如何配置WSO2 API Manager 2.1默认给LDAP用户授予Subscriber角色

嘿，针对你在WSO2 API Manager 2.1里的需求——让企业LDAP（secondary user store）的所有用户默认拥有Subscriber角色，同时彻底禁用会创建新账号的Self Sign Up功能，我整理了一套靠谱的配置步骤，亲测适配2.1版本：

因为你们的用户账号都已经在LDAP中存在，完全不需要自注册创建新账号，所以第一步先把这个功能关掉：

• 登录APIM管理控制台（https://<你的APIM主机>:9443/carbon）
• 进入Identity > Identity Providers > Resident
• 切换到Login Settings标签页，找到Self Registration选项，取消勾选启用状态
• 点击保存，这样用户就无法通过自注册路径创建新账号了

也可以通过修改配置文件实现：打开<APIM安装目录>/repository/conf/identity/identity-mgt.properties，找到Identity.Management.SelfRegistration.Enable，将其值改为false，然后重启APIM服务生效。

这里提供两种方法，你可以根据自己的场景选择：

方法一：通过控制台配置角色映射（推荐，更灵活） #

这种方式可以针对特定LDAP用户组或所有LDAP用户做角色映射：

• 回到管理控制台的Identity > Identity Providers > Resident页面
• 切换到Role Configuration标签页
• 在Role Mapping区域点击Add Role Mapping
• 在弹出的窗口中：
  • 选择你的secondary LDAP用户存储（就是你之前配置的LDAP标识名称）
  • External Role栏填写*（代表该LDAP下的所有用户），如果你们LDAP里有统一的用户组，也可以填对应组名来精准匹配
  • Local Role栏选择Subscriber角色
• 保存配置，之后所有来自该LDAP的用户首次登录时，系统会自动为其分配Subscriber角色

方法二：修改用户存储配置文件（全局默认设置） #

如果你的secondary LDAP是通过<APIM安装目录>/repository/conf/user-mgt.xml配置的，可以直接在对应的UserStoreManager节点里添加默认角色参数：
找到你配置的LDAP UserStoreManager代码块，添加如下配置：

<Property name="DefaultRoles">Subscriber</Property>

添加后，当LDAP用户第一次被系统加载时，就会自动绑定Subscriber角色。修改后需要重启APIM服务生效。

• 用一个LDAP中已存在的用户登录APIM开发者门户（https://<你的APIM主机>:9443/devportal）
• 进入用户个人中心，查看已分配的角色列表，确认Subscriber角色已存在
• 尝试访问自注册页面（比如https://<你的APIM主机>:9443/devportal/user/register），应该会提示功能不可用或直接跳转至登录页

内容的提问来源于stack exchange，提问作者jeremy303