#监控

Alauda Application Services Identity Management E1 提供与 Prometheus 兼容的内置指标。启用指标后，您可以在可观测性堆栈中监控 Keycloak 的运行状况、性能和使用情况。

#启用指标

通过在 Keycloak CR 中设置 metrics-enabled 选项来启用指标：

spec:
  additionalOptions:
    - name: metrics-enabled
      value: "true"

启用后，Keycloak 会在管理端口（默认：9000）上公开指标端点，该端口可通过 spec.httpManagement.port 进行配置：

• 集群内：http://<keycloak-service-name>.<namespace>:9000/metrics
• Pod 内：http://localhost:9000/metrics

管理端口与主 HTTP/HTTPS 端口分离。

#关键指标

以下类别的指标可用：

#建议的告警指标

建议从以下指标开始配置告警规则：

#配置 Prometheus 抓取

将以下抓取配置添加到 Prometheus 实例，以收集 Keycloak 指标：

scrape_configs:
  - job_name: keycloak
    static_configs:
      - targets:
          - <keycloak-service>:9000
    metrics_path: /metrics

如果使用 Prometheus Operator，请创建一个 ServiceMonitor：

apiVersion: monitoring.coreos.com/v1
kind: ServiceMonitor
metadata:
  name: keycloak-metrics
  namespace: <namespace>
spec:
  selector:
    matchLabels:
      app: keycloak
  endpoints:
    - port: management
      path: /metrics
      interval: 30s

#存活性和就绪性探针

Keycloak Operator 会自动配置存活性和就绪性探针。您可以在 Keycloak CR 中自定义探针参数：

spec:
  livenessProbe:
    periodSeconds: 10
    failureThreshold: 3
  readinessProbe:
    periodSeconds: 10
    failureThreshold: 3

探针使用 http://<pod>:9000/health/live 上的管理端点和 http://<pod>:9000/health/ready。

#健康端点

Keycloak 在管理端口上公开健康端点，用于监控和编排：

#可观测性集成

如需构建完整的可观测性堆栈，请将 Keycloak 的内置功能与集群级工具结合使用：

spec:
  tracing:
    enabled: true
    endpoint: "http://tempo.observability:4317"
    samplerType: traceidratio
    samplerRatio: 0.1

#事件审计

Keycloak 提供了内置事件系统，用于记录登录事件和管理员操作。事件可以存储在数据库中，也可以转发到外部监听器。

#启用登录事件

1. 在管理控制台中，转到 Realm Settings > Events 选项卡。
2. 在 User events settings 部分：
   • 启用 Save events。
   • 设置 Expiration 以控制事件的保留时长（例如，30 天）。
   • 选择要记录的 Event types（留空则记录所有类型）。
3. 点击 Save。

#主要登录事件类型

#启用管理员事件

1. 在 Admin events settings 部分：
   • 启用 Save events。
   • 启用 Include representation，以记录管理员操作的完整请求正文（有助于建立审计跟踪，但会增加存储使用量）。
2. 点击 Save。

管理员事件记录通过管理控制台或 Admin REST API 执行的所有操作，包括资源类型、操作类型（CREATE、UPDATE、DELETE）以及执行操作的管理员用户。

#查看事件

• 登录事件：转到 Events > User events 选项卡。可按事件类型、用户、日期范围或客户端进行筛选。
• 管理员事件：转到 Events > Admin events 选项卡。可按操作类型、资源类型或管理员用户进行筛选。

#事件监听器

事件监听器会在事件发生时对其进行处理。Keycloak 包含两个内置监听器：

在 Realm Settings > Events > Event listeners 中配置监听器。

#通过 REST API 查询事件

# Get recent login events
curl -s -H "Authorization: Bearer $ACCESS_TOKEN" \
  "https://<keycloak-host>/admin/realms/<realm>/events?type=LOGIN_ERROR&first=0&max=50"

# Get admin events
curl -s -H "Authorization: Bearer $ACCESS_TOKEN" \
  "https://<keycloak-host>/admin/realms/<realm>/admin-events?first=0&max=50"