[Kubernetes] Keycloak 개념

Keycloak

Keycloak은 오픈소스 통합 인증 및 액세스 관리 솔루션(Identity & Access Management, 이하 IAM)임.

주로 싱글 사인온(SSO), OAuth 2.0, OpenID Connect(OIDC), SAML 등의 표준 프로토콜을 지원하여 사용자 인증과 권한 관리를 중앙 집중화해주는 플랫폼임.

Red Hat이 지원하는 프로젝트로서, 회사 혹은 조직 환경에서 애플리케이션과 서비스를 효율적으로 보호하고 사용자 인증을 일원화하기 위해 많이 사용됨.

 

통합 IAM 플랫폼으로서의 Keycloak

1. 싱글 사인온(SSO) 제공

여러 애플리케이션, 마이크로서비스가 있을 때, Keycloak을 통해 한 번 로그인하면 다른 서비스에도 별도의 로그인 없이 접근할 수 있음.

세션 관리, 토큰 발급 등을 Keycloak이 중앙에서 수행하므로 보안과 편의성이 향상됨.

 

2. 표준 프로토콜 지원

OAuth 2.0, OpenID Connect(OIDC), SAML 2.0 등 현대적 애플리케이션 및 마이크로서비스 인증에 필요한 표준 프로토콜을 지원함.

덕분에 언어나 프레임워크와 관계없이 쉽게 Keycloak과 연동할 수 있음.

 

3. 정교한 권한 관리(Authorization)

Keycloak은 Role-based Access Control(RBAC) 뿐 아니라 Attribute-based Access Control(ABAC), 사용자 그룹, 정책, 클라이언트 범위(Client Scopes) 등을 통해 세밀한 권한 설정이 가능함.

쿠버네티스 내부 마이크로서비스나 API 게이트웨이 등과 연동하여 API 접근 제어를 손쉽게 구현할 수 있음.

 

4. 확장 가능한 사용자 저장소

내장 DB(H2)나 SQL DB(PostgreSQL, MySQL, MariaDB 등)로 사용자 정보를 저장할 수 있고, LDAP, Active Directory, OpenShift 등 외부 디렉터리 서비스와도 연동 가능함.

 

5. 소셜 로그인 및 페더레이션

Google, GitHub, Facebook, Microsoft 등 소셜 계정과 연동해 사용자 인증을 설정할 수 있음.

기업 내부 IdP(SAML, ADFS 등)와도 연동해 인증 페더레이션을 구성할 수 있음.

 

쿠버네티스에서 Keycloak 배포 아키텍처

1. Deployment/StatefulSet

Keycloak 서버를 실행하는 Pod를 생성함.

일반적으로는 무상태처럼 동작하지만, 세션 복제나 DB 연결 등 상태를 갖는 부분이 있으므로, 운영 편의상 StatefulSet을 선택하거나 DB 연결을 분리해 Deployments로 배포하기도 함.

 

2. Service

Keycloak Pod에 대한 네트워크 접근을 제공하며, ClusterIP, NodePort, LoadBalancer 혹은 Ingress를 통해 외부에서 접근할 수 있도록 설정함.

 

3. Ingress

HTTPS(SSL/TLS) 연결, 도메인(예: keycloak.example.com) 설정 등을 통해 Keycloak에 안전하게 접근할 수 있도록 함.

NGINX Ingress Controller, HAProxy, Istio Gateway 등을 이용해 Keycloak 트래픽을 라우팅할 수 있음.

 

4. Database 연동

Keycloak의 메타데이터(사용자, 권한, 세션 상태 등)를 영구적으로 저장하기 위한 DB(주로 PostgreSQL, MySQL)를 별도 배포하거나, 기존 DB 인프라를 연결함.

DB 접속 정보를 Secret 등 안전한 방법으로 주입해야 함.

 

5. Keycloak Operator (선택 사항)

Red Hat이 제공하는 Keycloak Operator를 사용하면, 쿠버네티스 CRD(Custom Resource Definition) 기반으로 Keycloak 인스턴스 및 Realm, Users, Clients 등을 선언형(Declarative)으로 관리할 수 있음.

버전 업그레이드, 백업/복구, 스케일링 등 운영 작업도 Operator가 자동화 가능.

 

주요 사용 시나리오

1. 마이크로서비스 인증 게이트웨이

API Gateway(예: Kong, NGINX, Istio 등)와 Keycloak을 연동하여, 모든 요청을 게이트웨이 레벨에서 인증/인가(Authorization)할 수 있음.

사용자는 브라우저나 클라이언트를 통해 Keycloak에서 Access Token/JWT를 발급받고, 이를 API Gateway에 전달해 인증을 통과함.

 

2. 어플리케이션 SSO

조직 내부 포털, 사내 앱, 컨테이너 기반 웹 서비스 등을 하나의 인증 플랫폼(Keycloak)으로 통합해 SSO를 구현함.

사용자에게는 한 번의 로그인 경험을 제공하고, IT 관리자는 중앙 집중형 사용자/권한 관리를 수행할 수 있음.

 

3. 연구/교육 환경

JupyterHub, Airflow, Grafana 등 오픈소스 도구를 쿠버네티스에 배포할 때, Keycloak SSO를 적용하면 하나의 계정으로 모든 시스템에 접근이 가능해짐.

 

4. 다중 Realm 구성

Keycloak은 조직, 프로젝트, 환경별로 Realm을 생성할 수 있음.

각 Realm은 독립된 인증 스페이스로서, 별도의 사용자, 클라이언트, 권한 정책을 설정할 수 있음.

예를 들어 개발(development) Realm, 운영(production) Realm으로 분리하여 운영 환경을 안전하게 격리함.

 

운영 및 관리 고려사항

1. 보안 설정

Keycloak 접근은 반드시 HTTPS를 사용해야 하며, 비밀번호, 클라이언트 시크릿(Client Secret), DB 접속 정보 등은 쿠버네티스 Secret을 사용해 안전하게 관리함.

OIDC 토큰 유효기간(Access Token, Refresh Token), Keycloak 관리자 계정에 대한 강력한 비밀번호 정책 적용이 필요함.

 

2. 스케일링 전략

Keycloak Pod을 복수 개 실행하면, 사용자가 증가해도 인증 요청을 분산 처리할 수 있음.

Sticky Session이 필요한 경우가 있지만, Keycloak은 클러스터링 모드로 세션 복제를 지원하거나, 스토리지 기반 세션 관리를 통해 세션 부하를 분산할 수 있음.

 

3. 데이터베이스 성능

사용자 수가 많거나, 로그인 요청이 폭증할 경우 DB 부하가 커짐.

Kubernetes Persistent Volume(PV)을 통해 안정적인 DB 스토리지를 확보하고, DB Connection Pool을 적절히 튜닝해야 함.

HA DB 환경(예: Patroni, MySQL replication, Cloud SQL 등)과 연동해 고가용성을 유지할 수 있음.

 

4. 자동화 및 CI/CD

Keycloak Operator를 활용하면, Realm, Clients, Roles 등을 쿠버네티스 CR로 정의하여 깃(Git)에 저장하고, GitOps 방식을 통한 지속적인 배포가 가능함.

개발/스테이징/운영 환경 간에 인증 설정을 재현성 있게 공유할 수 있음.

 

5. 로그 및 모니터링

Keycloak 로그는 쿠버네티스 표준 로깅 파이프라인(예: Fluent Bit, Elasticsearch, Loki 등)과 연동하여 중앙 집중화할 수 있음.

Prometheus Metrics SPI, MicroProfile Metrics 등을 통해 Keycloak 메트릭(요청 수, 세션 수, 오류율 등)을 수집하고, Grafana 대시보드로 모니터링할 수 있음.

 

쿠버네티스 환경에서 Keycloak의 가치

1. 중앙 집중형 인증

다양한 애플리케이션, 마이크로서비스, 워크로드에 대해 일관된 인증/인가 정책을 제공.

 

2. 유연한 확장성

Kubernetes 상에서 손쉽게 스케일업/스케일아웃 가능, 고가용성(HA) 구성도 용이.

 

3. 보안 강화

HTTPS, RBAC, 감사 로그(Audit Log) 등을 통해 신뢰성 높은 인증 환경 구축.

 

4. 표준 준수

OAuth/OIDC/SAML 같은 산업 표준 프로토콜을 준수하여 타 시스템과의 연동이 간편.

 

쿠버네티스에서 Keycloak을 도입하면 인증/권한 관리의 복잡성을 대폭 줄이고, 조직 전반의 보안을 일원화할 수 있음.

마이크로서비스 아키텍처가 확산되고 클라우드 네이티브 애플리케이션이 증가함에 따라, Keycloak과 같은 오픈소스 IAM 솔루션은 사실상 필수 불가결한 구성 요소로 자리 잡고 있음.