Keycloak容器构建中dnf安装缓慢问题分析与解决方案

问题背景

在使用Keycloak官方容器镜像时，很多开发者会遇到需要安装额外工具（如curl）的情况。官方文档推荐采用多阶段构建方式来实现这一需求。然而，在某些特定环境下，特别是AWS Linux 2023系统中，使用dnf安装基础软件包时会出现严重的性能问题，导致构建过程异常缓慢甚至无法完成。

问题现象

当开发者尝试基于Keycloak 26.1版本构建包含curl工具的定制镜像时，在AWS Linux 2023主机上执行构建命令后，dnf安装过程会在处理glibc软件包时停滞不前。测试表明，在Windows、Ubuntu或其他Linux发行版上相同的Dockerfile可以快速完成构建，唯独在AWS Linux 2023环境中会出现此问题。

技术分析

经过深入调查，发现这个问题与Docker在特定环境下的资源限制配置有关。具体表现为：

1. 文件描述符限制不足：Docker默认的文件描述符限制在某些环境下可能无法满足dnf操作的需求
2. 系统调用阻塞：在资源受限情况下，dnf的系统调用可能会进入长时间等待状态
3. 环境差异性：不同操作系统对容器资源的分配策略存在差异，导致问题表现不一致

解决方案

针对这一问题，我们推荐以下几种解决方案：

1. 调整ulimit设置（推荐）

在Dockerfile中显式设置文件描述符限制：

RUN ulimit -n 1024000 && dnf install --installroot /mnt/rootfs curl --releasever 9 --setopt install_weak_deps=false --nodocs -y

2. 使用Podman替代Docker

Podman作为Docker的替代方案，在此类场景下表现更优，不会出现相同的性能问题。

3. 更换基础构建环境

如果条件允许，可以考虑在Ubuntu等已验证无此问题的系统上进行构建。

最佳实践建议

1. 对于生产环境构建，建议在CI/CD流水线中使用经过验证的构建环境
2. 在Dockerfile中添加适当的资源限制配置
3. 考虑使用构建缓存来减少重复构建时的耗时
4. 对于AWS环境用户，暂时推荐使用Ubuntu作为构建主机

总结

Keycloak容器定制化构建过程中的dnf性能问题是一个典型的环境相关性问题。通过调整系统资源限制或更换构建工具，开发者可以有效地解决这一问题。Keycloak团队将持续关注此问题的进展，并在官方文档中提供更详细的构建指导。