Я тоже сделал тестовый проект:) В процессе обнаружил, что доступ действительно не работает в конфигурации по умолчанию, нужны дополнительные настройки security. Там проблема в том, что пути для аутентификации API настраиваются без учета servlet path (класс AuthorizedApiUrlsConfigurer), а контроллеры Flowable регистрируются через отдельные dispatcher servlets (класс RestApiAutoConfiguration). Думаю можно создать дефект в проекте Jmix на GitHub.
Тестовый проект выложен на GitHub - GitHub - daring2/jmix-flowable-rest-api · GitHub, дополнительная настройка spring security выполняется в классе BpmRestConfigurer. В файле rest_client/jmix.http сохранены тестовые запросы к Jmix и Flowable REST API для IDEA Http Client. Первый запрос получает и сохраняет access_token.