从WSO2 IS 5.10迁移至6.0后BPS配置文件解密异常问题

错误原因 #

该错误核心是WSO2 IS 6.0采用了更新的加密算法（AES/GCM/NoPadding），而从5.10迁移过来的embedded_bps配置密码是旧版本加密方式生成的，新环境使用新密钥解密时触发MAC校验失败。

解决步骤 #

• 清理旧配置并自动生成默认配置

  1. 登录WSO2 IS 6.0对应的数据库，找到表IDN_WF_BPS_PROFILE
  2. 删除表中PROFILE_NAME字段值为embedded_bps的记录
  3. 重启IS服务器，系统会自动创建新的默认embedded_bps配置，密码将用新环境的加密规则处理

• 保留自定义配置的处理方式

  1. 若之前对embedded_bps有自定义配置，先导出原有配置信息
  2. 在IS 6.0的bin目录下，使用加密工具将明文密码重新加密：
     • Linux环境执行：./encrypt.sh -Dvalue=<明文密码>
     • Windows环境执行：encrypt.bat -Dvalue=<明文密码>
  3. 更新IDN_WF_BPS_PROFILE表中对应记录的PASSWORD字段为新加密后的字符串
  4. 确认数据库连接配置无误后，重启服务器

• 密钥一致性校验（若迁移时保留旧密钥）

  1. 检查IS 6.0的deployment.toml中[crypto]区块的配置，确保迁移过来的密钥文件（如wso2carbon.jks）已正确放置到repository/resources/security目录
  2. 确认internal_key_alias、internal_key_password等参数与旧环境一致（不推荐长期使用旧密钥，建议切换为新环境默认密钥后重新加密所有敏感配置）

内容的提问来源于stack exchange，提问作者Nipuna Upeksha