HTTPSリクエストを行うために、サーバー証明書のホスト名を検証します。ホスト名が検証されないことを意味します。*.foo.com)が使用できるようになります。場合、CNはホスト名と正確に一致する必要があります。Keycloakをクラスターで実行させるための設定Keycloakをクラスターで実行するように設定するには、以下の操作を行います。動作モードの選択と共有データベースの設定については、本ガイドの前半で説明しました。本章では、ロードバランサーの設定、プライベート・ネットワークの提供、クラスター内のホストの起動について説明します。IPマルチキャストなしでもKeycloakをクラスター構成にすることは可能ですが、このトピックについてはこのガイドの範囲を超えています。JGroupsを参照してください。推奨ネットワーク・アーキテクチャーKeycloakをデプロイするための推奨ネットワーク・アーキテクチャーは、パブリックIPアドレスを持つHTTP/HTTPSロードバランサーを配置し、プライベート・ネットワーク上のKeycloakサーバーへのリクエストをルーティングさせます。これにより、クラスタリング接続はすべて分離され、サーバーを保護する優れた手段が提供されます。デフォルトでは、許可されていないノードがクラスターに加わり、マルチキャスト・メッセージをブロードキャストするのを防ぐものは何もありません。このため、クラスター・ノードはプライベート・ネットワーク内に置かれ、ファイアウォールによって外部の攻撃から保護される必要があります。クラスタリングの例Keycloakには、ドメインモードでそのまま利用できるクラスタリングのデモが付属しています。詳しくはクラスター構成ドメインのサンプルの章を参照してください。ロードバランサーまたはプロキシーの設定このセクションでは、クラスター構成のKeycloakの前にリバース・プロキシーまたはロードバランサーを配置するにあたって、設定が必要な項目について説明します。組み込みのロードバランサーの設定についても説明します。これはクラスター構成ドメインのサンプルでも確認できます。次の図は、ロードバランサーの使用方法を示しています。この例では、ロードバランサーは、3つのクライアントと3つのKeycloakサーバーのクラスター間のリバースプロキシーとして機能します。ロードバランサーの例の図クライアントIPアドレスの特定Keycloakのいくつかの機能は、認証サーバーに接続するHTTPクライアントのリモート・アドレスがクライアント・マシンの実際のIPアドレスであることを前提としています。例は、以下のとおりです。動的クライアント登録Keycloak認証サーバーの前にリバース・プロキシーまたはロードバランサーが置いてある場合、問題になる可能性があります。通常の設定では、パブリック・ネットワーク上にフロントエンドのプロキシーを置いています。このプロキシーはプライベート・ネットワーク内のバックエンドのKeycloakサーバー・インスタンスに負荷を分散してリクエストを転送するものです。実際のクライアントIPアドレスが転送され、Keycloakサーバー・インスタンスによって処理されるように、追加設定する必要があります。具体的には以下のとおりです。HTTPヘッダーを適切にセットするように、リバース・プロキシーまたはロードバランサーを設定します。HTTPヘッダーを保持するように、リバース・プロキシーまたはロードバランサーを設定します。ヘッダーからクライアントのIPアドレスを読み取るように、認証サーバーを設定します。HTTPヘッダーを保持する方法については、このガイドの説明範囲を超えています。ヘッダーがプロキシーによって設定されているか、特に注意して確認してください。クライアントがこのヘッダーを自身で設定して、クライアントが実際とは異なるIPアドレスから接続しているとKeycloakに認識させることができてしまいます。IPアドレスのブラックリストまたはホワイトリストを作成している場合、この設定は非常に重要です。プロキシーの他にも、いくつかKeycloak側で設定する必要があります。ヘッダーから取得するように、Keycloakを設定する必要があります。XMLブロックを検索します。