手順

1. RHDG からのクライアント接続を認証するユーザーを作成します。以下に例を示します。

   $ bin/cli.sh user create myuser -p "qwer1234!"

   注記

   Red Hat Single Sign-On でリモートキャッシュを作成する際に、Hot Rod クライアント設定でこれらの認証情報を指定します。

2. 以下のように、SSL キーストアおよびトラストストアを作成し、RHDG と Red Hat Single Sign-On 間の接続を保護します。

   1. キーストアを作成して、RHDG クラスターに SSL アイデンティティーを提供します。

      keytool -genkey -alias server -keyalg RSA -keystore server.jks -keysize 2048

   2. キーストアから SSL 証明書をエクスポートします。

      keytool -exportcert -keystore server.jks -alias server -file server.crt

   3. Red Hat Single Sign-On が使用可能なトラストストアに SSL 証明書をインポートして、RHDG の SSL アイデンティティーを確認します。

      keytool -importcert -keystore truststore.jks -alias server -file server.crt

   4. server.crt を削除します。

      rm server.crt

手順

1. infinispan.xml を開いて編集します。

   デフォルトでは、RHDG Server は、クラスタートランスポートやセキュリティーメカニズムなどの静的設定に server/conf/infinispan.xml を使用します。

2. TCPPING をクラスター検出プロトコルとして使用するスタックを作成します。

   <stack name="global-cluster" extends="tcp">
       <!-- Remove MPING protocol from the stack and add TCPPING -->
       <TCPPING initial_hosts="server1[7800],server2[7800]" 1
                stack.combine="REPLACE" stack.position="MPING"/>
   </stack>

   1

   server1 および server2 のホスト名を一覧表示します。

3. データセンター間のレプリケーションを実行するように RHDG クラスタートランスポートを設定します。

   1. RELAY2 プロトコルを JGroups スタックに追加します。

      <jgroups>
         <stack name="xsite" extends="udp"> 1
            <relay.RELAY2 site="site1" 2
                          max_site_masters="1000"/> 3
            <remote-sites default-stack="global-cluster"> 4
               <remote-site name="site1"/>
               <remote-site name="site2"/>
            </remote-sites>
         </stack>
      </jgroups>

      1

      デフォルトの UDP クラスタートランスポート を拡張する xsite という名前のスタックを作成します。

      2

      RELAY2 プロトコルを追加し、設定しているクラスターに site1 という名前を付けます。サイト名は、各 RHDG クラスターに固有のものである必要があります。

      3

      クラスターのリレーノードの数として 1000 を設定します。RHDG クラスターのノードの最大数と同じか、それより大きい値を設定する必要があります。

      4

      RHDG データを使用してキャッシュをバックアップするすべての RHDG クラスターに名前を付け、クラスター間転送にデフォルトの TCP スタックを使用します。

   2. スタックを使用するように RHDG クラスタートランスポートを設定します。

      <cache-container name="default" statistics="true">
            <transport cluster="${infinispan.cluster.name:cluster}"
                       stack="xsite"/> 1
      </cache-container>

      1

      クラスターに xsite スタックを使用します。

4. サーバーセキュリティーレルムでキーストアを SSL アイデンティティーとして設定します。

   <server-identities>
     <ssl>
       <keystore path="server.jks" 1
                 relative-to="infinispan.server.config.path"
                 keystore-password="password" 2
                 alias="server" /> 3
     </ssl>
   </server-identities>

   1

   SSL アイデンティティーが含まれるキーストアのパスを指定します。

   2

   キーストアにアクセスするためのパスワードを指定します。

   3

   キーストア内の証明書のエイリアスに名前を付けます。

5. Hot Rod エンドポイントの認証メカニズムを設定します。

   <endpoints socket-binding="default">
      <hotrod-connector name="hotrod">
         <authentication>
            <sasl mechanisms="SCRAM-SHA-512" 1
                  server-name="infinispan" /> 2
         </authentication>
      </hotrod-connector>
      <rest-connector name="rest"/>
   </endpoints>

   1

   Hot Rod エンドポイントの SASL 認証メカニズムを設定します。SCRAM-SHA-512 は、Hot Rod のデフォルトの SASL メカニズムです。ただし、GSSAPI など、環境に適したものなら何でも使用できます。

   2

   RHDG サーバーがクライアントに提示する名前を定義します。Red Hat Single Sign-On を設定する際に、この名前を Hot Rod クライアント設定で指定します。

6. キャッシュテンプレートを作成します。

   注記

   RHDG クラスターの各ノードの infinispan.xml にキャッシュテンプレートを追加します。

   <cache-container ... >
     <replicated-cache-configuration name="sessions-cfg" 1
                                     mode="SYNC"> 2
       <locking acquire-timeout="0" /> 3
       <backups>
         <backup site="site2" strategy="SYNC" /> 4
       </backups>
     </replicated-cache-configuration>
   </cache-container>

   1

   sessions-cfg という名前のキャッシュテンプレートを作成します。

   2

   クラスター全体でデータを同期的に複製するキャッシュを定義します。

   3

   ロック取得のタイムアウトを無効にします。

   4

   設定している RHDG クラスターのバックアップサイトに名前を付けます。

7. RHDG server1 を起動します。

   ./server.sh -c infinispan.xml -b PUBLIC_IP_ADDRESS -k PUBLIC_IP_ADDRESS -Djgroups.mcast_addr=228.6.7.10

8. RHDG server2 を起動します。

   ./server.sh -c infinispan.xml -b PUBLIC_IP_ADDRESS -k PUBLIC_IP_ADDRESS -Djgroups.mcast_addr=228.6.7.11

9. RHDG サーバーログをチェックして、クラスターがクロスサイトビューを形成していることを確認します。

   INFO  [org.infinispan.XSITE] (jgroups-5,${server.hostname}) ISPN000439: Received new x-site view: [site1]
   INFO  [org.infinispan.XSITE] (jgroups-7,${server.hostname}) ISPN000439: Received new x-site view: [site1, site2]

手順

1. キャッシュが含まれるバッチファイルを作成します。以下に例を示します。

   cat > /tmp/caches.batch<<EOF
   echo "creating caches..."
   create cache work --template=sessions-cfg
   create cache sessions --template=sessions-cfg
   create cache clientSessions --template=sessions-cfg
   create cache offlineSessions --template=sessions-cfg
   create cache offlineClientSessions --template=sessions-cfg
   create cache actionTokens --template=sessions-cfg
   create cache loginFailures --template=sessions-cfg
   echo "verifying caches"
   ls caches
   EOF

2. CLI でキャッシュを作成します。

   $ bin/cli.sh -c https://server1:11222 --trustall -f /tmp/caches.batch

   注記

   --trustall 引数の代わりに、-t 引数とトラストストアパスワードを -s 引数と共に指定できます。

3. 他のサイトでキャッシュを作成します。

手順

1. トラストストアを Red Hat Single Sign-On デプロイメントに追加します。

2. RHDG クラスターを参照するソケットバインディングを作成します。

   <outbound-socket-binding name="remote-cache"> 1
     <remote-destination host="${remote.cache.host:server_hostname}" 2
                         port="${remote.cache.port:11222}"/> 3
   </outbound-socket-binding>

   1

   ソケットバインディングに remote-cache という名前を付けます。

   2

   RHDG クラスターのホスト名を 1 つ以上指定します。

   3

   Hot Rod エンドポイントがリッスンする 11222 のポートを定義します。

3. org.keycloak.keycloak-model-infinispan モジュールを Infinispan サブシステムの keycloak キャッシュコンテナーに追加します。

   <subsystem xmlns="urn:jboss:domain:infinispan:11.0">
       <cache-container name="keycloak"
                        module="org.keycloak.keycloak-model-infinispan"/>

4. Infinispan サブシステムの work キャッシュを更新して、以下の設定が含まれるようにします。

   <replicated-cache name="work"> 1
       <remote-store cache="work" 2
                     remote-servers="remote-cache" 3
                     passivation="false"
                     fetch-state="false"
                     purge="false"
                     preload="false"
                     shared="true">
           <property name="rawValues">true</property>
           <property name="marshaller">org.keycloak.cluster.infinispan.KeycloakHotRodMarshallerFactory</property>
           <property name="infinispan.client.hotrod.auth_username">myuser</property>
           <property name="infinispan.client.hotrod.auth_password">qwer1234!</property>
           <property name="infinispan.client.hotrod.auth_realm">default</property>
           <property name="infinispan.client.hotrod.auth_server_name">infinispan</property>
           <property name="infinispan.client.hotrod.sasl_mechanism">SCRAM-SHA-512</property>
           <property name="infinispan.client.hotrod.trust_store_file_name">/path/to/truststore.jks</property>
           <property name="infinispan.client.hotrod.trust_store_type">JKS</property>
           <property name="infinispan.client.hotrod.trust_store_password">password</property>
       </remote-store>
   </replicated-cache>

   1

   RHDG 設定のキャッシュに名前を付けます。

   2

   リモート RHDG クラスター上の対応するキャッシュに名前を付けます。

   3

   remote-cache ソケットバインディングを指定します。

   上記のキャッシュ設定には、RHDG キャッシュに推奨される設定が含まれています。Hot Rod クライアント設定プロパティーは、RHDG ユーザー認証情報、SSL キーストア、およびトラストストアの詳細を指定します。

   各プロパティーの説明については、RHDG documentation を参照してください。

5. 以下のキャッシュごとに、分散キャッシュを Infinispan サブシステムに追加します。

   • セッション
   • clientSessions
   • offlineSessions
   • offlineClientSessions
   • actionTokens

   • loginFailures

     たとえば、以下の設定で sessions という名前のキャッシュを追加します。

     <distributed-cache name="sessions" 1
                        owners="1"> 2
         <remote-store cache="sessions" 3
                       remote-servers="remote-cache" 4
                       passivation="false"
                       fetch-state="false"
                       purge="false"
                       preload="false"
                       shared="true">
             <property name="rawValues">true</property>
             <property name="marshaller">org.keycloak.cluster.infinispan.KeycloakHotRodMarshallerFactory</property>
             <property name="infinispan.client.hotrod.auth_username">myuser</property>
             <property name="infinispan.client.hotrod.auth_password">qwer1234!</property>
             <property name="infinispan.client.hotrod.auth_realm">default</property>
             <property name="infinispan.client.hotrod.auth_server_name">infinispan</property>
             <property name="infinispan.client.hotrod.sasl_mechanism">SCRAM-SHA-512</property>
             <property name="infinispan.client.hotrod.trust_store_file_name">/path/to/truststore.jks</property>
             <property name="infinispan.client.hotrod.trust_store_type">JKS</property>
             <property name="infinispan.client.hotrod.trust_store_password">password</property>
         </remote-store>
     </distributed-cache>

     1

     RHDG 設定のキャッシュに名前を付けます。

     2

     RHDG クラスター全体で各キャッシュエントリーの 1 つのレプリカを設定します。

     3

     リモート RHDG クラスター上の対応するキャッシュに名前を付けます。

     4

     remote-cache ソケットバインディングを指定します。

6. NODE11 を、後で NODE12、NODE21、および NODE22 と呼ばれる他の 3 つのディレクトリーにコピーします。

7. NODE11 を起動します。

   cd NODE11/bin
   ./standalone.sh -c standalone-ha.xml -Djboss.node.name=node11 -Djboss.site.name=site1 \
     -Djboss.default.multicast.address=234.56.78.1 -Dremote.cache.host=server1 \
     -Djava.net.preferIPv4Stack=true -b PUBLIC_IP_ADDRESS

   ログで以下の警告メッセージに気づいた場合は、無視しても問題ありません。

   WARN  [org.infinispan.CONFIG] (MSC service thread 1-5) ISPN000292: Unrecognized attribute 'infinispan.client.hotrod.auth_password'. Please check your configuration. Ignoring!
   WARN  [org.infinispan.CONFIG] (MSC service thread 1-5) ISPN000292: Unrecognized attribute 'infinispan.client.hotrod.auth_username'. Please check your configuration. Ignoring!

8. NODE12 を起動します。

   cd NODE12/bin
   ./standalone.sh -c standalone-ha.xml -Djboss.node.name=node12 -Djboss.site.name=site1 \
     -Djboss.default.multicast.address=234.56.78.1 -Dremote.cache.host=server1 \
     -Djava.net.preferIPv4Stack=true -b PUBLIC_IP_ADDRESS

   クラスターノードは接続されている必要があります。以下のような内容は、NODE11 と NODE12 の両方のログにあるはずです。

   Received new cluster view for channel keycloak: [node11|1] (2) [node11, node12]

   注記

   ログのチャネル名は異なる場合があります。

9. NODE21 を起動します。

   cd NODE21/bin
   ./standalone.sh -c standalone-ha.xml -Djboss.node.name=node21 -Djboss.site.name=site2 \
     -Djboss.default.multicast.address=234.56.78.2 -Dremote.cache.host=server2 \
     -Djava.net.preferIPv4Stack=true -b PUBLIC_IP_ADDRESS

   NODE11 および NODE12 のクラスターに接続するのではなく、別のクラスターに接続する必要があります。

   Received new cluster view for channel keycloak: [node21|0] (1) [node21]

10. NODE22 を起動します。

    cd NODE22/bin
    ./standalone.sh -c standalone-ha.xml -Djboss.node.name=node22 -Djboss.site.name=site2 \
      -Djboss.default.multicast.address=234.56.78.2 -Dremote.cache.host=server2 \
      -Djava.net.preferIPv4Stack=true -b PUBLIC_IP_ADDRESS

    NODE21 のクラスターにする必要があります。

    Received new cluster view for channel keycloak: [node21|1] (2) [node21, node22]

    注記

    ログのチャネル名は異なる場合があります。

11. テスト:

    1. http://node11:8080/auth/ にアクセスし、初期管理ユーザーを作成します。
    2. http://node11:8080/auth/admin にアクセスし、管理者として管理コンソールにログインします。
    3. 2 つ目のブラウザーを開き、http://node12:8080/auth/admin、http://node21:8080/auth/admin、または http://node22:8080/auth/admin のノードのいずれかに移動します。ログイン後、4 台のすべてのサーバーで、特定のユーザー、クライアント、またはレルムの Sessions タブで上同じセッションを確認できるはずです。
    4. ユーザーまたはレルムの変更など、Red Hat Single Sign-On の管理コンソールに変更を加えた後、その変更は 4 つのノードのいずれかですぐに表示されるはずです。キャッシュはどこでも適切に無効化する必要があります。

    5. 必要に応じて server.logs を確認します。ログインまたはログアウトの後に、以下のようなメッセージがすべてのノードの NODEXY/standalone/log/server.log に追加されるはずです。

       2017-08-25 17:35:17,737 DEBUG [org.keycloak.models.sessions.infinispan.remotestore.RemoteCacheSessionListener] (Client-Listener-sessions-30012a77422542f5) Received event from remote store.
       Event 'CLIENT_CACHE_ENTRY_REMOVED', key '193489e7-e2bc-4069-afe8-f1dfa73084ea', skip 'false'

1. RHDG 7.3 サーバーをダウンロードし、選択したディレクトリーに展開します。この場所は、後の手順で SERVER1_HOME と呼ばれます。

2. JGroups サブシステムの設定で SERVER1_HOME/server/conf/infinispan-xsite.xml の内容を変更します。

   1. tcp スタックを使用する xsite チャンネルを channels 要素の下に追加します。

      <channels default="cluster">
          <channel name="cluster"/>
          <channel name="xsite" stack="tcp"/>
      </channels>

   2. udp スタックの最後に、relay 要素を追加します。このサイトは、サイトが site1 で、バックアップする他のサイトが site2 であることで設定します。

      <stack name="udp">
          ...
          <relay site="site1">
              <remote-site name="site2" channel="xsite"/>
              <property name="relay_multicasts">false</property>
          </relay>
      </stack>

   3. MPING の代わりに TCPPING プロトコルを使用するように tcp スタックを設定します。MPING 要素を削除し、これを TCPPING に置き換えます。initial_hosts 要素は ホスト server1 および server2 を指します。

      <stack name="tcp">
          <transport type="TCP" socket-binding="jgroups-tcp"/>
          <protocol type="TCPPING">
              <property name="initial_hosts">server1[7600],server2[7600]</property>
              <property name="ergonomics">false</property>
          </protocol>
          <protocol type="MERGE3"/>
          ...
      </stack>

      注記

      これは、設定をすばやく実行するための設定例にすぎません。実稼働環境では、JGroups RELAY2 に tcp スタックを使用する必要はありませんが、他のスタックを設定することはできません。たとえば、データセンター間のネットワークがマルチキャストをサポートできる場合は、デフォルトの udp スタックを使用できます。RHDG および Red Hat Single Sign-On クラスターが相互に検出できないことを確認してください。同様に、TCPPING を検出プロトコルとして使用する必要はありません。実稼働環境では、静的な性質が原因で TCPPING を使用しない可能性があります。最後に、サイト名も設定可能です。このより詳細なセットアップに関する詳しい情報は、Red Hat Single Sign-On のドキュメントの範囲外になります。詳細は、RHDG のドキュメント および JGroups のドキュメントを参照してください。

3. これを、clustered という名前の cache-container の下の SERVER1_HOME/standalone/configuration/clustered.xml に追加します。

   <cache-container name="clustered" default-cache="default" statistics="true">
           ...
           <replicated-cache-configuration name="sessions-cfg" mode="SYNC" start="EAGER" batching="false">
               <transaction mode="NON_DURABLE_XA" locking="PESSIMISTIC"/>
               <locking acquire-timeout="0" />
               <backups>
                   <backup site="site2" failure-policy="FAIL" strategy="SYNC" enabled="true">
                       <take-offline min-wait="60000" after-failures="3" />
                   </backup>
               </backups>
           </replicated-cache-configuration>
   
           <replicated-cache name="work" configuration="sessions-cfg"/>
           <replicated-cache name="sessions" configuration="sessions-cfg"/>
           <replicated-cache name="clientSessions" configuration="sessions-cfg"/>
           <replicated-cache name="offlineSessions" configuration="sessions-cfg"/>
           <replicated-cache name="offlineClientSessions" configuration="sessions-cfg"/>
           <replicated-cache name="actionTokens" configuration="sessions-cfg"/>
           <replicated-cache name="loginFailures" configuration="sessions-cfg"/>
   
   </cache-container>

   注記

   replicated-cache-configuration 内の設定オプションの詳細は、「RHDG キャッシュ設定のチューニング」 で説明されます。これには、これらのオプションのいくつかの調整に関する情報が含まれます。

4. 一部の RHDG サーバーリリースには、ネットワーク経由で保護されたキャッシュにアクセスする前に承認が必要になります。

   注記

   推奨される RHDG 7.3 サーバーを使用している場合は問題は発生せず、この手順は無視できますし、無視する必要があります。承認に関連する問題は、他のバージョンの RHDG サーバーにのみ存在する可能性があります。

   Red Hat Single Sign-On では、スクリプトを含む ___script_cache の更新が必要です。このキャッシュにアクセスするエラーが発生した場合は、以下のように clustered.xml 設定で認証を設定する必要があります。

   1. <management> セクションにセキュリティーレルムを追加します。

      <management>
          <security-realms>
              ...
              <security-realm name="AllowScriptManager">
                  <authentication>
                      <users>
                          <user username="___script_manager">
                              <password>not-so-secret-password</password>
                          </user>
                      </users>
                  </authentication>
              </security-realm>
          </security-realms>

   2. サーバーコアサブシステムで、以下のように <security> を追加します。

      <subsystem xmlns="urn:infinispan:server:core:8.4">
          <cache-container name="clustered" default-cache="default" statistics="true">
              <security>
                  <authorization>
                      <identity-role-mapper/>
                      <role name="___script_manager" permissions="ALL"/>
                  </authorization>
              </security>
              ...

   3. エンドポイントサブシステムで、認証設定を Hot Rod コネクターに追加します。

      <subsystem xmlns="urn:infinispan:server:endpoint:8.1">
          <hotrod-connector cache-container="clustered" socket-binding="hotrod">
              ...
              <authentication security-realm="AllowScriptManager">
                  <sasl mechanisms="DIGEST-MD5" qop="auth" server-name="keycloak-jdg-server">
                      <policy>
                          <no-anonymous value="false" />
                      </policy>
                  </sasl>
              </authentication>

5. 後ほど SERVER2_HOME と呼ばれる 2 つ目の場所にサーバーをコピーします。

6. SERVER2_HOME/standalone/configuration/clustered.xml で、site1 と site2 を交換します。その逆の同様です。JGroups サブシステムの relay の設定と cache-subsystem の バックアップ の設定の両方を行います。以下は例になります。

   1. relay 要素は以下のようになります。

      <relay site="site2">
          <remote-site name="site1" channel="xsite"/>
          <property name="relay_multicasts">false</property>
      </relay>

   2. backups 要素は以下のようになります。

      <backups>
        <backup site="site1" ....
        ...

      注記

      以下の PUBLIC_IP_ADDRESS は、サーバーをバインドするために使用できる IP アドレスまたはホスト名を指します。すべての RHDG サーバーおよび Red Hat Single Sign-On サーバーが異なるアドレスを使用する必要があることに注意してください。同じホスト上で稼働しているすべてのサーバーを使用した設定例の場合、すべてのサーバーが異なる管理インターフェースを使用する必要があるため、-Djboss.bind.address.management=PUBLIC_IP_ADDRESS オプションを追加する必要がある場合があります。ただし、サーバーへのリモートアクセス機能を避けるために、通常は実稼働環境でこのオプションを省略する必要があります。詳細は、『JBoss EAP Configuration Guide』を参照してください。

7. サーバー server1 を起動します。

   cd SERVER1_HOME/bin
   ./standalone.sh -c clustered.xml -Djava.net.preferIPv4Stack=true \
     -Djboss.default.multicast.address=234.56.78.99 \
     -Djboss.node.name=server1 -b PUBLIC_IP_ADDRESS

8. サーバー server2 を起動します。異なるマルチキャストアドレスがあるため、server1 と server2 サーバーが相互に直接クラスター化されず、RELAY2 プロトコルを介して接続され、TCP JGroups スタックはそれらの間の通信に使用されます。起動コマンドは、以下のようになります。

   cd SERVER2_HOME/bin
   ./standalone.sh -c clustered.xml -Djava.net.preferIPv4Stack=true \
     -Djboss.default.multicast.address=234.56.78.100 \
     -Djboss.node.name=server2 -b PUBLIC_IP_ADDRESS

9. この時点でチャンネルが機能することを確認するには、JConsole を使用して、実行中の SERVER1 または SERVER2 サーバーに接続する必要があります。MBean jgroups:type=protocol,cluster="cluster",protocol=RELAY2 およびオペレーション printRoutes を使用すると、以下のような出力が表示されるはずです。

   site1 --> _server1:site1
   site2 --> _server2:site2

   MBean jgroups:type=protocol,cluster="cluster",protocol=GMS を使用する場合は、属性メンバーに単一のメンバーのみが含まれていることが分かります。

   1. SERVER1 では、以下のようになります。

      (1) server1

   2. SERVER2 では、以下のようになります。

      (1) server2

      注記

      実稼働環境では、すべてのデータセンターにさらに多くの RHDG サーバーを備えることができます。同じデータセンターの RHDG サーバーが同じマルチキャストアドレス (つまり、起動時に同じ jboss.default.multicast.address) を使用していることを確認するだけです。次に、GMS プロトコルビューで jconsole に、現在のクラスターのすべてのメンバーが表示されます。

1. Red Hat Single Sign-On サーバーディストリビューションを選択した場所に展開します。これは、後で NODE11 と呼ばれます。

2. KeycloakDS データソースの共有データベースを設定します。テスト目的で MySQL または MariaDB を使用することを推奨します。詳細は、「データベース」 を参照してください。

   実稼働環境では、すべてのデータセンターに個別のデータベースサーバーが必要になる可能性があり、両方のデータベースサーバーを相互に同期的に複製する必要があります。設定例では、1 つのデータベースを使用し、これに 4 つの Red Hat Single Sign-On サーバーすべてを接続します。

3. NODE11/standalone/configuration/standalone-ha.xml を編集します。

   1. 属性 site を JGroups UDP プロトコルに追加します。

      <stack name="udp">
        <transport type="UDP" socket-binding="jgroups-udp" site="${jboss.site.name}"/>

   2. この module 属性を、名前の keycloak の cache-container 要素に追加します。

       <cache-container name="keycloak" module="org.keycloak.keycloak-model-infinispan">

   3. work キャッシュの下に remote-store を追加します。

      <replicated-cache name="work">
          <remote-store cache="work" remote-servers="remote-cache" passivation="false" fetch-state="false" purge="false" preload="false" shared="true">
              <property name="rawValues">true</property>
              <property name="marshaller">org.keycloak.cluster.infinispan.KeycloakHotRodMarshallerFactory</property>
              <property name="protocolVersion">2.6</property>
          </remote-store>
      </replicated-cache>

   4. 以下のような sessions キャッシュ下で remote-store を追加します。

      <distributed-cache name="sessions" owners="1">
          <remote-store cache="sessions" remote-servers="remote-cache" passivation="false" fetch-state="false" purge="false" preload="false" shared="true">
              <property name="rawValues">true</property>
              <property name="marshaller">org.keycloak.cluster.infinispan.KeycloakHotRodMarshallerFactory</property>
              <property name="protocolVersion">2.6</property>
          </remote-store>
      </distributed-cache>

   5. offlineSessions、clientSessions、offlineClientSessions、loginFailures、および actionTokens キャッシュも同様に実行します (唯一の セッション キャッシュとの違いは cache プロパティーの値が異なります)。

      <distributed-cache name="offlineSessions" owners="1">
          <remote-store cache="offlineSessions" remote-servers="remote-cache" passivation="false" fetch-state="false" purge="false" preload="false" shared="true">
              <property name="rawValues">true</property>
              <property name="marshaller">org.keycloak.cluster.infinispan.KeycloakHotRodMarshallerFactory</property>
              <property name="protocolVersion">2.6</property>
          </remote-store>
      </distributed-cache>
      
      <distributed-cache name="clientSessions" owners="1">
          <remote-store cache="clientSessions" remote-servers="remote-cache" passivation="false" fetch-state="false" purge="false" preload="false" shared="true">
              <property name="rawValues">true</property>
              <property name="marshaller">org.keycloak.cluster.infinispan.KeycloakHotRodMarshallerFactory</property>
              <property name="protocolVersion">2.6</property>
          </remote-store>
      </distributed-cache>
      
      <distributed-cache name="offlineClientSessions" owners="1">
          <remote-store cache="offlineClientSessions" remote-servers="remote-cache" passivation="false" fetch-state="false" purge="false" preload="false" shared="true">
              <property name="rawValues">true</property>
              <property name="marshaller">org.keycloak.cluster.infinispan.KeycloakHotRodMarshallerFactory</property>
              <property name="protocolVersion">2.6</property>
          </remote-store>
      </distributed-cache>
      
      <distributed-cache name="loginFailures" owners="1">
          <remote-store cache="loginFailures" remote-servers="remote-cache" passivation="false" fetch-state="false" purge="false" preload="false" shared="true">
              <property name="rawValues">true</property>
              <property name="marshaller">org.keycloak.cluster.infinispan.KeycloakHotRodMarshallerFactory</property>
              <property name="protocolVersion">2.6</property>
          </remote-store>
      </distributed-cache>
      
      <distributed-cache name="actionTokens" owners="2">
          <object-memory size="-1"/>
          <expiration max-idle="-1" interval="300000"/>
          <remote-store cache="actionTokens" remote-servers="remote-cache" passivation="false" fetch-state="false" purge="false" preload="true" shared="true">
              <property name="rawValues">true</property>
              <property name="marshaller">org.keycloak.cluster.infinispan.KeycloakHotRodMarshallerFactory</property>
              <property name="protocolVersion">2.6</property>
          </remote-store>
      </distributed-cache>

   6. リモートストアのアウトバウンドソケットバインディングを socket-binding-group 要素設定に追加します。

      <outbound-socket-binding name="remote-cache">
          <remote-destination host="${remote.cache.host:localhost}" port="${remote.cache.port:11222}"/>
      </outbound-socket-binding>

   7. 分散キャッシュ authenticationSessions およびその他のキャッシュの設定は変更しません。

   8. 必要に応じて、logging サブシステムで DEBUG ロギングを有効にします。

      <logger category="org.keycloak.cluster.infinispan">
          <level name="DEBUG"/>
      </logger>
      <logger category="org.keycloak.connections.infinispan">
          <level name="DEBUG"/>
      </logger>
      <logger category="org.keycloak.models.cache.infinispan">
          <level name="DEBUG"/>
      </logger>
      <logger category="org.keycloak.models.sessions.infinispan">
          <level name="DEBUG"/>
      </logger>

4. NODE11 を、後で NODE12、NODE21、および NODE22 と呼ばれる他の 3 つのディレクトリーにコピーします。

5. NODE11 を起動します。

   cd NODE11/bin
   ./standalone.sh -c standalone-ha.xml -Djboss.node.name=node11 -Djboss.site.name=site1 \
     -Djboss.default.multicast.address=234.56.78.1 -Dremote.cache.host=server1 \
     -Djava.net.preferIPv4Stack=true -b PUBLIC_IP_ADDRESS

6. NODE12 を起動します。

   cd NODE12/bin
   ./standalone.sh -c standalone-ha.xml -Djboss.node.name=node12 -Djboss.site.name=site1 \
     -Djboss.default.multicast.address=234.56.78.1 -Dremote.cache.host=server1 \
     -Djava.net.preferIPv4Stack=true -b PUBLIC_IP_ADDRESS

   クラスターノードは接続されている必要があります。以下のような内容は、NODE11 と NODE12 の両方のログにあるはずです。

   Received new cluster view for channel keycloak: [node11|1] (2) [node11, node12]

   注記

   ログのチャネル名は異なる場合があります。

7. NODE21 を起動します。

   cd NODE21/bin
   ./standalone.sh -c standalone-ha.xml -Djboss.node.name=node21 -Djboss.site.name=site2 \
     -Djboss.default.multicast.address=234.56.78.2 -Dremote.cache.host=server2 \
     -Djava.net.preferIPv4Stack=true -b PUBLIC_IP_ADDRESS

   NODE11 および NODE12 でクラスターに接続される訳ではありませんが、クラスターを分離します。

   Received new cluster view for channel keycloak: [node21|0] (1) [node21]

8. NODE22 を起動します。

   cd NODE22/bin
   ./standalone.sh -c standalone-ha.xml -Djboss.node.name=node22 -Djboss.site.name=site2 \
     -Djboss.default.multicast.address=234.56.78.2 -Dremote.cache.host=server2 \
     -Djava.net.preferIPv4Stack=true -b PUBLIC_IP_ADDRESS

   NODE21 のクラスターにする必要があります。

   Received new cluster view for channel keycloak: [node21|1] (2) [node21, node22]

   注記

   ログのチャネル名は異なる場合があります。

9. テスト:

   1. http://node11:8080/auth/ にアクセスし、初期管理ユーザーを作成します。
   2. http://node11:8080/auth/admin にアクセスし、管理者として管理コンソールにログインします。
   3. 2 つ目のブラウザーを開き、http://node12:8080/auth/admin、http://node21:8080/auth/admin、または http://node22:8080/auth/admin のノードのいずれかに移動します。ログイン後、4 台のすべてのサーバーで、特定のユーザー、クライアント、またはレルムの Sessions タブで上同じセッションを確認できるはずです。
   4. Keycloak 管理コンソール (ユーザー、または一部のレルムを更新するなど) を変更した後は、キャッシュが適切に無効にされる必要があるため、更新が 4 つのノードのいずれかですぐに表示されるように表示されるはずです。

   5. 必要に応じて server.logs を確認します。ログインまたはログアウトの後に、以下のようなメッセージがすべてのノードの NODEXY/standalone/log/server.log に追加されるはずです。

      2017-08-25 17:35:17,737 DEBUG [org.keycloak.models.sessions.infinispan.remotestore.RemoteCacheSessionListener] (Client-Listener-sessions-30012a77422542f5) Received event from remote store.
      Event 'CLIENT_CACHE_ENTRY_REMOVED', key '193489e7-e2bc-4069-afe8-f1dfa73084ea', skip 'false'