FIWARE平台OAuth2与/v1/auth/tokens授权错误排查及配置咨询

1. OAuth2 Token请求时“Domain not Found”错误的原因及解决 #

原因 #

Keyrock的OAuth2令牌验证机制要求请求关联已注册的Domain（领域），当前错误是因为：

• Fiware-Service: openiot和Fiware-ServicePath: /未在Keyrock中创建对应的Domain映射
• IoT Agent配置中未指定关联的Domain参数，导致Keyrock无法识别请求所属的领域范围

解决步骤 #

• 登录Keyrock管理后台，进入Domains模块，创建与Fiware-Service: openiot匹配的Domain（建议Domain名称设为openiot），并关联对应的Fiware-ServicePath
• 修改IoT Agent的Docker Compose配置，添加以下环境变量：

  environment:
    - OAUTH2_ENABLED=true
    - OAUTH2_DOMAIN=openiot  # 与Keyrock中创建的Domain名称一致
  

2. /v1/auth/tokens请求时“User not authorized in the application”错误的解决 #

原因 #

通过/v1/auth/tokens获取的是用户级身份令牌，但该用户未被添加到目标应用tutorial-dckr-site-0000-xpresswebapp中，Keyrock验证时判定用户不属于该应用，因此拒绝授权。

解决步骤 #

• 登录Keyrock管理后台，找到应用tutorial-dckr-site-0000-xpresswebapp
• 进入应用的Users标签页，将用户alice-the-admin@test.com添加到该应用
• 确保用户在应用中被赋予entity-reader角色，且角色权限关联到openiot Domain

3. IoT Agent与Keyrock配置OAuth2认证的额外步骤 #

IoT Agent侧配置 #

在Docker Compose的IoT Agent服务中补充以下环境变量：

environment:
  - OAUTH2_ENABLED=true
  - OAUTH2_AUTH_TYPE=oauth2
  - OAUTH2_SERVER=http://keyrock:3005  # Docker内部服务名，根据实际网络调整
  - OAUTH2_DOMAIN=openiot
  - OAUTH2_CLIENT_ID=tutorial-dckr-site-0000-xpresswebapp
  - OAUTH2_CLIENT_SECRET=<你的应用密钥>  # 替换为Keyrock中应用的实际密钥

确保IoT Agent与Keyrock处于同一Docker网络，可正常通信。

Keyrock侧配置 #

• 为应用tutorial-dckr-site-0000-xpresswebapp配置OAuth2相关设置：确保开启OAuth2授权模式，若需设备端回调可添加IoT Agent地址作为重定向URI（如http://ramona-iot.com:1027）
• 关联权限与Domain：进入entity-reader角色的权限设置，确保GET /v2/entities/*权限关联到openiot Domain，覆盖Fiware-Service和Fiware-ServicePath范围

令牌验证检查 #

• 获取OAuth2令牌时，确保client_id、client_secret与应用tutorial-dckr-site-0000-xpresswebapp的信息完全一致
• 可通过Keyrock的令牌 introspect 接口验证令牌有效性：

  curl -X POST 'http://ramona-iot.com:3005/oauth2/introspect' \
    -H 'Content-Type: application/x-www-form-urlencoded' \
    -d 'token=<你的访问令牌>&client_id=<应用ID>&client_secret=<应用密钥>'
  

内容的提问来源于stack exchange，提问作者hadi gheitasi