WSO2 IS 5.10.0配置外部LDAP后域用户登录报错Tenant ID不能为-1

从日志报错和配置信息可以直接定位问题断点：整个登录流程在租户识别阶段就已经中断，根本没有走到LDAP用户密码校验的环节，所以即使你能在LDAP服务器查到对应用户，也无法完成登录。

具体报错根因 #

• WSO2 IS 内置默认租户拆分规则：当登录输入的用户名包含@符号时，系统会自动截取@后的字符串识别为租户域名，匹配对应已激活的租户
• 你使用ainacio@wso2.com作为登录名时，系统拆分出的租户域为wso2.com，但当前环境根本没有创建并激活过域为wso2.com的租户，流程直接在租户匹配环节中断，抛出Invalid Domain、Tenant ID cannot be -1的错误
• 这类报错和LDAP服务本身的连接状态、用户是否存在没有直接关系，你能在LDAP查到对应用户，仅证明WSO2和LDAP的网络、连通性是正常的

分步修复操作 #

快速验证方案（无需修改配置） #

如果当前使用的是WSO2 IS默认的主租户（即碳租户ID为-1234、内置超管所在的租户），直接输入不带后缀的用户名ainacio尝试登录即可。主租户下的普通用户登录不需要携带租户域后缀，输入不含@的用户名时，系统不会触发租户拆分逻辑，会直接进入用户存储的密码校验流程。

适配带@后缀的完整用户名登录场景 #

如果业务要求必须使用ainacio@wso2.com这类带@的完整字符串作为登录名，需要在deployment.toml中增加配置，关闭自动租户拆分逻辑：

[tenant_mgt]
enable_email_domain_as_username = true

配置生效重启服务后，WSO2 IS会把带@的完整字符串识别为主租户下的普通用户名，不再将@后的内容作为租户域解析。

补充校验LDAP存储配置 #

在deployment.toml的[user_store]配置块中，逐一核对以下参数和外部LDAP的实际结构匹配：

• 确认user_search_base值为LDAP中实际存储ainacio用户的组织单元路径，比如ou=users,dc=close-upinternational,dc=com，避免路径错误导致后续用户查询失败
• 确认username_attribute值和LDAP中用于标识登录名的属性一致，比如常用的uid，不要配置成和实际属性不匹配的值

排除账号权限问题 #

完成上述配置后，如果仍无法登录，确认LDAP中的对应用户没有设置账号锁定、过期类属性，且已关联基础登录权限角色，保证账号状态可正常认证。

内容的提问来源于stack exchange，提问作者Aldo Inácio da Silva