WSO2 APIM配置IS为密钥管理器后无法自动创建Service Provider

排查及解决步骤：

• 验证APIM与IS的密钥管理器配置：
  1. 登录APIM管理控制台，进入Key Managers找到配置的WSO2 IS密钥管理器，确认以下参数：
     • Admin Username/Admin Password为IS管理员账号（默认admin/admin），且该账号拥有Manage Service Providers权限（可在IS控制台的「Users and Roles」中检查角色权限）
     • 所有端点地址（如OAuth2 Token Endpoint、Service Provider Management Endpoint）的端口与IS实际运行端口一致（用户示例用了9444，需确认IS是否确实监听该端口，默认是9443）
  2. 配置双向SSL信任：
     • 将IS的服务器证书导入APIM的<APIM_HOME>/repository/resources/security/client-truststore.jks
     • 将APIM的服务器证书导入IS的<IS_HOME>/repository/resources/security/client-truststore.jks
     • 重启APIM和IS服务
  3. 查看APIM日志定位错误：
     • 打开APIM的<APIM_HOME>/repository/logs/carbon.log，搜索ServiceProvider或KeyManager关键词，查找API发布时的失败日志（如连接超时、权限不足、SSL验证失败等）
  4. 确认API发布状态：
     • 确保API在DevPortal中已完成发布操作（非仅保存），状态显示为Published

错误原因：请求中使用的client_id在IS中不存在，或Authorization头的客户端凭证无效。解决步骤：

• 优先解决问题1，确保APIM自动同步应用/API到IS：
  1. 在DevPortal创建应用，订阅已发布的API
  2. 进入应用的「Production Keys」或「Sandbox Keys」页面，获取Client ID和Client Secret
  3. 使用这些凭证调用IS的token端点（密钥管理器配置正常时，APIM会自动将该应用同步为IS中的Service Provider）
• 手动测试方案：
  1. 登录IS管理控制台，进入Service Providers > Add创建新服务提供者
  2. 进入该SP的Inbound Authentication > OAuth/OpenID Connect Configuration，点击「Configure」生成Client ID和Client Secret
  3. 将client_id:client_secret进行Base64编码，替换curl命令中的Authorization头值
  4. 重新执行请求获取token：

curl --location 'https://localhost:9444/oauth2/token' \
--header 'Authorization: Basic <BASE64_ENCODED_CLIENT_ID_SECRET>' \
--header 'Content-Type: application/x-www-form-urlencoded' \
--data-urlencode 'grant_type=password' \
--data-urlencode 'username=admin' \
--data-urlencode 'password=admin' \
--data-urlencode 'scope=openid <API_SCOPE>'

（注：<API_SCOPE>替换为目标API的授权范围，无需特定范围可省略）

内容的提问来源于stack exchange，提问作者Aldo Inácio da Silva