WSO2 IS 7.1.0升级至7.2.0后无法为用户分配自定义角色

核心原因 #

WSO2 Identity Server 7.2.0对角色管理权限体系做了细分，新增了internal_role_mgt_permissions_update、internal_role_mgt_users_update、internal_role_mgt_groups_update三个关键内部权限，用于管控角色与用户/组的关联操作、权限变更操作。但官方默认的升级流程仅覆盖数据库结构（表、索引）的迁移，不会自动将这些新增权限关联到原有管理员角色（如admin），导致原有用户因缺少权限触发403禁止错误。

解决方案 #

1. 手动通过管理控制台添加权限 #

• 登录WSO2 IS管理控制台，进入角色管理，搜索并打开admin角色的编辑页面
• 切换到权限标签，展开权限树的内部 > 角色管理节点，勾选以下权限：
  • 角色权限更新 (internal_role_mgt_permissions_update)
  • 角色用户更新 (internal_role_mgt_users_update)
  • 角色组更新 (internal_role_mgt_groups_update)
• 保存角色配置后，重新测试用户角色分配操作。

2. 数据库脚本批量添加权限（适合批量场景） #

如果管理控制台操作受限，可直接操作用户管理数据库（默认是UM_DB）：

1. 查询admin角色的ID：

SELECT UM_ROLE_ID FROM UM_ROLE WHERE UM_ROLE_NAME = 'admin' AND UM_TENANT_ID = 0;

2. 查询三个新增权限的ID：

SELECT UM_PERMISSION_ID FROM UM_PERMISSION WHERE UM_RESOURCE_ID IN (
    'internal_role_mgt_permissions_update',
    'internal_role_mgt_users_update',
    'internal_role_mgt_groups_update'
) AND UM_TENANT_ID = 0;

3. 将角色ID与权限ID关联，插入到UM_ROLE_PERMISSION表：

INSERT INTO UM_ROLE_PERMISSION (UM_ROLE_ID, UM_PERMISSION_ID, UM_TENANT_ID)
VALUES ('[查询到的admin角色ID]', '[权限ID1]', 0),
       ('[查询到的admin角色ID]', '[权限ID2]', 0),
       ('[查询到的admin角色ID]', '[权限ID3]', 0);

注意：操作前请备份数据库，确保UM_TENANT_ID与你的租户ID匹配（默认租户为0）。

3. 补充Helm Chart的迁移步骤 #

如果使用Helm部署，需检查Chart配置中是否包含权限迁移逻辑：

• 在Helm Chart的jobs或post-install/post-upgrade钩子中添加上述数据库脚本的执行步骤，确保每次升级后自动完成权限关联
• 或者在Chart的配置文件中指定默认角色的权限映射，覆盖WSO2的默认配置。

验证步骤 #

1. 执行权限添加后，重启WSO2 IS服务
2. 使用admin用户调用SCIM接口更新用户角色，确认不再返回403错误
3. 查看服务日志，确认Could not update user...的错误信息消失

内容的提问来源于stack exchange，提问作者user31908604