Apache Superset集成Okta单点登录提示请求被拒问题

问题表现 #

• 完成Okta与Apache Superset集成后，尝试通过Okta登录时页面返回错误：The request to sign in was denied.
• 查看Superset运行日志，未查询到任何和本次授权尝试相关的错误或日志记录
• 参考官方文档、社区相关帖子排查后仍未定位根因

故障排查与修复步骤 #

这个报错是Okta侧直接返回的授权拒绝响应，请求还没走到Superset的业务逻辑层，所以Superset侧不会打印相关日志，按以下优先级排查即可：

1. 修正配置里的基础格式错误
   你当前配置里的OKTA_BASE_URL缺少HTTPS协议头，会导致构造的授权、Token请求地址非法，直接被Okta拒绝，修正为：

   OKTA_BASE_URL = "https://my_url.okta.com"
   

2. 核对Okta应用后台配置（90%的同类问题都是这步配置错了）
   • 检查Okta应用的登录回调地址（Sign-in redirect URIs），必须和Superset实际回调路径完全匹配。你当前OAuth provider的name是my_company_name，对应回调地址格式为https://<你的Superset访问域名>/oauth-authorized/my_company_name，注意协议（http/https）、域名、端口、路径末尾不能多斜杠，任何字符不匹配都会被Okta直接拦截
   • 检查Okta应用的授权类型（Allowed grant types），必须开启Authorization Code授权模式
   • 检查尝试登录的用户是否已经被分配到该Okta应用的可访问用户列表里，未授权用户发起登录会直接返回拒绝响应
   • 核对Okta应用的Client ID、Client Secret，和你环境变量里读取的值完全一致，凭证错误也会触发该报错
3. 补全自定义安全管理器的缺失字段
   你开启了AUTH_ROLES_MAPPING和AUTH_ROLES_SYNC_AT_LOGIN配置，但当前自定义的oauth_user_info方法没有返回role_keys字段，即使授权通过后续也会因为角色映射失败登录异常，修正后的自定义安全管理器代码如下：

   class CustomSsoSecurityManager(SupersetSecurityManager):
       def oauth_user_info(self, provider, response=None):
           if provider == "my_company_name":
               user_info = self.appbuilder.sm.oauth_remotes[provider].parse_id_token(
                   response
               )
               return {
                   "name": user_info["name"],
                   "email": user_info["email"],
                   "id": user_info["email"],
                   "username": user_info["email"],
                   # 从id_token中读取Okta返回的用户组，匹配你配置的AUTH_ROLES_MAPPING规则
                   "role_keys": user_info.get("groups", [])
               }
   

   注：OAuth provider的name字段是自定义值，不需要必须改成okta，只要代码里判断的provider值、OAUTH_PROVIDERS里的name值、回调地址里的路径段三者保持一致即可。
4. 验证环境变量加载
   进入Superset运行的环境（容器/虚拟环境），执行echo $OKTA_CLIENT_ID、echo $OKTA_CLIENT_SECRET确认环境变量正常加载，不存在空值或者值错误的情况。

内容的提问来源于stack exchange，提问作者Jelkimantis