WSO2控制台用户创建及管理用户的权限配置问题

你遇到的问题核心是默认权限配置仅控制角色是否拥有角色分配权限，未限制可分配的角色范围，WSO2 IS 5.11可通过以下两种方案实现需求：

方案一：用户存储域隔离（推荐，无需二次开发） #

• 将内置超级admin账号保留在默认PRIMARY用户存储域，所有普通应用用户迁移到独立创建的次级用户存储域（可自定义命名，如APP_USERS）
• 打开<IS_HOME>/repository/conf/deployment.toml配置文件，添加域访问控制规则：

[authorization_manager.properties]
GroupAndRoleSeparationEnabled = true
enable_domain_based_access_control = true
allowed_domains_for_restricted_admins = ["APP_USERS"]

• 调整受限管理角色的权限范围，仅保留该角色对APP_USERS域的用户、角色、用户配置文件的操作权限，移除所有对PRIMARY域的操作权限
• 配置完成后重启服务，受限管理员将无法访问PRIMARY域的内置admin角色，自然无法将其分配给任意用户。

方案二：自定义角色分配拦截器（适合不拆分用户域的场景） #

• 基于WSO2 IS提供的扩展点实现自定义UserOperationEventListener接口，重写preUpdateRoleListOfUser方法
• 在方法中添加校验逻辑：如果操作人属于受限管理角色，且待分配的角色列表中包含内置admin角色，直接抛出权限异常终止操作
• 将实现逻辑打包为OSGi bundle，放入<IS_HOME>/repository/components/dropins目录
• 在deployment.toml中配置该监听器优先级高于默认权限校验监听器，即可实现角色分配的强制拦截。

验证注意事项 #

• 所有配置修改完成后需重启WSO2 IS实例生效
• 测试前需清除服务端权限缓存，避免旧权限残留导致验证结果异常
• 如使用域隔离方案，原有应用的用户认证逻辑无需大幅调整，仅需要适配用户名带域后缀的场景即可。

内容的提问来源于stack exchange，提问作者Stephen Dewitt