K8s部署WSO2 API Manager 3.2.0（集成Keycloak）Analytics统计异常及权限配置咨询

部署基础与问题说明 #

K8s集群内部署WSO2 API Manager 3.2.0，采用Keycloak作为外部统一身份管理器，当前故障表现为Analytics Dashboard无法查看开发者发布API对应的统计数据，需完成Analytics模块的权限配置，获取模块管理员访问权限。

Keycloak侧前置配置 #

• 在WSO2对接的Keycloak Realm下，创建与Analytics模块权限要求匹配的专属角色，角色权限范围覆盖Dashboard全量数据读取、模块配置访问能力
• 将目标管理员账号关联上述Analytics角色，同时绑定WSO2 Publisher、Developer Portal的基础访问角色，避免跨模块权限校验拦截
• 调整Keycloak令牌声明规则，确保JWT令牌可正确携带角色字段，无名称截断、命名空间前缀不匹配问题，保证WSO2侧可正常解析角色信息

WSO2侧核心权限调整 #

• 修改WSO2节点的deployment.toml配置，建立Keycloak角色与WSO2内置Analytics管理员角色的映射关系，参考配置片段：

  [analytics.dashboard]
  admin_roles = ["analytics-admin", "Internal/analytics"]
  

• 检查K8s网络策略配置，确认Analytics Dashboard节点可正常访问核心统计数据存储组件，无网络层拦截导致的数据加载失败
• 调整WSO2授权管理器规则，将Analytics Dashboard核心访问路径纳入权限校验白名单，避免Keycloak认证通过后被本地权限层拦截

配置后校验 #

• 重新登录Analytics Dashboard，检查会话携带的权限列表是否包含Analytics管理员标识，确认无权限缺失告警
• 逐页面访问核心统计模块，确认开发者发布的API维度统计数据可正常加载
• 检查K8s Ingress的Cookie作用域配置，确认跨域名访问时会话权限信息不会因Cookie作用域限制丢失

内容的提问来源于stack exchange，提问作者bilel