17.集成LDAP

企业通常已经在LDAP系统各种保存了用户和群组信息。 自从5.14版本开始，Activiti提供了一种解决方案， 通过简单的配置就可以告知activiti如何连接LDAP。

在Activiti 5.14之前，Activiti就已经可以集成LDAP了。 然后，5.14的配置简单了很多。 不过，配置LDAP的“老”办法依然有效。更确切的说， 简化的配置其实是基于“老”方法的封装。

用法

要想在你的项目中集成LDAP， 在pom.xml中添加如下依赖：

<dependency>
  <groupId>org.activiti</groupId>
  <artifactId>activiti-ldap</artifactId>
  <version>latest.version</version>
</dependency>
            

用例

集成LDAP目前有两大用例：

• 通过IdentityService进行认证。比如，使用Activiti Explorer 通过LDAP登录。

• 获得用户的组。这在查询用户可以看到哪些任务时非常重要。 （比如，任务分配给一个候选组）。

配置

集成LDAP是通过向流程引擎配置章节中的configurators注入 org.activiti.ldap.LDAPConfigurator的实例来实现的。 这个类是高度可扩展的： 如果默认的实现不符合用例的话， 可以很容易的重写方法，很多依赖的bean都是可插拔的。

这时一个实例配置（注意：当然， 通过代码创建引擎时，是非常简单的）。 现在不用担心所有参数，我们会在下一章详细讨论。

    <bean id="processEngineConfiguration" class="...SomeProcessEngineConfigurationClass">
        ...
        <property name="configurators">
          <list>
              <bean class="org.activiti.ldap.LDAPConfigurator">

                <!-- Server connection params -->
                <property name="server" value="ldap://localhost" />
                <property name="port" value="33389" />
                <property name="user" value="uid=admin, ou=users, o=activiti" />
                <property name="password" value="pass" />

                <!-- Query params -->
                <property name="baseDn" value="o=activiti" />
                <property name="queryUserByUserId" value="(&(objectClass=inetOrgPerson)(uid={0}))" />
                <property name="queryUserByFullNameLike" value="(&(objectClass=inetOrgPerson)(|({0}=*{1}*)({2}=*{3}*)))" />
                <property name="queryGroupsForUser" value="(&(objectClass=groupOfUniqueNames)(uniqueMember={0}))" />

                <!-- Attribute config -->
                <property name="userIdAttribute" value="uid" />
                <property name="userFirstNameAttribute" value="cn" />
                <property name="userLastNameAttribute" value="sn" />

                <property name="groupIdAttribute" value="cn" />
                <property name="groupNameAttribute" value="cn" />

              </bean>
          </list>
        </property>
    </bean>
            

属性

下面是org.activiti.ldap.LDAPConfigurator可以配置的属性：

Table 17.1.LDAP配置属性

下列属性用在希望修改默认行为 或修改组缓存的情况：

Table 17.2.高级属性

注意，在使用活动目录（AD）时：Activiti论坛中的人们反映对于活动目录（AD）， 'InitialDirContext'需要设置为Context.REFERRAL。可以通过上面描述的customConnectionParameters传递。

为Explorer集成LDAP

• 把上面的LDAP配置添加到activiti-standalone-context.xml中。

• 把activiti-ldap jar放到WEB-INF/lib目录下

• 删除demoDataGenerator bean，因为它会尝试插入数据（集成LDAP不允许这么做）

• 将下面的配置添加到activiti-ui.context的explorerApp bean中：

  <property name="adminGroups">
    <list>
      <value>admin</value>
    </list>
    </property>
    <property name="userGroups">
      <list>
        <value>user</value>
      </list>
  </property>
                          

  请使用你自己的配置替换其中的值。需要用到的数据是组的id（通过groupIdAttribute配置）。 上述配置会让'admin'组下的所有用户都成为Activiti Explorer的管理员，用户组也一样。 所有不匹配的组都会当做“分配”组， 这样任务就可以分配给他们。