tls.crt:ro
- /opt/keycloak/data/ssl/entrar.culturetas.net.key:/etc/x509/https/tls.key:ro
image: dhi.io/keycloak:26.5
command: start
</syntaxhighlight>
<syntaxhighlight lang="Bash">chmod 640 /opt/keycloak/compose.yaml</syntaxhighlight>

=== Arrancar OpenLDAP (manual) ===
<syntaxhighlight lang="Bash">cd /opt/keycloak</syntaxhighlight>
<syntaxhighlight lang="Bash">docker compose up -d</syntaxhighlight>

=== Parar OpenLDAP (manual) ===
<syntaxhighlight lang="Bash">cd /opt/keycloak</syntaxhighlight>
<syntaxhighlight lang="Bash">docker compose down</syntaxhighlight>

=== Arrancar OpenLDAP (con SystemD) ===
* Crear fichero SystemD
<syntaxhighlight lang="Bash">vi /etc/systemd/system/keycloak.service</syntaxhighlight>
<syntaxhighlight lang="text">
[Unit]
Description=KeyCloak (Docker Compose)
After=docker.service mariadb.service network-online.target
Requires=docker.service mariadb.service
Wants=network-online.target

[Service]
Type=oneshot
RemainAfterExit=yes
WorkingDirectory=/opt/keycloak
ExecStart=/usr/bin/docker compose up --detach --remove-orphans --quiet-pull
ExecStop=/usr/bin/docker compose down --remove-orphans --volumes --timeout 30
TimeoutStartSec=180
TimeoutStopSec=120
Restart=on-failure
RestartSec=7

[Install]
WantedBy=multi-user.target
</syntaxhighlight>

* Arrancar y habilitar
<syntaxhighlight lang="Bash">systemctl daemon-reload</syntaxhighlight>
<syntaxhighlight lang="Bash">systemctl start keycloak</syntaxhighlight>
<syntaxhighlight lang="Bash">systemctl enable keycloak</syntaxhighlight>

== Configuración KeyCloak ==
=== Editar Realm (master) ===
* Acceder a KeyCloak con usuario admin.
* Pulsar en "Realm settings".
* Pulsar en "General".
** Display name: culturetas.net
* Pulsar en "Email".
** From: hola@culturetas.net
** From display name: Hola Cultureta
** Host: smtp.culturetas.net
** Port: 587
** Enable StartTLS: Sí
** Authentication: Sí
** Username: hola@culturetas.net
** Password

=== Crear usuario ===
* Comprobar que estás en el realm "master".
* Pulsar en "Users" -> "Create new user".
** Username
** Email
** First name
** Last name
* Pulser en "Credentials" -> "Set password".
** Password
** Password confirmation
** Temporary: Off

== Referencias ==
* [https://hub.docker.com/hardened-images/catalog/dhi/keycloak https://hub.docker.com/hardened-images/catalog/dhi/keycloak]
* [https://www.keycloak.org/guides https://www.keycloak.org/guides]
* [https://www.keycloak.org/getting-started/getting-started-docker https://www.keycloak.org/getting-started/getting-started-docker]
* [https://www.keycloak.org/server/db https://www.keycloak.org/server/db]
* [https://www.keycloak.org/server/configuration-production https://www.keycloak.org/server/configuration-production]
* [https://www.keycloak.org/server/hostname https://www.keycloak.org/server/hostname]
* [https://www.keycloak.org/server/reverseproxy https://www.keycloak.org/server/reverseproxy]

[[Categoría:Notas]]

Keycloak - Historial de revisiones

Guzman en 22:46 18 abr 2026