Camunda + ADFS
背景及其概述
我们经常做的国际企业的项目，难免会遇到微软的产品Office、Teams等其他的产品。当然大部分国际企业基本上用的微软产品，比如AD FS(SSO)产品。同时审批流也是企业常用的业务能力，目前我们可选的开源、成熟、可靠的工作流Flowable和Camunda，在我们周围几乎使用的Flowable，也有Activiti。但是我喜欢Camunda，因为业务能力比较强。
假如我们是从零起步的，在SSO这方面可选的产品开源成熟的产品就是CAS、Keycloak等，可能还有其他的，我也不跟你们计较（有时候会牵扯到法务，安全审核等等，所以选择一些产品都是经过考虑的）。
-
CAS
这个东西太难搞了，从16年开始就接触了，而且离自己期望的业务能力有点远（可能是自己太懒吧），比如：企业组织架构，自定义登录界面等，当然有些功能CAS可以实现的。但是是该退出舞台了。
-
Keycloak
就是感觉有活力（11.2 K），集群简单的配置就可以实现了。缺点就是重，可是对我们这些开发者来说都不是事（不就是机器的问题嘛，向客户要）。
这两个产品都不是我们今天要讨论的主题，今天的主题是：Camunda +AD FS。
为什么必须是Camunda +AD FS架构呢？
因为企业已经使用了 AD FS 作为单点登录的，我们不可以让客户去换或者兼容其他的SSO。
Camunda + ADFS
在全网进行搜索也没有有关 Camunda +AD FS 集成方案，唯一找到的是：Support for ADFS
Hi Akshay,
currently, Camunda only supports LDAP and it’s built-in database provider. However, you can write your own identity provider to work with ADFS. Please have a look at the docs 59. Otherwise, you can implement an import which loads the data to the built-in database provider (maybe periodically).
Does this help you?
Best regards,
Philipp
什么意思？
<u>自己编写的身份提供者来使用ADFS，感觉有眉目呢，而且说的有道理，那我们就撸起来吧。</u>
我自己比较懒，不想动，先想想怎么下手。如果按照上面的说法，自己实现身份提供逻辑，那登录界面会不会还会是ADFS登录界面？
那我也不知道，只能看看自定义实现身份提供方案大体是怎么实现的。看看docs 59.
重点是：org.camunda.bpm.engine.impl.identity.ReadOnlyIdentityProvider
boolean checkPassword(java.lang.String userId, java.lang.String password)
ReadOnlyIdentityProvider是Java接口，如果我们自己实现身份提供者，那么就只能实现此接口。其中checkPassword方法的2参数，就确认了登录界面仍然是Camunda自带的登录界面，那么看来这个方案是走不通了。
可能会想？难道Camunda这么牛逼的流程引擎就没考虑SSO？
先去社区或者GitHub看看目前Camunda提供的SSO方案。
集成 SSO 方案
目前，Camunda社区提供的方案是：
camunda-sso-jboss
camunda-sso-jboss-enterprise-edition
camunda-sso-jboss-keycloak
camunda-sso-jboss-local-test-basic-auth
camunda-sso-jboss-local-test-basic-auth-ee
camunda-sso-jboss-local-test-basic-auth-groups
camunda-sso-weblogic
camunda-sso-weblogic-get-groups-from-container
是没有提供ADFS方案，那我们是不是就可以放弃了？肯定是不能的，老板肯定不能放弃。
从社区提供的方案看，感觉camunda-sso-jboss-keycloak方案比较亲切（个人感觉），那我们就从它下手吧。
从Example来看，核心代码就是下面这个类。
package com.camunda.consulting.sso_keycloak;
import java.util.ArrayList;
import java.util.Set;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import org.camunda.bpm.engine.ProcessEngine;
import org.camunda.bpm.engine.rest.security.auth.AuthenticationProvider;
import org.camunda.bpm.engine.rest.security.auth.AuthenticationResult;
import org.keycloak.KeycloakPrincipal;
public class KeycloakAuthenticationProvider implements AuthenticationProvider {
@Override
public AuthenticationResult extractAuthenticatedUser(HttpServletRequest request, ProcessEngine engine) {
#TODO 1
KeycloakPrincipal<?> principal = (KeycloakPrincipal<?>) request.getUserPrincipal();
if (principal == null) {
return AuthenticationResult.unsuccessful();
}
String name = principal.getName();
if (name == null || name.isEmpty()) {
return AuthenticationResult.unsuccessful();
}
#TODO 2
Set<String> roles = principal.getKeycloakSecurityContext().getToken().getRealmAccess().getRoles();
AuthenticationResult result = AuthenticationResult.successful(name);
result.setGroups(new ArrayList<String>(roles));
return result;
}
@Override
public void augmentResponseByAuthenticationChallenge(HttpServletResponse response, ProcessEngine engine) {
// TODO Auto-generated method stub
}
}
其重点就是：TODO 1 、TODO 2，到这里我们就大概明白了，要实现 camunda + ADFS 方案实际就是 Java(Servlet) + ADFS 。
Java + ADFS
有关 Java 与 ADFS 集成方案，目前网上的有关资料很多。这里我就在网上找个合适的资料供参考。
大概说明：Microsoft MSAL JAVA ADFS Support
具体实现：Spring Boot Starter for Azure Active Directory developer's guide
示例：https://github.com/Azure-Samples/azure-spring-boot-samples
说句实话，要把这个集成好，还是要认真看文档。
本次收获
把Camunda的官方文档大体看了一遍，不是很认真，但是大概知道怎么搭建这个东西。重点了解到了 Zeebe（用于微服务编排的工作流引擎），看着说明就感觉业务能力强劲，当然实际玩的时候才能知道难度。虽然我自己能力比较弱，但是我觉得我有信心把它拿下。
专业名称解释
<u>若英文看不懂就翻译</u>
CAS：
Enterprise Single Sign-On - CAS provides a friendly open source community that actively supports and contributes to the project. While the project is rooted in higher-ed open source, it has grown to an international audience spanning Fortune 500 companies and small special-purpose installations.
https://www.apereo.org/projects/cas
ADFS：
Active Directory 联合身份验证服务
https://baike.baidu.com/item/ADFS/892989
Camunda：
A complete process automation tech stack with powerful execution engines for BPMN workflows and DMN decisions, combined with essential applications for modeling, operations, and analytics.
https://camunda.com/products/camunda-platform/
Zeebe:
Zeebe is the process automation engine powering Camunda Cloud. While written in Java, you do not need to be a Java developer to use Zeebe.
