WSO2 4.1 DevPortal map-keys接口调用失败问题求助

问题背景 #

从WSO2 API Manager 2.6迁移至4.1版本时，通过DevPortal v2.1 API导入旧环境生成的consumerKey/consumerSecret失败：

1. 调用POST {{basepath}}/applications创建应用正常返回结果
2. 调用POST {{basepath}}/applications/{app-id}/map-keys接口时，返回错误码900967的通用服务器错误，后台日志显示调用/keymanager-operations/dcr/register/...端点时触发401未授权。即使使用管理员账号导入同版本4.1实例生成的密钥，问题依然存在，generate-keys接口则可正常使用。

可能原因及解决方案 #

1. 密钥管理器DCR端点权限配置错误 #

Resident Key Manager的动态客户端注册（DCR）端点未对DevPortal服务账号开放访问权限：

• 登录APIM管理控制台，进入Key Managers → Resident Key Manager → Configurations
• 确认Allow OAuth2 Dynamic Client Registration已启用，且配置的访问控制规则允许DevPortal的服务账号请求
• 检查Dynamic Client Registration Endpoint的权限设置，确保DevPortal使用的OAuth2令牌能访问该端点

2. DevPortal与密钥管理器的认证凭证不匹配 #

DevPortal调用密钥管理器接口时使用的OAuth2客户端凭证无效：

• 打开<APIM_HOME>/repository/conf/deployment.toml，检查[apim.devportal]下的服务账号配置，确保client_id和client_secret正确
• 核对[keymanager.resident]中的oauth_client_key和oauth_client_secret，需与DevPortal使用的凭证一致，保证DevPortal能通过认证访问密钥管理器接口

3. 请求令牌缺少必要权限范围 #

调用map-keys接口的OAuth2令牌未包含apim:app_key_mapping权限：

• 确认用于调用接口的用户/服务账号已被分配Application Key Mapping权限（可通过Roles and Permissions → Permissions → DevPortal找到该权限）
• 管理员账号可直接分配Internal/devportal-admin角色，该角色包含所有DevPortal操作权限

4. 跨实例密钥映射的限制 #

若导入其他4.1实例的密钥，需确保：

• 源实例与目标实例的Resident Key Manager配置一致（包括密钥生成算法、令牌有效期、签名算法等）
• 目标实例的密钥管理器已信任源实例的密钥，或手动在目标实例的AM_APPLICATION_KEY_MAPPING和IDN_OAUTH2_ACCESS_TOKEN表中添加对应记录（仅应急场景使用）

5. 日志深度排查 #

开启DEBUG级别日志定位具体错误：

• 修改<APIM_HOME>/repository/conf/log4j2.properties，将logger.org.wso2.carbon.apimgt的级别设为DEBUG
• 查看<APIM_HOME>/repository/logs/wso2carbon.log中/keymanager-operations/dcr/register的详细错误栈，确认401的具体触发原因（如令牌过期、签名无效、权限不足）
• 检查<APIM_HOME>/repository/logs/wso2-apim-devportal.log，查看map-keys接口调用的完整请求/响应细节

内容的提问来源于stack exchange，提问作者Teodor Mysko