Если нужно каким-то образом обращаться к внешним данным из рабочего процесса, то самым логичным решением видится разработка специального сервиса, который бы взял бы на себя работу с данными.
Разработка такого сервиса не вызывает проблем, если использовать технологию WCF Data Services.
Очень удобно использовать службы данных WCF с технологией Entity Framework: добавляем модель и создаём службу на её базе:
Надо сказать, что тут есть ограничение: службы данных работают исключительно со стандартными типами данных. Например, у меня в таблице БД есть колонка типа geography. Entity Framework создал мне сущность с полем типа GeographyPoint. Но вот службы данных работать с ним отказались. Пришлось делать отдельную мини-модель без этой сущности, благо работать с ней не нужно было. Может есть ещё какие-то ограничения, пока отдельно этот вопрос не исследовал, если кто-то сталкивался, пишите, пожалуйста, в комментариях.
Итак, служба данных у нас готова. (Всего-то максимум час работы, красота!) Службы данных работают через OData. Это для нас очень удобно, так как позволяют легко вызывать их из рабочего процесса с помощью активности HttpSend(я уже упоминал про работу с HttpSend тут). Для каждого действия с внешними данными (получение или обновление) я создал отдельную активность рабочего процесса.
Трудности могут вызвать формат строки URI для запроса к сервису. Но на помощь приходит документация. Например, тут описание запроса данных с фильтрацией. А здесь описание обновления отдельного свойства.
Отдельно хочу сказать про операции обновления. Выполняются они с помощью операции PUT. В IIS эта операция требует специальных разрешений на папку, в которой находится сервис. Workflow Manager делает запрос из-под своего аккаунта. Поэтому ему необходимо дать разрешения:
Адрес службы данных рабочий процесс должен откуда-то получить. Я передавал адрес в виде строки как параметр при запуске рабочего процесса. Для этого пришлось отказаться от автоматического запуска рабочего процесса и запускать его в обработчике событий SharePoint. Как это делать я уже описывал.
Про самое главное здесь - про безопасность. Как это всё друг с дружкой увязывается.
Служба данных работает из-под своей учётной записи. Я так и назвал её - DataService. Из-под этой учётной записи будет идти обращение к БД. В настройках IIS должна быть выключена анонимная аутентификация и включена аутентификация Windows для операций обновления. Если операций обновления нет, то в принципе можно оставить анонимность, но я бы всё равно не стал бы так делать.
Безопасность на уровне БД определяется путём заведения специальной роли, я её назвал Data Service. Выдал ей разрешения на нужные объекты БД, и добавил в неё учётную запись DataService.
Workflow Manager работает также под своей учётной записью - sp_workflowmanager. Ей нужны разрешения на папку IIS (см. выше).
HttpSend по-умолчанию посылает HTTP-запрос анонимно, без указания заголовка аутентификации. Для того, чтобы его заставить всё-таки отсылать заголовок, нужно указать пустой заголовок Authorization:
Вот и всё. Надеюсь, кому-нибудь пригодиться.