WSO2 IWA Kerberos认证无法获取短信OTP所需的Mobile Claim

问题背景 #

使用WSO2 Identity Server集成IWA（Kerberos）作为第一认证步骤、SMS OTP作为第二步骤时，IWA认证通过后无法从AD用户存储获取http://wso2.org/claims/mobile声明，提示“目录中未找到用户”，导致SMS OTP流程失败；但基本认证模式下该功能正常。

核心原因 #

IWA认证器返回的用户名格式（如DOMAIN\username或username@domain.com）与AD用户存储配置的搜索属性/格式不匹配，导致无法正确定位用户并读取mobile属性。

解决步骤 #

1. 确认IWA返回的用户名格式 #

• 开启调试日志：修改repository/conf/log4j2.properties，添加配置：

  logger.org.wso2.carbon.identity.authenticator.iwa.level = DEBUG
  

• 触发IWA认证，查看日志中IWA认证器输出的用户名值，确认其格式（域前缀/后缀形式）。

2. 调整IWA认证器的用户名转换规则 #

• 进入WSO2 IS管理控制台：身份提供者 > 本地 & 出站身份提供者 > IWA认证器配置
• 根据日志中的用户名格式配置转换规则：
  • 若返回格式为DOMAIN\username：
    • Username Claim URI设为http://wso2.org/claims/username
    • Username Pattern填写^.*\\(.*)$
    • Replacement填写$1（提取反斜杠后的纯用户名）
  • 若返回格式为username@domain.com：
    • Username Pattern填写^(.*)@.*$
    • Replacement填写$1（提取@符号前的纯用户名）
• 保存配置后重启WSO2 IS。

3. 验证AD用户存储的声明映射 #

• 进入管理控制台：声明 > 列表 > 找到http://wso2.org/claims/mobile
• 确认其AD属性映射与实际AD中的手机号属性一致（通常为mobile或telephoneNumber，需根据AD实际配置调整）
• 确保该声明的支持的用户存储包含你的AD用户存储实例。

4. 调整AD用户存储的搜索配置 #

• 进入管理控制台：用户和角色 > 用户存储 > 你的AD用户存储
• 检查用户搜索过滤器，确保能匹配转换后的用户名。例如，若转换后用户名对应AD的sAMAccountName属性，过滤器设为：

  (&(|(objectClass=user)(objectClass=person))(sAMAccountName=?))
  

• 确认用户名属性设置为与转换后用户名匹配的AD属性（如sAMAccountName）。

5. 测试验证 #

• 重启WSO2 IS后，发起IWA认证流程
• 查看调试日志，确认系统已成功检索到用户的mobile声明
• 验证SMS OTP是否正常发送至用户手机号。

内容的提问来源于stack exchange，提问作者Dev-10