WSO2 APIM 2.6.0与IS 5.6.0兼容吗？集成鉴权失败求助

首先明确说：WSO2 APIM 2.6.0和IS 5.6.0是完全兼容的，所以你遇到的令牌鉴权失败问题，大概率不是版本本身的兼容性问题，而是从APIM 2.5.0迁移到2.6.0过程中，集成配置的细节遗漏导致的。结合你提供的报错（Invalid Access Token. Access token is not ACTIVE），我给你梳理几个排查方向和解决方案：

1. 确认APIM是否正确配置为远程调用IS的令牌验证端点 #

APIM 2.6.0默认可能会尝试本地验证令牌，但当IS作为Key Manager时，必须让APIM调用IS的令牌 introspect 接口来验证状态。你需要检查配置：

• 如果你用的是deployment.toml（APIM 2.6.0推荐的配置方式），确保添加了IS作为Key Manager的完整配置，示例如下：

  [[apim.key_manager]]
  name = "WSO2IS"
  type = "WSO2-IS"
  enabled = true
  config_params = {
     server_url = "https://<你的IS域名>:9443",
     username = "<IS管理员账号，比如admin>",
     password = "<对应密码>",
     token_issuer = "https://<你的IS域名>:9443/oauth2/token",
     introspect_endpoint = "https://<你的IS域名>:9443/oauth2/introspect"
  }
  

• 如果你还在使用旧的api-manager.xml，找到<KeyManager>节点，确保TokenValidationEndpoint指向IS的/oauth2/introspect，并且开启了远程验证（比如设置<EnableTokenValidationEndpoint>true</EnableTokenValidationEndpoint>）。

2. 检查APIM与IS之间的证书信任 #

APIM调用IS的HTTPS端点时，如果双方的证书没有互相信任，会导致请求失败，APIM无法获取IS返回的令牌真实状态，从而误判令牌为INACTIVE。你需要：

• 将IS的公钥证书导入到APIM的client-truststore.jks中
• 将APIM的公钥证书导入到IS的client-truststore.jks中
• 重启APIM和IS服务

3. 验证IS中生成的令牌状态与属性 #

登录IS的管理控制台，进入Main > Identity > OAuth > OAuth2 Tokens，找到你生成的令牌，确认它的状态确实是ACTIVE，并且没有过期。另外检查令牌的audience（受众）是否包含APIM的服务地址，或者APIM是否配置了接受IS作为合法的令牌签发者。

4. 排查迁移过程中的配置遗漏 #

从APIM 2.5.0到2.6.0，配置文件结构有较大变化（从XML转为TOML），可能你之前在2.5.0中与IS集成的配置没有完全迁移到2.6.0的deployment.toml里。比如：

• 旧的api-manager.xml中关于Key Manager的自定义参数
• 租户相关的配置（如果使用多租户）
• OAuth2相关的扩展配置

5. 开启调试日志定位具体问题 #

如果以上步骤都没解决，可以开启APIM的调试日志，获取更详细的令牌验证过程：

• 修改APIM的log4j2.properties，添加：

  logger.apimgt.impl.name = org.wso2.carbon.apimgt.impl
  logger.apimgt.impl.level = DEBUG
  logger.identity.oauth2.name = org.wso2.carbon.identity.oauth2
  logger.identity.oauth2.level = DEBUG
  

• 重启APIM后，重新发起请求，查看wso2carbon.log中的详细日志，就能知道是调用IS的introspect接口失败，还是IS返回的令牌状态异常，或者是APIM本地逻辑出错。

内容的提问来源于stack exchange，提问作者2437850