OKTA超级管理员如何实现用户模拟？需获取用户令牌调试API

一、先解决Masquerade（模拟）选项找不到的问题 #

1. 开启Masquerade功能
   登录Okta Admin控制台，进入Settings > Features，找到"Masquerade"选项并启用（默认可能未开启）。
2. 确认管理员权限
   超级管理员默认拥有Masquerade权限，若使用自定义角色，需确保角色已分配Masquerade as another user权限（在Security > Roles > 对应角色 > Permissions中检查）。
3. 找到模拟入口
   启用后，进入目标用户详情页（Directory > People > 选择目标用户），页面右上角会出现Masquerade按钮，点击即可切换到该用户身份。

二、获取目标用户令牌的两种方法 #

方法1：通过Masquerade模拟登录后获取令牌 #

切换到目标用户身份后，可通过两种方式拿令牌：

• 开发者工具提取：打开浏览器开发者工具（F12），进入Application > Cookies > 你的Okta域名，可找到会话相关的sid、authtoken；若需OAuth2令牌，直接访问你的应用授权URL：

  https://<你的Okta域名>.com/oauth2/v1/authorize?client_id=<应用Client ID>&response_type=token&scope=openid profile email&redirect_uri=<应用回调地址>&state=随机字符串&nonce=随机字符串
  

  访问后会自动跳转到回调地址，URL参数中会包含access_token和id_token。

方法2：用Admin API直接生成令牌（无需模拟登录） #

这种方式更适合自动化测试/调试，无需切换用户：

1. 先获取管理员的访问令牌
   使用管理员客户端凭证调用令牌端点：

   curl -X POST "https://<你的Okta域名>.com/oauth2/v1/token" \
   -H "Content-Type: application/x-www-form-urlencoded" \
   -d "grant_type=client_credentials&client_id=<管理员客户端ID>&client_secret=<管理员客户端密钥>&scope=okta.users.read okta.authorizationServers.manage"
   

2. 通过Token Exchange获取目标用户令牌
   用管理员令牌作为主体令牌，交换目标用户的访问令牌：

   curl -X POST "https://<你的Okta域名>.com/oauth2/v1/token" \
   -H "Content-Type: application/x-www-form-urlencoded" \
   -H "Authorization: Basic <base64编码的客户端ID:客户端密钥>" \
   -d "grant_type=urn:okta:params:oauth:grant-type:token-exchange" \
   -d "subject_token=<管理员访问令牌>" \
   -d "subject_token_type=urn:ietf:params:oauth:token-type:access_token" \
   -d "requested_token_type=urn:ietf:params:oauth:token-type:access_token" \
   -d "scope=openid profile email" \
   -d "subject=<目标用户ID>"
   

   注意：需确保你的应用已启用Impersonation权限，且管理员令牌拥有对应的操作权限。

注意事项 #

• Masquerade功能仅适用于Okta内部界面和已集成的应用，API方式更适合直接获取令牌用于API测试。
• 所有操作需遵循Okta安全策略，生产环境中不要随意生成用户令牌。
• 若仍无Masquerade按钮，检查Okta版本（部分基础版可能不支持此功能）。

内容的提问来源于stack exchange，提问作者Harish Dalmia