integrator - wso2 forums

No se puede emitir un token de acceso válido desde WSO2 IS 5.0.0

Question

Estoy ejecutando WSO2 IS 5.0.0. Tengo el SP para IS 5.0.0 aplicado junto con todos los demás parches de seguridad emitidos para esa versión para Identity Server y Carbon 4.2.0. Mi entorno consta de 4 máquinas que están creando un clúster (utilizando el esquema de membresía WKA y Load Balancer con sesión adhesiva). Estoy usando MySQL (no la base de datos H2 predeterminada). Las máquinas en las que se implementa el IS son Windows Server 2012 R2 (máquinas EC2 AWS). El PRODUCT_HOME / repository / conf / identity.xml tiene la siguiente configuración:

    <JDBCPersistenceManager>
    <DataSource>
        <Name>jdbc/WSO2CarbonDB</Name>
    </DataSource>
    <SessionDataPersist>
        <Enable>true</Enable>
        <RememberMePeriod>20060</RememberMePeriod>
        <CleanUp>
            <Enable>true</Enable>
            <Period>1440</Period>
            <TimeOut>20160</TimeOut>
        </CleanUp>
        <Temporary>false</Temporary>
    </SessionDataPersist>
</JDBCPersistenceManager>
<SessionContextCache>
    <Enable>true</Enable>
    <Capacity>100000</Capacity>
</SessionContextCache>
<OAuth>
    <AuthorizationCodeDefaultValidityPeriod>300</AuthorizationCodeDefaultValidityPeriod>
    <AccessTokenDefaultValidityPeriod>1800</AccessTokenDefaultValidityPeriod>
    <UserAccessTokenDefaultValidityPeriod>1800</UserAccessTokenDefaultValidityPeriod>
    <RefreshTokenValidityPeriod>31540000</RefreshTokenValidityPeriod>
    <TimestampSkew>10</TimestampSkew>
    <EnableOAuthCache>false</EnableOAuthCache>
    <RenewRefreshTokenForRefreshGrant>true</RenewRefreshTokenForRefreshGrant>
</OAuth>

De forma esporádica, recibo el siguiente error en el registro de consola de Identity Server (al emitir token de acceso utilizando el tipo de concesión client_credentials y el alcance de openid):

ERROR {org.wso2.carbon.identity.openidconnect.DefaultIDTokenBuilder} -  Error occurred while getting access token based information
ERROR {org.wso2.carbon.identity.oauth2.OAuth2Service} -  Error when issuing the access token.
    org.wso2.carbon.identity.oauth2.IdentityOAuth2Exception: Error occurred while getting access token based information
    at org.wso2.carbon.identity.openidconnect.DefaultIDTokenBuilder.getAccessTokenIssuedTime(DefaultIDTokenBuilder.java:348)
    at org.wso2.carbon.identity.openidconnect.DefaultIDTokenBuilder.buildIDToken(DefaultIDTokenBuilder.java:141)
    at org.wso2.carbon.identity.oauth2.token.AccessTokenIssuer.issue(AccessTokenIssuer.java:212)
    at org.wso2.carbon.identity.oauth2.OAuth2Service.issueAccessToken(OAuth2Service.java:177)
    at org.wso2.carbon.identity.oauth.endpoint.token.OAuth2TokenEndpoint.getAccessToken(OAuth2TokenEndpoint.java:233)
    at org.wso2.carbon.identity.oauth.endpoint.token.OAuth2TokenEndpoint.issueAccessToken(OAuth2TokenEndpoint.java:108)
    at sun.reflect.GeneratedMethodAccessor57.invoke(Unknown Source)
    at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:43)
    at java.lang.reflect.Method.invoke(Method.java:606)
    at org.apache.cxf.service.invoker.AbstractInvoker.performInvocation(AbstractInvoker.java:180)
    at org.apache.cxf.service.invoker.AbstractInvoker.invoke(AbstractInvoker.java:96)
    at org.apache.cxf.jaxrs.JAXRSInvoker.invoke(JAXRSInvoker.java:194)
    at org.apache.cxf.jaxrs.JAXRSInvoker.invoke(JAXRSInvoker.java:100)
    at org.apache.cxf.interceptor.ServiceInvokerInterceptor$1.run(ServiceInvokerInterceptor.java:57)
    at org.apache.cxf.interceptor.ServiceInvokerInterceptor.handleMessage(ServiceInvokerInterceptor.java:93)
    at org.apache.cxf.phase.PhaseInterceptorChain.doIntercept(PhaseInterceptorChain.java:271)
    at org.apache.cxf.transport.ChainInitiationObserver.onMessage(ChainInitiationObserver.java:121)
    at org.apache.cxf.transport.http.AbstractHTTPDestination.invoke(AbstractHTTPDestination.java:239)
    at org.apache.cxf.transport.servlet.ServletController.invokeDestination(ServletController.java:223)
    at org.apache.cxf.transport.servlet.ServletController.invoke(ServletController.java:203)
    at org.apache.cxf.transport.servlet.ServletController.invoke(ServletController.java:137)
    at org.apache.cxf.transport.servlet.CXFNonSpringServlet.invoke(CXFNonSpringServlet.java:159)
    at org.apache.cxf.transport.servlet.AbstractHTTPServlet.handleRequest(AbstractHTTPServlet.java:286)
    at org.apache.cxf.transport.servlet.AbstractHTTPServlet.doPost(AbstractHTTPServlet.java:206)
    at javax.servlet.http.HttpServlet.service(HttpServlet.java:755)
    at org.apache.cxf.transport.servlet.AbstractHTTPServlet.service(AbstractHTTPServlet.java:262)
    at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:305)
    at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:210)
    at org.apache.catalina.core.StandardWrapperValve.invoke(StandardWrapperValve.java:222)
    at org.apache.catalina.core.StandardContextValve.invoke(StandardContextValve.java:123)
    at org.apache.catalina.authenticator.AuthenticatorBase.invoke(AuthenticatorBase.java:472)
    at org.apache.catalina.core.StandardHostValve.invoke(StandardHostValve.java:171)
    at org.apache.catalina.valves.ErrorReportValve.invoke(ErrorReportValve.java:99)
    at org.wso2.carbon.tomcat.ext.valves.CompositeValve.continueInvocation(CompositeValve.java:178)
    at org.wso2.carbon.tomcat.ext.valves.CarbonTomcatValve$1.invoke(CarbonTomcatValve.java:47)
    at org.wso2.carbon.webapp.mgt.TenantLazyLoaderValve.invoke(TenantLazyLoaderValve.java:56)
    at org.wso2.carbon.tomcat.ext.valves.TomcatValveContainer.invokeValves(TomcatValveContainer.java:47)
    at org.wso2.carbon.tomcat.ext.valves.CompositeValve.invoke(CompositeValve.java:141)
    at org.wso2.carbon.tomcat.ext.valves.CarbonStuckThreadDetectionValve.invoke(CarbonStuckThreadDetectionValve.java:156)
    at org.apache.catalina.valves.AccessLogValve.invoke(AccessLogValve.java:936)
    at org.wso2.carbon.tomcat.ext.valves.CarbonContextCreatorValve.invoke(CarbonContextCreatorValve.java:52)
    at org.apache.catalina.core.StandardEngineValve.invoke(StandardEngineValve.java:118)
    at org.apache.catalina.connector.CoyoteAdapter.service(CoyoteAdapter.java:407)
    at org.apache.coyote.http11.AbstractHttp11Processor.process(AbstractHttp11Processor.java:1004)
    at org.apache.coyote.AbstractProtocol$AbstractConnectionHandler.process(AbstractProtocol.java:589)
    at org.apache.tomcat.util.net.NioEndpoint$SocketProcessor.run(NioEndpoint.java:1653)
    at java.util.concurrent.ThreadPoolExecutor.runWorker(ThreadPoolExecutor.java:1145)
    at java.util.concurrent.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:615)
    at java.lang.Thread.run(Thread.java:745)

Todavía estoy tratando de aislar el escenario exacto que está causando que el sistema se comporte de esta manera. Cuando se registra este error en particular en el registro de consola de Identity Server, obtengo lo siguiente en el registro http_access (PRODUCT_HOME / repository / logs / http_access_DATE.log)

172.31.26.60 - - [09/Sep/2016:07:18:28 +0000] "POST /oauth2/token?grant_type=client_credentials&scope=openid HTTP/1.1" 400 82 "-" "-"

Como resultado final recibo lo siguiente como respuesta:

error: "server_error"
error_description: "Error when issuing the access token"

Traté de actualizar el archivo PRODUCT_HOME / repository / conf / identity.xml configurando EnableOAuthCache en TRUE:

<EnableOAuthCache>true</EnableOAuthCache>

Luego, reinicié todas las instancias de Identity Server (como mencioné, tengo 4 máquinas en el clúster de WKA). Todo iba bien hasta que un día comenzamos a recibir token de acceso que no es válido.
Después de profundizar en este tema en particular, pude descubrir que por alguna razón el Servidor de Identidad devolvía dos tokens de acceso. El uno era válido y el otro no. Todavía estaba usando exactamente la misma solicitud POST para recuperar el token de acceso con el tipo de concesión client_credentials. Por lo general, después de emitir el token de acceso, estoy ejecutando la solicitud Get para el punto final de la información del usuario y resultó que solo uno de los tokens de acceso es válido.
Lo mencionado anteriormente también está sucediendo aleatoriamente. Por lo general, después de 10-15 minutos, el token no válido ya no se devuelve y el sistema se estabiliza. Cuando se experimenta el problema, se registra lo siguiente en el registro de la consola de Identity Server:

ERROR{org.wso2.carbon.identity.oauth2.dao.TokenPersistenceTask} -  org.wso2.carbon.identity.oauth2.IdentityOAuth2Exception: Error when getting an Identity Persistence Store instance.

Sin información adicional o seguimiento de la pila.
Además, el token de acceso no válido que se devuelve no existe en la base de datos.
Mi sistema se basa en estos tokens de acceso y cuando no puedo recuperarlos o recupero token no válido y no puedo llamar al punto final de userinfo , estoy experimentando un tiempo de inactividad. La última vez fue alrededor de 15-20 minutos.
Entonces mis preguntas son:
1. ¿Alguien más observó tal comportamiento o es un problema conocido? Si es así, ¿hay una solución para esto o algún tipo de parche que pueda aplicarse?
2. Si no crees que podría ser algún tipo de problema de configuración? En caso afirmativo, ¿qué archivos de configuración crees que deberían modificarse?
3. ¿Cree que este comportamiento podría estar relacionado con la configuración del clúster WKA?
4. ¿Crees que esto podría estar relacionado con el uso de MySQL?

Gracias por su tiempo y consideración.