配置Okta作为WSO2 APIM 3.2.0的IDP后登录发布者门户报错

我尝试将Okta配置为更新级别213的WSO2 APIM 3.2.0的身份提供商（IDP），按照官方文档完成配置后，使用Okta作为联合认证器登录APIM发布者门户时出现错误。

UI错误截图 #

错误堆栈信息 #

[2023-03-18 09:55:42,238] DEBUG - OAuthClientAuthnService Error while evaluating client authenticator : BasicOAuthClientCredAuthenticator
org.wso2.carbon.identity.oauth2.client.authentication.OAuthClientAuthnException: invalid_client
    at org.wso2.carbon.identity.oauth2.client.authentication.BasicAuthClientAuthenticator.authenticateClient(BasicAuthClientAuthenticator.java:93) ~[org.wso2.carbon.identity.oauth_6.4.2.85.jar:?]
    at org.wso2.carbon.identity.oauth2.client.authentication.OAuthClientAuthnService.authenticateClient(OAuthClientAuthnService.java:211) ~[org.wso2.carbon.identity.oauth_6.4.2.85.jar:?]
    at org.wso2.carbon.identity.oauth2.client.authentication.OAuthClientAuthnService.executeAuthenticator(OAuthClientAuthnService.java:106) ~[org.wso2.carbon.identity.oauth_6.4.2.85.jar:?]
    at org.wso2.carbon.identity.oauth2.client.authentication.OAuthClientAuthnService.lambda$executeClientAuthenticators$0(OAuthClientAuthnService.java:149) ~[org.wso2.carbon.identity.oauth_6.4.2.85.jar:?]
    at java.util.ArrayList.forEach(ArrayList.java:1259) [?:1.8.0_292]
    at org.wso2.carbon.identity.oauth2.client.authentication.OAuthClientAuthnService.executeClientAuthenticators(OAuthClientAuthnService.java:148) [org.wso2.carbon.identity.oauth_6.4.2.85.jar:?]
    at org.wso2.carbon.identity.oauth2.client.authentication.OAuthClientAuthnService.authenticateClient(OAuthClientAuthnService.java:63) [org.wso2.carbon.identity.oauth_6.4.2.85.jar:?]
    at org.wso2.carbon.identity.oauth.client.authn.filter.OAuthClientAuthenticatorProxy.handleMessage(OAuthClientAuthenticatorProxy.java:80) [org.wso2.carbon.identity.oauth.client.authn.filter-6.4.2.62.jar:6.4.2.62]
    at org.apache.cxf.phase.PhaseInterceptorChain.doIntercept(PhaseInterceptorChain.java:307) [cxf-core-3.5.5.jar:3.5.5]
    at org.apache.cxf.transport.ChainInitiationObserver.onMessage(ChainInitiationObserver.java:121) [cxf-core-3.5.5.jar:3.5.5]
    at org.apache.cxf.transport.http.AbstractHTTPDestination.invoke(AbstractHTTPDestination.java:265) [cxf-rt-transports-http-3.5.5.jar:3.5.5]
    at org.apache.cxf.transport.servlet.ServletController.invokeDestination(ServletController.java:234) [cxf-rt-transports-http-3.5.5.jar:3.5.5]
    at org.apache.cxf.transport.servlet.ServletController.invoke(ServletController.java:208) [cxf-rt-transports-http-3.5.5.jar:3.5.5]
    at org.apache.cxf.transport.servlet.ServletController.invoke(ServletController.java:160) [cxf-rt-transports-http-3.5.5.jar:3.5.5]
    at org.apache.cxf.transport.servlet.CXFNonSpringServlet.invoke(CXFNonSpringServlet.java:225) [cxf-rt-transports-http-3.5.5.jar:3.5.5]
    at org.apache.cxf.transport.servlet.AbstractHTTPServlet.handleRequest(AbstractHTTPServlet.java:304) [cxf-rt-transports-http-3.5.5.jar:3.5.5]
    at org.apache.cxf.transport.servlet.AbstractHTTPServlet.doPost(AbstractHTTPServlet.java:217) [cxf-rt-transports-http-3.5.5.jar:3.5.5]
    at javax.servlet.http.HttpServlet.service(HttpServlet.java:696) [tomcat-servlet-api_9.0.71.wso2v1.jar:?]

这个invalid_client错误通常由客户端凭证不匹配或配置错误导致，按以下步骤排查：

• 验证Okta应用凭证：确认WSO2 APIM的IDP配置中，客户端ID和密钥与Okta OIDC应用中的完全一致，无大小写错误或多余空格；同时检查Okta应用是否启用了客户端密码认证方式。
• 核对回调URL：确保Okta应用设置的回调URL与WSO2 APIM发布者的回调地址（格式通常为https://<APIM_HOST>:<PORT>/publisher/login）完全一致，协议、主机、端口均匹配。
• 检查OIDC端点配置：登录WSO2 APIM管理控制台，确认IDP的授权端点、令牌端点正确指向Okta的对应地址（格式为https://<OKTA_DOMAIN>/oauth2/v1/authorize和https://<OKTA_DOMAIN>/oauth2/v1/token），范围设置包含openid等必要字段。
• 确认服务提供者配置：在WSO2 APIM的服务提供者配置中，确保已正确关联Okta身份认证器，且回调URL与Okta端保持一致。
• 排查网络与SSL问题：验证WSO2 APIM服务器可正常访问Okta端点，无防火墙或代理拦截；若用HTTPS，需将Okta根证书导入WSO2信任库。
• 启用详细日志：在WSO2的log4j2.properties文件中，将org.wso2.carbon.identity.oauth2和org.wso2.carbon.identity.oauth.client.authn的日志级别设为DEBUG，获取更详细的认证流程日志定位问题。

内容的提问来源于stack exchange，提问作者Thenusan Santhirakumar