Saltar al contenido principal
Two-Factor Authentication & SSO

Puesta en marcha de Two-Factor Authentication & SSO for Odoo, pregunta a pregunta

Para poner en marcha Two-Factor Authentication & SSO for Odoo rellenas la configuración OIDC o SAML de cada conexión IdP con los datos de tu proveedor y decides, con los mapeos, qué claims y grupos llegan a cada usuario. La primera semana revisas la lista de conexiones IdP, las sesiones activas en Ajustes y el informe MFA Coverage Report. Aquí tienes, pregunta a pregunta, qué campo va en cada sitio y qué mirar.

FlexigoTech · Responsable: Víctor Gómez · Actualizado el 4 de noviembre de 2026

Lo esencial

Versiones
Odoo 17, 18, 19 y 20
Comprobado
en el código del módulo, versión 20.0 · en las fuentes enlazadas al final
Lectura
5 min

Los datos que pide tu proveedor de identidad

¿Qué campos rellenas en una configuración OIDC?

La configuración OIDC se vincula a una conexión con el campo IdP Connection. El primer dato es Issuer URL, que la ayuda del campo describe como la URL del emisor OIDC, con el ejemplo https://login.microsoftonline.com/<tenant>/v2.0. Después van Client ID y Client Secret (encrypted), el secreto de cliente OAuth2. La ficha sigue con Authorization Endpoint, Token Endpoint, JWKS URI y End Session Endpoint. En Scopes escribes la lista de scopes OIDC que se van a pedir, separados por espacios. Según la ayuda de cada campo, Client Secret (encrypted), Refresh Token (encrypted) y Access Token (encrypted) se guardan cifrados en reposo. Junto al token de acceso vigente está Access Token Expiry, y en la misma configuración tienes Discovery Document Last Fetched. Cuando revises la conexión, mira esas dos fechas.

¿Y si tu proveedor trabaja con SAML?

La configuración SAML también lleva su campo IdP Connection. Del lado del proveedor rellenas IdP Entity ID (el Entity ID SAML del proveedor de identidad) e IdP SSO URL (la URL con binding HTTP-Redirect para la AuthnRequest). IdP SLO URL es la URL del servicio de Single Logout; la ayuda del campo la marca como opcional salvo que el Single Logout esté activado. En IdP Signing Certificate (PEM) pegas el certificado X.509 en PEM con el que el módulo verifica las respuestas SAML del proveedor. IdP Encryption Certificate (PEM) es opcional y sirve para aserciones SAML cifradas. IdP Metadata URL es la URL desde la que se descargan de forma periódica los metadatos SAML del proveedor y se guardan en caché; el último XML de metadatos descargado con éxito se guarda en Cached Metadata XML. La configuración tiene además SP Entity ID, SP ACS URL y el desplegable NameID Format.

Qué recibe cada usuario desde el proveedor

¿Cómo pasas un atributo del proveedor a un campo del usuario de Odoo?

Con las líneas de Claim Mappings de la configuración OIDC. Cada línea tiene IdP Attribute / Claim Name, con el nombre del atributo o claim en el proveedor, y Odoo User Field, un desplegable con el campo del usuario de Odoo al que va. Las líneas llevan también los campos SAML Configuration y OIDC Configuration, y un Sequence: las secuencias más bajas se aplican primero. Numera las líneas pensando en cuál quieres que se aplique antes.

¿Cómo asignas grupos de Odoo según el proveedor?

Con las líneas de Group Mappings. Cada línea relaciona un IdP Group Value con un Odoo Group y lleva el desplegable Mapping Mode. Igual que en los claims, cada línea tiene sus campos SAML Configuration y OIDC Configuration. Elige el Mapping Mode en el propio formulario al crear cada línea. Si al probar el acceso aparece un aviso, en los mensajes de error y avisos del módulo tienes los textos literales y qué hacer con cada uno.

Qué revisar la primera semana

¿Dónde ves todas las conexiones de un vistazo?

En la lista IdP Connections. Cada fila muestra una conexión con su protocolo (SAML u OIDC), si está activa, el aprovisionamiento JIT y SCIM y el modo de respaldo. Arriba tienes el botón para crear una nueva y el buscador. Repásala para confirmar que las conexiones activas son las que quieres usar.

Lista IdP Connections con cinco conexiones SSO SAML y OIDC y columnas de protocolo, activo, aprovisionamiento JIT y SCIM y modo de respaldo
La lista de conexiones IdP con el botón Nuevo y el buscador, con datos de demostración (filas con nombre Demo)

¿Cómo compruebas quién ha entrado y por qué conexión?

En Ajustes está la lista de sesiones activas. Cada fila muestra el inicio, el usuario, la conexión IdP, el método de autenticación, la IP y la última actividad, con el botón Terminate. Los primeros días, compara la conexión IdP y el método de autenticación de cada sesión con lo que esperas para ese usuario.

Lista de sesiones activas en Ajustes con las filas Administrator y OdooBot y el botón Terminate
Las sesiones activas con columnas de inicio, usuario, conexión IdP, método de autenticación, IP y última actividad

¿Dónde revisas las políticas MFA?

En el informe MFA Coverage Report, en Ajustes. Lista las políticas MFA con su empresa, los tipos de factor aceptados, el periodo de gracia y el estado activo. Comprueba que cada política está activa y tiene el periodo de gracia que has decidido. Este recorrido enseña las tres pantallas que conviene abrir la primera semana:

Recorrido por sesiones activas, conexiones IdP e informe MFA Coverage Report en Ajustes de Odoo
Sesiones activas de Administrator y OdooBot, conexiones Google Workspace OIDC y Microsoft Entra ID SAML con protocolo, compañía, activo, JIT y modo de respaldo, y las políticas Admin MFA Enforcement y Regular User MFA

¿Qué es el asistente Rotate SP Certificate?

Es un diálogo con los campos SAML Configuration (un desplegable), New SP Certificate (PEM), New SP Private Key (PEM) y Effective Rotation Date, y los botones Save y Discard. Si trabajas con SAML, tenlo localizado: en él eliges la configuración SAML, pegas el nuevo certificado y la nueva clave privada del SP en PEM y fijas la fecha de rotación efectiva.

Diálogo Rotate SP Certificate con los campos SAML Configuration, New SP Certificate, New SP Private Key y Effective Rotation Date
El asistente de rotación del certificado SP, una pantalla sin registros, con los botones Save y Discard

¿Qué pagas por el módulo y por el servicio?

En Odoo Apps el módulo cuesta 9 € sin IVA, pago único por versión, para Odoo 17, 18, 19 y 20, y en las cuatro versiones el manifiesto dice: «Some features use a paid external service: FlexigoTech Cloud subscription (from 29 EUR/month, VAT excl.)». Ese servicio es opcional y el plan local cuesta 29 €/mes o 290 €/año sin IVA (Pro: 58 €/mes o 580 €/año); sin suscripción, o con el servicio suspendido, se para lo que da la suscripción y los datos se quedan en tu Odoo. Con la suscripción, el módulo para las versiones nuevas de Odoo va incluido si lo compraste en flexigotech.com; en el Odoo App Store, cada versión se compra allí.

Cómo te ayuda FlexigoTech

Si prefieres no hacer la puesta en marcha a solas, en FlexigoTech implantamos Odoo 17, 18, 19 y 20 y desarrollamos conectores e integraciones a medida. Si quieres entender antes qué añade el módulo por dentro, lee cómo funciona Two-Factor Authentication & SSO for Odoo. En la página del módulo tienes la compra y el detalle del servicio.

Sigue leyendo

Cómo funciona por dentro Two-Factor Authentication & SSO for Odoo: glosario de menús, tareas y modelosMenús, tareas programadas y modelos de Two-Factor Authentication & SSO for Odoo explicados en un glosario, con los nombres literales que verás en Odoo.Errores de Two-Factor Authentication & SSO for Odoo: cuándo sale cada mensaje y qué hacerLos mensajes de error de Two-Factor Authentication & SSO for Odoo (FIDO2, OIDC, SAML, mapeos y registro de eventos): cuándo salen y qué hacer con cada uno.Two-Factor Authentication & SSO for Odoo: cuándo encaja y qué tener antesQué cubre y qué no Two-Factor Authentication & SSO for Odoo según su README, qué necesitas antes de instalarlo y en qué versiones de Odoo está.
Comprobado en el código del módulo (versión 20.0) y en las fuentes enlazadas

Fuentes