WSO2 AM 2.1.0分布式部署下APIM作为SP的SAML ACS URL咨询

针对你在WSO2 API Manager 2.1.0分布式（KM、GW、TM独立部署扩容）架构下的SAML SSO配置疑问，我来梳理核心逻辑和可落地的解决方案：

核心逻辑：ACS URL的本质 #

默认的https://host:9443/commonauth是Key Manager(KM)节点的认证端点——因为APIM的身份验证、令牌签发等核心安全能力都由KM负责，SAML SSO的断言处理、会话管理也在KM上完成。但你的场景要求客户端仅能访问Gateway(GW)的8243端口，所以需要把ACS URL指向GW，并通过GW代理请求到KM。

具体配置步骤 #

1. 更新SAML IdP配置中的ACS URL #

登录KM节点的Carbon管理控制台（https://<km-host>:9443/carbon），找到你已配置的外部SAML IdP，将ACS URL修改为：

https://<gw-host>:8243/commonauth

如果GW前端有负载均衡器，这里要填写负载均衡器的8243端口地址，确保所有客户端请求都统一入口。

2. 配置GW代理/commonauth请求到KM #

GW默认不会自动代理/commonauth端点，需要手动添加代理规则：

• 编辑GW节点的repository/conf/api-manager.xml，找到<APIGateway>下的<ProxyEndpoints>区块，添加如下配置：

  <ProxyEndpoint>
      <Name>CommonAuthProxy</Name>
      <Target>https://<km-host>:9443/commonauth</Target>
      <Context>/commonauth</Context>
  </ProxyEndpoint>
  

• 重启GW节点，让配置生效。此时客户端访问https://<gw-host>:8243/commonauth时，GW会自动把请求转发到后端KM处理。

3. 验证OAuth服务的可用性 #

你提到GW的8243端口已经暴露了所有OAuth服务，这完全符合要求——SAML SSO完成后，客户端需要通过GW的OAuth端点（如/token、/authorize）获取访问令牌，这些端点默认已经配置了对KM的代理，只需测试https://<gw-host>:8243/oauth2/token能正常响应即可。

关于“是否需要额外暴露服务”的解答 #

不需要暴露KM的9443端口给客户端！你只需要确保：

• GW的8243端口对客户端开放；
• GW和KM之间的内部网络连通，KM的9443端口能被GW访问到（无需对外暴露）。

客户端全程只与GW交互，所有认证、令牌相关请求都通过GW转发到KM，既满足你的网络访问限制，又能完整实现SAML SSO流程。

额外注意事项 #

• 同步更新外部SAML IdP的配置，确保IdP将SAML断言发送到新的ACS URL（GW的8243地址），否则会导致认证失败；
• 如果有多台GW节点做扩容，务必使用负载均衡器的地址作为ACS URL，避免单点故障；
• 检查GW和KM的SSL证书配置，确保两者之间的HTTPS通信不受证书信任问题影响。

内容的提问来源于stack exchange，提问作者gusto2