Какой сервер выбрать для Keycloak

Для нескольких рабочих приложений рассмотрите отдельный узел Keycloak на 2 vCPU и 4 ГБ памяти. Контейнеру приложения задайте лимит 2 ГБ; остальная память остаётся системе, прокси и служебным процессам. Если ожидаются заметные пики входа, начните с 4 vCPU и 8 ГБ на узел и 4 ГБ для контейнера.

Эти числа относятся к приложению. PostgreSQL требуется дополнительно: отдельный VPS или управляемая база с собственными ресурсами, диском и копиями. Если разместить её на одном сервере с Keycloak, память базы нужно добавить к расчёту. Цена одного узла приложения ещё не является ценой всей системы входа.

Документация рекомендует для небольшого рабочего развёртывания лимит контейнера 2 ГБ. Heap — часть памяти, где Java хранит объекты приложения; по умолчанию его максимальный размер составляет 70% лимита контейнера, начальный — 50%. Поэтому лимит 2 ГБ не означает ни 2 ГБ heap, ни VPS на 2 ГБ.

Задавайте предел контейнера явно. При лимите 4 ГБ максимальный heap по умолчанию будет около 2,8 ГБ; остальные части процесса тоже используют память. Дополнительно оставьте место ОС и агентам. При расширении VPS проверьте, увеличился ли лимит контейнера: сама аренда большего сервера его не меняет.

vCPU — виртуальное ядро процессора. Проверка паролей и обработка входов расходуют CPU; тариф с общей мощностью может давать нестабильную задержку в пик. SSD на узле нужен системе, образам и журналам. Пользователи, настройки и постоянные данные лежат в базе, чей диск рассчитывается отдельно.

Допустим, 200 сотрудников входят за две минуты: в среднем около 1,67 входа в секунду. Если ещё 1000 клиентов обновляют токен доступа каждые пять минут, добавится около 3,33 обновления в секунду. Эти операции различаются по стоимости, а среднее не описывает всплеск в первые секунды.

В испытание включите реальные парольные входы, второй фактор, обращения к внешнему каталогу и обновление токенов. Токен — цифровое подтверждение права доступа. По его сроку жизни и поведению приложений можно понять, как часто они обращаются к Keycloak после входа.

Объём базы измерьте после подключения приложений и пробной недели событий. Например, при 5 ГБ базы и росте на 1 ГБ в месяц через год получится 17 ГБ до служебного запаса. Четырнадцать полных копий такого объёма потребуют около 238 ГБ в независимом хранилище. Диск узла приложения в этот расчёт не входит.

Рабочий Keycloak запускайте в production-режиме с постоянным доменом, HTTPS и явной базой. Режим start-dev предназначен для знакомства и содержит небезопасные настройки по умолчанию. Метрики и управление не должны быть доступны всем пользователям интернета.

Сервер приложения и база должны находиться близко по сети. Проверьте задержку до каталога сотрудников, если он участвует во входе. Для писем восстановления понадобится рабочая доставка SMTP. Критичный доступ администратора к инфраструктуре держите доступным и при остановке SSO.

В статье есть партнёрские ссылки FirstVDS и Selectel. Удельта может получить вознаграждение, если вы закажете услуги по этим ссылкам.

Конфигураторы позволяют подобрать узел приложения и базу. Совпадение RAM не подтверждает вместимость сервиса: цену и состав проверяйте после расчёта компонентов.

В месяц оплачиваются узлы Keycloak, PostgreSQL, её диск и копии, IP, мониторинг и обслуживание. Если нужен вход при отказе одного узла, добавятся другие узлы, балансировщик и резервирование базы. Один сервер с большим запасом памяти защищает от перегрузки, но не от собственного отказа.

Сохраняйте согласованную копию рабочей базы, настройки запуска, секреты и собственные расширения. Экспорт realm — области с настройками пользователей и приложений — имеет ограничения: в него не входят все постоянные данные. Частичный экспорт из панели не заменяет полноценную копию.

Восстановите тестовую базу и узел Keycloak, проверьте вход, роли и подключённые приложения. Учитывайте время загрузки и восстановления базы, а не только запуска контейнера. Копии держите вне рабочих узлов с ограниченным доступом.

Если в пик занят CPU и увеличивается время входа, нужны процессорные ресурсы. При нехватке памяти или долгой очистке heap проверьте лимит контейнера и измерения Java. При свободном приложении, но медленных запросах сначала разбирайте базу и внешний каталог.

Для непрерывного входа потребуется несколько компонентов с проверенным переключением. При добавлении узлов приложения проверьте, хватает ли соединений и скорости PostgreSQL. Распределить входы между узлами недостаточно, если все они ждут одну перегруженную базу.

Версия 26.8.0 подтверждена официальным индексом документации Keycloak. Контейнеры, рабочий режим и ограничения экспорта сверены 6 октября 2026 года. Перед обновлением сопоставляйте настройки памяти и базы с выбранным выпуском.