MarkLogic 11.2基于AWS Cognito OAuth2.0的用户映射问题排查

核心排查方向及解决方案 #

1. 验证MarkLogic用户外部名称与Cognito用户名的匹配性 #

• MarkLogic用户的外部名称必须和Cognito返回JWT中的username属性值完全一致，包括大小写（MarkLogic对用户名/角色名大小写敏感）。
• 可直接在Postman的Authorization标签页解码JWT，确认username字段的实际值，再对比ML用户的外部名称是否完全匹配。

2. 检查授权方式配置的逻辑一致性 #

当授权方式设为internal时：

• 需确保对应的MarkLogic用户已被赋予所需角色权限，此时OAuth仅负责身份验证，权限由ML内部用户的角色配置决定。

当授权方式设为oauth时：

• 确认Cognito返回的JWT中custom:groups字段的取值，必须与MarkLogic中已存在的角色名称完全一致（注意大小写）。
• 需在Cognito用户池的App Client设置里，开启custom:groups属性的返回权限，确保该属性能同步到Token中。

3. 确认JWT验证配置的正确性 #

• 由于未配置JWKS URI，需确保OAuth JWT Secrets中配置的是AWS Cognito对应的公钥（RS256算法需用公钥验证签名）。可从Cognito用户池的App integration模块获取公钥。
• 检查MarkLogic应用服务器的外部安全配置中，OAuth Token Type是否与实际使用的Token类型匹配（比如是否使用ID Token而非Access Token）。

4. 查看MarkLogic日志定位问题 #

• 查看MarkLogic的AccessLog.txt日志文件，查找认证请求相关条目，确认是否存在用户匹配失败、角色映射失败的提示信息。
• 启用Audit Log查看认证事件记录，可获取身份验证和授权过程中的具体错误细节。

5. 确认外部安全配置的用户映射开关 #

• 检查MarkLogic应用服务器的外部安全配置，确认“将认证用户映射到MarkLogic用户”的选项处于开启状态（部分版本默认开启，需排查是否被手动关闭）。

内容的提问来源于stack exchange，提问作者Monica Moldovan