#管理 Realm

Realm 是 Keycloak 中主要的隔离单元。每个 Realm 都拥有独立的用户、客户端、角色和身份验证配置。Alauda Application Services Identity Management E1 支持通过 Admin Console 以及以声明方式通过 KeycloakRealmImport CRD 管理 Realm。

#通过 CRD 导入 Realm

KeycloakRealmImport CRD 支持以声明方式配置 Realm。创建 KeycloakRealmImport 资源时，Operator 会触发一次性导入 Job，将 Realm 配置加载到目标 Keycloak 实例中。

#操作步骤

apiVersion: k8s.keycloak.org/v2beta1
kind: KeycloakRealmImport
metadata:
  name: my-realm-import
spec:
  keycloakCRName: example-kc
  realm:
    realm: my-realm
    enabled: true
    displayName: "My Application Realm"
    registrationAllowed: false
    loginWithEmailAllowed: true
    duplicateEmailsAllowed: false
    sslRequired: external
    accessTokenLifespan: 300
    clients:
      - clientId: my-app
        enabled: true
        publicClient: true
        redirectUris:
          - "https://my-app.example.com/*"
        webOrigins:
          - "https://my-app.example.com"

kubectl apply -f realm-import.yaml -n <namespace>

检查导入状态：

kubectl get keycloakrealmimport my-realm-import -n <namespace> \
  -o jsonpath='{.status.conditions[?(@.type=="Done")].status}'

当输出为 True 时，表示 Realm 已成功导入。

#使用占位符处理 Secret

spec.placeholders 字段允许你在导入时将 Secret 值注入 Realm 配置，从而避免在 CR 中硬编码凭据：

spec:
  keycloakCRName: example-kc
  placeholders:
    CLIENT_SECRET:
      secret:
        name: my-client-secret
        key: client-secret
  realm:
    clients:
      - clientId: my-app
        secret: $(CLIENT_SECRET)

#通过 Admin Console 管理 Realm 设置

#访问 Realm 设置

1. 登录 Keycloak Admin Console。
2. 从左上角下拉菜单中选择目标 Realm。
3. 在左侧导航栏中单击 Realm Settings。

#主要 Realm 设置

#配置令牌有效期

令牌有效期控制已签发令牌保持有效的时长。较短的有效期可以提高安全性，但需要更频繁地执行令牌刷新操作。