Camunda多租户场景下无法跨租户访问其他租户资源问题咨询

1. 跨租户资源访问需求是否可以实现？ #

可以实现，Camunda 原生授权机制完全支持跨租户的资源权限授予，只需完成对应配置即可满足业务需求。

2. 额外需要完成的配置步骤 #

你当前配置不生效，通常是缺少以下几个必要配置项：

• 首先关闭 Camunda 默认的租户检查开关，该配置默认开启时会强制过滤用户仅能访问所属租户的资源，优先级高于手动授权规则。SpringBoot 项目只需在application.yml或application.properties中添加如下配置：

  camunda.bpm:
    authorization:
      enabled: true
      tenant-check-enabled: false
  

  对应 properties 格式：

  camunda.bpm.authorization.enabled=true
  camunda.bpm.authorization.tenant-check-enabled=false
  

• 确认授权规则的配置符合要求：
  • 授权主体选择租户，主体ID填写tenant2
  • 资源类型选择流程实例，资源ID可以指定 tenant1 的具体流程实例ID，或者填*授予所有流程实例的访问权限
  • 权限勾选读取，如果需要查看历史流程实例还要额外勾选读取历史权限
• 如果你使用 Camunda 官方 Web 界面（Tasklist/Cockpit）查看数据，还需要额外给 tenant2 授予 tenant1 对应流程定义的读取权限，否则界面会因为没有流程定义权限过滤掉关联的流程实例数据
• 排查是否存在自定义的拦截规则，如果你在业务代码中硬编码了租户ID过滤逻辑，也会覆盖官方授权规则，导致跨租户访问不生效
• 验证时可以调用IdentityService的setAuthentication方法传入 tenant2 的用户ID和租户ID，再用RuntimeService的createProcessInstanceQuery()不带租户过滤条件查询，即可验证授权是否生效

内容的提问来源于stack exchange，提问作者Varun Pandey