基于WSO2 IS构建SSO架构的角色关联问题咨询

针对你在WSO2 Identity Server搭建SSO架构时遇到的「无自定义角色的SP关联通用角色」问题，我整理了一套可行的配置方案，之前在类似场景下验证过有效：

核心逻辑说明 #

你的SP没有自定义角色体系，不需要用角色映射（这个功能是给SP有自有角色时，做WSO2角色到SP角色的转换用的），直接把WSO2侧创建的通用角色绑定到SP即可实现授权和角色传递。

1. 创建WSO2通用角色 #

• 登录WSO2 IS管理控制台，进入 Main > Identity > Roles and Permissions > Add New Role
• 输入角色名称（比如Common_SP_Access_Role），根据业务需求勾选对应权限（比如基础的登录权限、该SP的访问权限等），完成角色创建
• 把需要访问该SP的用户批量添加到这个通用角色里

2. 将通用角色关联到目标SP #

• 进入 Main > Identity > Service Providers > List，找到你的目标SP并点击Edit
• 在左侧菜单栏选择「Local & Outbound Authentication Configuration」，找到「Role-Based Access Control」模块
• 勾选「Enable Role-Based Access Control」，然后点击「Add Role」，从下拉列表中选择你刚创建的通用角色
• 保存配置后，只有属于这个通用角色的用户才能访问该SP

3. 配置角色信息传递（可选但关键） #

如果SP需要获取用户的角色信息，要确保角色声明正确配置：

• 在SP编辑页面进入「Claim Configuration」，在「Requested Claims」中添加 http://wso2.org/claims/role 这个声明，可设置为「Mandatory」
• 这样用户登录后，WSO2会把该通用角色信息包含在SAML/OpenID Connect的响应中传递给SP

4. 验证配置 #

• 用属于该通用角色的用户发起SSO登录，检查是否能正常访问SP
• 查看SP接收到的身份断言，确认角色信息是否正确携带

内容的提问来源于stack exchange，提问作者AHMAD