在WSO2中通过SCIM2 API创建含自定义扩展声明的用户

我帮你梳理下当前配置里的问题，以及修正后的完整步骤，确保你能成功创建带自定义demoRole字段的用户：

一、修正SCIM2扩展配置 #

你当前的scim2-schema-extension.config.xml配置有两个关键问题：

1. 自定义属性的attributeURI误用了标准Core Schema的命名空间，应该使用自定义扩展的命名空间（比如urn:ietf:params:scim:schemas:extension:custom:2.0:User），避免和标准字段冲突；
2. referenceTypes设置为["external"]不合适，因为demoRole是字符串类型，不是引用类型。

修正后的配置如下：

{
  "attributeURI":"urn:ietf:params:scim:schemas:extension:custom:2.0:User:demoRole",
  "attributeName":"demoRole",
  "dataType":"string",
  "multiValued":"false",
  "description":"The role of the User.",
  "required":"false",
  "caseExact":"false",
  "mutability":"readwrite",
  "returned":"default",
  "uniqueness":"none",
  "subAttributes":"null",
  "canonicalValues":[],
  "referenceTypes":[]
}

修改后必须重启WSO2 Identity Server，让配置生效。

二、确认本地声明配置 #

确保你已经在WSO2 IS控制台完成了以下操作：

1. 进入Main > Claims > Add，创建本地声明http://wso2.org/claims/demoRole；
2. 编辑该声明，勾选SCIM Enabled选项，这样SCIM API才能识别并映射这个声明；
3. 确认Claim URI设置为urn:ietf:params:scim:schemas:extension:custom:2.0:User:demoRole（和扩展配置的attributeURI完全一致），映射到本地声明http://wso2.org/claims/demoRole。

三、修正SCIM2 API请求体 #

你的请求体有两个问题：

1. schemas数组缺少自定义扩展的Schema URI，SCIM无法识别根节点的demoRole字段；
2. 自定义字段不能直接放在根节点，必须嵌套在对应的扩展Schema对象下。

正确的请求体如下：

{
  "schemas": [
    "urn:ietf:params:scim:schemas:core:2.0:User",
    "urn:ietf:params:scim:schemas:extension:custom:2.0:User"
  ],
  "name": { "familyName": "jackson", "givenName": "kim" },
  "userName": "test3",
  "password": "abc123",
  "emails": [
    { "primary": true, "value": "kim.jackson@gmail.com", "type": "home" },
    { "value": "kim_j@wso2.com", "type": "work" }
  ],
  "roles":[ { "value": "PRIMARY/manager" } ],
  "urn:ietf:params:scim:schemas:extension:custom:2.0:User": {
    "demoRole": "student"
  }
}

另外，请求时要注意：

• 请求方法为POST，端点是https://<IS_HOST>:<IS_PORT>/scim2/Users；
• 请求头的Content-Type必须设置为application/scim+json；
• 携带有效的管理员Bearer令牌（通过/oauth2/token端点获取）。

四、常见问题排查 #

如果还是失败，你可以从以下方向排查：

• 查看WSO2日志（IS_HOME/repository/logs/wso2carbon.log），里面会有详细的错误提示（比如Schema不匹配、声明未找到等）；
• 确认scim2-schema-extension.config.xml放在了正确的目录：IS_HOME/repository/conf/scim2/；
• 验证令牌权限：确保用于请求的令牌拥有internal_user_create等必要的权限；
• 测试查询用户：创建成功后，通过GET /scim2/Users/<USER_ID>请求，确认demoRole字段是否正确返回。

内容的提问来源于stack exchange，提问作者ankalal