Was läuft, bestimmt die Konfiguration

Worum es geht

CIAS ist keine Anwendung, die man startet, sondern eine Sammlung von Jars. Ein Jar ist eine Bibliothek, die im Klassenpfad einer Anwendung liegt. Ob ein CIAS-Modul in dieser Anwendung tatsächlich arbeitet, entscheidet allein die Konfiguration. Dass das Jar da ist, reicht nicht.

Warum kein Modul sich selbst einschaltet

Spring findet Klassen normalerweise über einen Komponentenscan: Es durchsucht Pakete nach Klassen mit Markierungen wie @Service oder @Component und baut sie zusammen. CDMS scannt dabei alles unter com.codamai — und CIAS liegt unter com.codamai.

Trüge eine CIAS-Klasse so eine Markierung, würde jede CDMS-Anwendung sie einsammeln, sobald das Jar irgendwie im Klassenpfad landet, etwa als Abhängigkeit einer Abhängigkeit. Zusammengesteckt würde sie dann mit Objekten, die es dort gar nicht gibt.

Deshalb:

Die Schalter

Das Bild zeigt, wo die Schalter sitzen. Links das, was immer da ist, sobald die Filterkette läuft; rechts die Module, die einzeln zugeschaltet werden.

flowchart LR
    subgraph P["Ein Prozess"]
        direction TB
        A["cias-authentication<br/>Filterkette, Mandanten-Tor<br/><i>kein Schalter: da oder nicht da</i>"]
        L{"codamai.cias.tenancy.lookup"}
        A --> L
        L -->|local| T["cias-tenancy<br/>codamai.cias.tenancy.enabled"]
        L -->|remote| C["cias-tenancy-client<br/>+ client.base-url, client.credentials"]
        A -.-> U["cias-user<br/>codamai.cias.user.enabled"]
        A -.-> Z["cias-authorization<br/>codamai.cias.authorization.enabled"]
        A -.-> R["cias-registration<br/>codamai.cias.registration.enabled"]
        A -.-> N["cias-notification<br/>codamai.cias.notification.enabled"]
        A -.-> AU["cias-audit<br/>codamai.cias.audit.enabled"]
    end
    IP{"codamai.cias.iam-provider"}
    Z --> IP
    U --> IP
    IP -->|keycloak| K[(Keycloak)]

Die vollständige Liste:

cias-authentication hat keinen eigenen Schalter. Die Filterkette prüft jedes Token, und sie arbeitet, sobald das Jar da ist. Was sie braucht, ist kein Schalter, sondern eine Antwort: codamai.cias.tenancy.lookup sagt ihr, wen sie nach dem Mandanten fragt.

Die drei Ausprägungen

Wann welcher Fall gilt, ist nicht Geschmackssache. Es hängt davon ab, was ein falscher Standardwert anrichten würde:

Die ganze Regel dahinter steht unter Im Zweifel ablehnen, samt der Liste aller Pflicht-Angaben.

Was die Anwendung selbst beisteuern muss

Manche Angaben sind keine Zeile in einer Datei, sondern Beans. Eine Bean ist ein Objekt, das Spring beim Start zusammensteckt.

Fehlt eine davon, wo sie gebraucht wird, scheitert der Start mit dem Namen des Typs in der Meldung.

Was im Build entschieden wird

Ein Teil der Entscheidung fällt früher, nämlich wenn der Projektrahmen erzeugt wird. Im Hub steht am System ein Feld cias mit drei möglichen Werten. Der Generator legt danach fest, welche Jars in die Anwendung kommen und welche Konfigurationsklassen er schreibt.

Zwei Dinge daran sind leicht zu übersehen:

• REMOTE ist der Wert, der gilt, wenn niemand etwas sagt. Sobald eine Anwendung über CIAS anmeldet, braucht sie eine Antwort auf die Frage des Mandanten-Tors, sonst startet sie nicht. Der Generator lässt diese Frage deshalb nie offen. REMOTE ist dabei die zurückhaltendere Wahl: ein Jar und zwei Einstellungen. EMBEDDED holt Mandanten, Benutzer und Rollenkatalog in die Anwendung, und das ist eine Entscheidung über die Installation, kein Standard.
• Bei EMBEDDED kommt die Identitäts-Hälfte schlafend mit. Die Jars für Benutzer, Rollenkatalog und Keycloak-Zugriff liegen im Klassenpfad, aber CIAS_IAM_PROVIDER, CIAS_USER und CIAS_AUTHORIZATION stehen zunächst auf leer beziehungsweise false. Erst wer sie setzt, hat sie. Das ist genau der Punkt dieser Seite: was läuft, bestimmt die Konfiguration, nicht der Klassenpfad.

Ein System, das gar nicht über CIAS anmeldet, bekommt immer NONE — auch wenn im Feld etwas anderes steht. Ohne Filterkette gibt es kein Tor, das eine Antwort bräuchte.

Fallen

Weiter

• Eingebettet und getrennt im Vergleich
• CIAS eingebettet (eine Einheit)
• CIAS als eigener Service
• SINGLE und MULTI über beide Module
• Im Zweifel ablehnen
• Wer entscheidet was?