如何将WSO2 Identity Server 6.1.0多租户与新版Micro Integrator关联？

一、IS租户与对应MI实例的关联配置 #

• 为每个IS租户创建独立的OAuth2/OIDC客户端：在IS对应租户的管理界面注册OAuth2客户端，将令牌受众（aud）设为对应MI实例的端点地址，回调地址配置为该MI的业务回调路径，确保IS为该租户颁发的令牌仅能被目标MI实例验证通过。
• 配置IS租户服务提供者：在IS租户的服务提供者配置中，将服务根URL指向对应MI实例的地址，保证IS内部的身份验证跳转、服务调用能直接路由到正确的MI实例。

二、MI实例的租户专属配置 #

• 每个MI实例配置专属身份验证规则：在MI的deployment.toml中，指定对应IS租户的OAuth2验证端点，示例配置：

[oauth2.token_validation]
endpoint = "https://is.example.com/t/domainA/oauth2/introspect"
client_id = "<domainA专属客户端ID>"
client_secret = "<domainA专属客户端密钥>"

同时可添加自定义中介，校验令牌中的tenantDomain声明，确保仅当前MI实例对应的租户令牌能通过验证。

• 为MI实例分配独立端口/域名：每个MI实例使用唯一端口（如8291、8292），并绑定专属域名（如mi-domainA.example.com），便于后续路由和区分。

三、替代原/t/[domainName]的路由逻辑 #

由于新版MI为单租户架构，无法直接通过路径后缀区分租户，可通过反向代理（如Nginx）实现原调用逻辑兼容：

• 配置反向代理路径规则，将带/t/[domainName]前缀的请求转发到对应MI实例，同时剥离前缀。示例Nginx配置：

server {
    listen 443 ssl;
    server_name proxy.example.com;

    location /t/domainA/ {
        proxy_pass http://mi-domainA:8291/;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $remote_addr;
    }

    location /t/domainB/ {
        proxy_pass http://mi-domainB:8292/;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $remote_addr;
    }
}

外部请求仍可沿用https://proxy.example.com/t/domainA/api/xxx的格式，由代理自动转发到对应租户的MI实例。

四、额外校验机制 #

在MI的API或序列中添加自定义中介，提取请求中的租户标识（如从代理传递的X-Tenant-Domain头），与令牌中的tenantDomain声明做匹配，防止跨租户的非法访问。

内容的提问来源于stack exchange，提问作者user666