Salta al contingut principal
Two-Factor Authentication & SSO

Posada en marxa de Two-Factor Authentication & SSO for Odoo, pregunta a pregunta

Per posar en marxa Two-Factor Authentication & SSO for Odoo omples la configuració OIDC o SAML de cada connexió IdP amb les dades del teu proveïdor i decideixes, amb els mapatges, quins claims i grups arriben a cada usuari. La primera setmana revises la llista de connexions IdP, les sessions actives a Configuració i l'informe MFA Coverage Report. Aquí tens, pregunta a pregunta, quin camp va a cada lloc i què mirar.

FlexigoTech · Responsable: Víctor Gómez · Actualitzat el 4 de novembre de 2026

L'essencial

Versions
Odoo 17, 18, 19 i 20
Comprovat
al codi del mòdul, versió 20.0 · a les fonts enllaçades al final
Lectura
5 min

Les dades que et demana el teu proveïdor d'identitat

Quins camps omples en una configuració OIDC?

La configuració OIDC es vincula a una connexió amb el camp IdP Connection. La primera dada és Issuer URL, que l'ajuda del camp descriu com la URL de l'emissor OIDC, amb l'exemple https://login.microsoftonline.com/<tenant>/v2.0. Després van Client ID i Client Secret (encrypted), el secret de client OAuth2. La fitxa continua amb Authorization Endpoint, Token Endpoint, JWKS URI i End Session Endpoint. A Scopes escrius la llista d'scopes OIDC que es demanaran, separats per espais. Segons l'ajuda de cada camp, Client Secret (encrypted), Refresh Token (encrypted) i Access Token (encrypted) es guarden xifrats en repòs. Al costat del token d'accés vigent hi ha Access Token Expiry, i a la mateixa configuració tens Discovery Document Last Fetched. Quan revisis la connexió, mira aquestes dues dates.

I si el teu proveïdor treballa amb SAML?

La configuració SAML també porta el seu camp IdP Connection. Del costat del proveïdor omples IdP Entity ID (l'Entity ID SAML del proveïdor d'identitat) i IdP SSO URL (la URL amb binding HTTP-Redirect per a l'AuthnRequest). IdP SLO URL és la URL del servei de Single Logout; l'ajuda del camp la marca com a opcional tret que el Single Logout estigui activat. A IdP Signing Certificate (PEM) enganxes el certificat X.509 en PEM amb què el mòdul verifica les respostes SAML del proveïdor. IdP Encryption Certificate (PEM) és opcional i serveix per a assercions SAML xifrades. IdP Metadata URL és la URL des de la qual es descarreguen de manera periòdica les metadades SAML del proveïdor i es guarden a la memòria cau; l'últim XML de metadades descarregat amb èxit es guarda a Cached Metadata XML. La configuració té a més SP Entity ID, SP ACS URL i el desplegable NameID Format.

Què rep cada usuari des del proveïdor

Com passes un atribut del proveïdor a un camp de l'usuari d'Odoo?

Amb les línies de Claim Mappings de la configuració OIDC. Cada línia té IdP Attribute / Claim Name, amb el nom de l'atribut o claim al proveïdor, i Odoo User Field, un desplegable amb el camp de l'usuari d'Odoo al qual va. Les línies porten també els camps SAML Configuration i OIDC Configuration, i un Sequence: les seqüències més baixes s'apliquen primer. Numera les línies pensant en quina vols que s'apliqui abans.

Com assignes grups d'Odoo segons el proveïdor?

Amb les línies de Group Mappings. Cada línia relaciona un IdP Group Value amb un Odoo Group i porta el desplegable Mapping Mode. Igual que als claims, cada línia té els seus camps SAML Configuration i OIDC Configuration. Tria el Mapping Mode al mateix formulari en crear cada línia. Si en provar l'accés apareix un avís, a els missatges d'error i avisos del mòdul tens els textos literals i què fer amb cadascun.

Què revisar la primera setmana

On veus totes les connexions d'un cop d'ull?

A la llista IdP Connections. Cada fila mostra una connexió amb el seu protocol (SAML o OIDC), si està activa, l'aprovisionament JIT i SCIM i el mode de reserva. A dalt tens el botó per crear-ne una de nova i el cercador. Repassa-la per confirmar que les connexions actives són les que vols fer servir.

Llista IdP Connections amb cinc connexions SSO SAML i OIDC i columnes de protocol, actiu, aprovisionament JIT i SCIM i mode de reserva
La llista de connexions IdP amb el botó Nou i el cercador, amb dades de demostració (files amb nom Demo)

Com comproves qui ha entrat i per quina connexió?

A Configuració hi ha la llista de sessions actives. Cada fila mostra l'inici, l'usuari, la connexió IdP, el mètode d'autenticació, la IP i l'última activitat, amb el botó Terminate. Els primers dies, compara la connexió IdP i el mètode d'autenticació de cada sessió amb el que esperes per a aquest usuari.

Llista de sessions actives a Configuració amb les files Administrator i OdooBot i el botó Terminate
Les sessions actives amb columnes d'inici, usuari, connexió IdP, mètode d'autenticació, IP i última activitat

On revises les polítiques MFA?

A l'informe MFA Coverage Report, a Configuració. Llista les polítiques MFA amb la seva empresa, els tipus de factor acceptats, el període de gràcia i l'estat actiu. Comprova que cada política està activa i té el període de gràcia que has decidit. Aquest recorregut mostra les tres pantalles que convé obrir la primera setmana:

Recorregut per sessions actives, connexions IdP i informe MFA Coverage Report a Configuració d'Odoo
Sessions actives d'Administrator i OdooBot, connexions Google Workspace OIDC i Microsoft Entra ID SAML amb protocol, companyia, actiu, JIT i mode de reserva, i les polítiques Admin MFA Enforcement i Regular User MFA

Què és l'assistent Rotate SP Certificate?

És un diàleg amb els camps SAML Configuration (un desplegable), New SP Certificate (PEM), New SP Private Key (PEM) i Effective Rotation Date, i els botons Save i Discard. Si treballes amb SAML, tingues-lo localitzat: hi tries la configuració SAML, enganxes el nou certificat i la nova clau privada del SP en PEM i fixes la data de rotació efectiva.

Diàleg Rotate SP Certificate amb els camps SAML Configuration, New SP Certificate, New SP Private Key i Effective Rotation Date
L'assistent de rotació del certificat SP, una pantalla sense registres, amb els botons Save i Discard

Què pagues pel mòdul i pel servei?

A Odoo Apps el mòdul costa 9 € sense IVA, pagament únic per versió, per a Odoo 17, 18, 19 i 20, i a les quatre versions el manifest diu: «Some features use a paid external service: FlexigoTech Cloud subscription (from 29 EUR/month, VAT excl.)». Aquest servei és opcional i el pla local costa 29 €/mes o 290 €/any sense IVA (Pro: 58 €/mes o 580 €/any); sense subscripció, o amb el servei suspès, s'atura el que dona la subscripció i les dades es queden al teu Odoo. Amb la subscripció, el mòdul per a les versions noves d'Odoo va inclòs si el vas comprar a flexigotech.com; a l'Odoo App Store, cada versió es compra allà.

Com t'ajuda FlexigoTech

Si prefereixes no fer la posada en marxa tot sol, a FlexigoTech implantem Odoo 17, 18, 19 i 20 i desenvolupem connectors i integracions a mida. Si vols entendre abans què afegeix el mòdul per dins, llegeix com funciona Two-Factor Authentication & SSO for Odoo. A la pàgina del mòdul tens la compra i el detall del servei.

Continua llegint

Com funciona per dins Two-Factor Authentication & SSO for Odoo: glossari de menús, tasques i modelsMenús, tasques programades i models de Two-Factor Authentication & SSO for Odoo explicats en un glossari, amb els noms literals que veuràs a Odoo.Errors de Two-Factor Authentication & SSO for Odoo: quan surt cada missatge i què ferEls missatges d'error de Two-Factor Authentication & SSO for Odoo (FIDO2, OIDC, SAML, mapatges i registre d'esdeveniments): quan surten i què fer amb cadascun.Two-Factor Authentication & SSO for Odoo: quan encaixa i què tenir abansQuè cobreix i què no Two-Factor Authentication & SSO for Odoo segons el seu README, què necessites abans d'instal·lar-lo i en quines versions d'Odoo està.
Comprovat al codi del mòdul (versió 20.0) i a les fonts enllaçades

Fonts