2FA und SSO in Odoo einrichten: die wichtigsten Fragen

Q: Welche Felder füllen Sie in einer OIDC-Konfiguration aus?

Die OIDC-Konfiguration wird über das Feld IdP Connection mit einer Verbindung verknüpft. Die erste Angabe ist Issuer URL , die die Feldhilfe als URL des OIDC-Ausstellers beschreibt, mit dem Beispiel https://login.microsoftonline.com/ /v2.0 . Danach folgen Client ID und Client Secret (encrypted) , das OAuth2-Client-Secret. Die Karteikarte geht weiter mit Authorization Endpoint , Token Endpoint , JWKS URI und End Session Endpoint . Unter Scopes tragen Sie die Liste der OIDC-Scopes ein, die angefordert werden sollen, durch Leerzeichen getrennt. Laut der Hilfe des jeweiligen Felds werden Client Secret (encrypted) , Refresh Token (encrypted) und Access Token (encrypted) verschlüsselt gespeichert. Neben dem gültigen Zugriffstoken finden Sie Access Token Expiry , und in derselben Konfiguration gibt es Discovery Document Last Fetched . Wenn Sie die Verbindung prüfen, werfen Sie einen Blick auf diese beiden Datumsangaben.

Q: Und wenn Ihr Anbieter mit SAML arbeitet?

Auch die SAML-Konfiguration hat ihr Feld IdP Connection . Auf Seiten des Anbieters füllen Sie IdP Entity ID (die SAML-Entity-ID des Identitätsanbieters) und IdP SSO URL (die URL mit HTTP-Redirect-Binding für die AuthnRequest) aus. IdP SLO URL ist die URL des Single-Logout-Dienstes; die Feldhilfe kennzeichnet sie als optional, sofern Single Logout nicht aktiviert ist. Unter IdP Signing Certificate (PEM) fügen Sie das X.509-Zertifikat im PEM-Format ein, mit dem das Modul die SAML-Antworten des Anbieters verifiziert. IdP Encryption Certificate (PEM) ist optional und dient verschlüsselten SAML-Assertions. IdP Metadata URL ist die URL, von der die SAML-Metadaten des Anbieters regelmäßig heruntergeladen und im Cache gehalten werden; das zuletzt erfolgreich heruntergeladene Metadaten-XML wird in Cached Metadata XML gespeichert. Die Konfiguration enthält außerdem SP Entity ID , SP ACS URL und die Auswahlliste NameID Format .

Q: Wie übergeben Sie ein Attribut des Anbieters an ein Feld des Odoo-Benutzers?

Mit den Zeilen von Claim Mappings in der OIDC-Konfiguration. Jede Zeile hat IdP Attribute / Claim Name mit dem Namen des Attributs oder Claims beim Anbieter und Odoo User Field , eine Auswahlliste mit dem Feld des Odoo-Benutzers, in das es übernommen wird. Die Zeilen enthalten außerdem die Felder SAML Configuration und OIDC Configuration sowie eine Sequence : Niedrigere Sequenzen werden zuerst angewendet. Nummerieren Sie die Zeilen danach, welche zuerst greifen soll.

Q: Wie weisen Sie Odoo-Gruppen anhand des Anbieters zu?

Mit den Zeilen von Group Mappings . Jede Zeile verknüpft einen IdP Group Value mit einer Odoo Group und enthält die Auswahlliste Mapping Mode . Wie bei den Claims hat jede Zeile ihre Felder SAML Configuration und OIDC Configuration . Wählen Sie den Mapping Mode direkt im Formular beim Anlegen jeder Zeile. Falls beim Testen des Zugangs ein Hinweis erscheint, finden Sie in den Fehlermeldungen und Hinweisen des Moduls die genauen Texte und was bei jedem zu tun ist.

Q: Wo sehen Sie alle Verbindungen auf einen Blick?

In der Liste IdP Connections . Jede Zeile zeigt eine Verbindung mit ihrem Protokoll (SAML oder OIDC), ob sie aktiv ist, die JIT- und SCIM-Bereitstellung und den Fallback-Modus. Oben finden Sie die Schaltfläche zum Anlegen einer neuen Verbindung und die Suche. Gehen Sie die Liste durch, um zu bestätigen, dass die aktiven Verbindungen die sind, die Sie nutzen wollen.

Q: Wo prüfen Sie die MFA-Richtlinien?

Im Bericht MFA Coverage Report in den Einstellungen. Er listet die MFA-Richtlinien mit ihrem Unternehmen, den akzeptierten Faktortypen, der Karenzzeit und dem Aktivstatus auf. Prüfen Sie, dass jede Richtlinie aktiv ist und die von Ihnen festgelegte Karenzzeit hat. Dieser Rundgang zeigt die drei Bildschirme, die Sie in der ersten Woche öffnen sollten:

Q: Was ist der Assistent Rotate SP Certificate ?

Es ist ein Dialog mit den Feldern SAML Configuration (eine Auswahlliste), New SP Certificate (PEM) , New SP Private Key (PEM) und Effective Rotation Date sowie den Schaltflächen Save und Discard . Wenn Sie mit SAML arbeiten, merken Sie sich, wo er zu finden ist: Dort wählen Sie die SAML-Konfiguration, fügen das neue Zertifikat und den neuen privaten SP-Schlüssel im PEM-Format ein und legen das wirksame Rotationsdatum fest.

Die Daten, die Ihr Identitätsanbieter verlangt

Welche Felder füllen Sie in einer OIDC-Konfiguration aus?

Die OIDC-Konfiguration wird über das Feld IdP Connection mit einer Verbindung verknüpft. Die erste Angabe ist Issuer URL, die die Feldhilfe als URL des OIDC-Ausstellers beschreibt, mit dem Beispiel https://login.microsoftonline.com/<tenant>/v2.0. Danach folgen Client ID und Client Secret (encrypted), das OAuth2-Client-Secret. Die Karteikarte geht weiter mit Authorization Endpoint, Token Endpoint, JWKS URI und End Session Endpoint. Unter Scopes tragen Sie die Liste der OIDC-Scopes ein, die angefordert werden sollen, durch Leerzeichen getrennt. Laut der Hilfe des jeweiligen Felds werden Client Secret (encrypted), Refresh Token (encrypted) und Access Token (encrypted) verschlüsselt gespeichert. Neben dem gültigen Zugriffstoken finden Sie Access Token Expiry, und in derselben Konfiguration gibt es Discovery Document Last Fetched. Wenn Sie die Verbindung prüfen, werfen Sie einen Blick auf diese beiden Datumsangaben.

Und wenn Ihr Anbieter mit SAML arbeitet?

Auch die SAML-Konfiguration hat ihr Feld IdP Connection. Auf Seiten des Anbieters füllen Sie IdP Entity ID (die SAML-Entity-ID des Identitätsanbieters) und IdP SSO URL (die URL mit HTTP-Redirect-Binding für die AuthnRequest) aus. IdP SLO URL ist die URL des Single-Logout-Dienstes; die Feldhilfe kennzeichnet sie als optional, sofern Single Logout nicht aktiviert ist. Unter IdP Signing Certificate (PEM) fügen Sie das X.509-Zertifikat im PEM-Format ein, mit dem das Modul die SAML-Antworten des Anbieters verifiziert. IdP Encryption Certificate (PEM) ist optional und dient verschlüsselten SAML-Assertions. IdP Metadata URL ist die URL, von der die SAML-Metadaten des Anbieters regelmäßig heruntergeladen und im Cache gehalten werden; das zuletzt erfolgreich heruntergeladene Metadaten-XML wird in Cached Metadata XML gespeichert. Die Konfiguration enthält außerdem SP Entity ID, SP ACS URL und die Auswahlliste NameID Format.

Was jeder Benutzer vom Anbieter erhält

Wie übergeben Sie ein Attribut des Anbieters an ein Feld des Odoo-Benutzers?

Mit den Zeilen von Claim Mappings in der OIDC-Konfiguration. Jede Zeile hat IdP Attribute / Claim Name mit dem Namen des Attributs oder Claims beim Anbieter und Odoo User Field, eine Auswahlliste mit dem Feld des Odoo-Benutzers, in das es übernommen wird. Die Zeilen enthalten außerdem die Felder SAML Configuration und OIDC Configuration sowie eine Sequence: Niedrigere Sequenzen werden zuerst angewendet. Nummerieren Sie die Zeilen danach, welche zuerst greifen soll.

Wie weisen Sie Odoo-Gruppen anhand des Anbieters zu?

Mit den Zeilen von Group Mappings. Jede Zeile verknüpft einen IdP Group Value mit einer Odoo Group und enthält die Auswahlliste Mapping Mode. Wie bei den Claims hat jede Zeile ihre Felder SAML Configuration und OIDC Configuration. Wählen Sie den Mapping Mode direkt im Formular beim Anlegen jeder Zeile. Falls beim Testen des Zugangs ein Hinweis erscheint, finden Sie in den Fehlermeldungen und Hinweisen des Moduls die genauen Texte und was bei jedem zu tun ist.

Was Sie in der ersten Woche prüfen sollten

Wo sehen Sie alle Verbindungen auf einen Blick?

In der Liste IdP Connections. Jede Zeile zeigt eine Verbindung mit ihrem Protokoll (SAML oder OIDC), ob sie aktiv ist, die JIT- und SCIM-Bereitstellung und den Fallback-Modus. Oben finden Sie die Schaltfläche zum Anlegen einer neuen Verbindung und die Suche. Gehen Sie die Liste durch, um zu bestätigen, dass die aktiven Verbindungen die sind, die Sie nutzen wollen.

Liste IdP Connections mit fünf SSO-Verbindungen (SAML und OIDC) und Spalten für Protokoll, aktiv, JIT- und SCIM-Bereitstellung und Fallback-Modus — Die Liste der IdP-Verbindungen mit der Schaltfläche Neu und der Suche, mit Demodaten (Zeilen mit dem Namen Demo)

Wie prüfen Sie, wer sich angemeldet hat und über welche Verbindung?

In den Einstellungen finden Sie die Liste der aktiven Sitzungen. Jede Zeile zeigt Beginn, Benutzer, IdP-Verbindung, Authentifizierungsmethode, IP und letzte Aktivität, dazu die Schaltfläche Terminate. Vergleichen Sie in den ersten Tagen die IdP-Verbindung und die Authentifizierungsmethode jeder Sitzung mit dem, was Sie für diesen Benutzer erwarten.

Liste der aktiven Sitzungen in den Einstellungen mit den Zeilen Administrator und OdooBot und der Schaltfläche Terminate — Die aktiven Sitzungen mit Spalten für Beginn, Benutzer, IdP-Verbindung, Authentifizierungsmethode, IP und letzte Aktivität

Wo prüfen Sie die MFA-Richtlinien?

Im Bericht MFA Coverage Report in den Einstellungen. Er listet die MFA-Richtlinien mit ihrem Unternehmen, den akzeptierten Faktortypen, der Karenzzeit und dem Aktivstatus auf. Prüfen Sie, dass jede Richtlinie aktiv ist und die von Ihnen festgelegte Karenzzeit hat. Dieser Rundgang zeigt die drei Bildschirme, die Sie in der ersten Woche öffnen sollten:

Rundgang durch aktive Sitzungen, IdP-Verbindungen und den Bericht MFA Coverage Report in den Odoo-Einstellungen — Aktive Sitzungen von Administrator und OdooBot, die Verbindungen Google Workspace OIDC und Microsoft Entra ID SAML mit Protokoll, Unternehmen, aktiv, JIT und Fallback-Modus sowie die Richtlinien Admin MFA Enforcement und Regular User MFA

Was ist der Assistent `Rotate SP Certificate`?

Es ist ein Dialog mit den Feldern SAML Configuration (eine Auswahlliste), New SP Certificate (PEM), New SP Private Key (PEM) und Effective Rotation Date sowie den Schaltflächen Save und Discard. Wenn Sie mit SAML arbeiten, merken Sie sich, wo er zu finden ist: Dort wählen Sie die SAML-Konfiguration, fügen das neue Zertifikat und den neuen privaten SP-Schlüssel im PEM-Format ein und legen das wirksame Rotationsdatum fest.

Dialog Rotate SP Certificate mit den Feldern SAML Configuration, New SP Certificate, New SP Private Key und Effective Rotation Date — Der Assistent zur Rotation des SP-Zertifikats, ein Bildschirm ohne Datensätze, mit den Schaltflächen Save und Discard

Was zahlen Sie für das Modul und für den Dienst?

In Odoo Apps kostet das Modul 9 € zzgl. MwSt., Einmalzahlung pro Version, für Odoo 17, 18, 19 und 20, und in allen vier Versionen steht im Manifest: «Some features use a paid external service: FlexigoTech Cloud subscription (from 29 EUR/month, VAT excl.)». Dieser Dienst ist optional und der lokale Plan kostet 29 €/Monat oder 290 €/Jahr zzgl. MwSt. (Pro: 58 €/Monat oder 580 €/Jahr); ohne Abonnement oder bei ausgesetztem Dienst steht das still, was das Abonnement liefert, und die Daten bleiben in Ihrem Odoo. Mit dem Abonnement ist das Modul für die neuen Odoo-Versionen inklusive, wenn Sie es auf flexigotech.com gekauft haben; im Odoo App Store wird jede Version dort einzeln gekauft.

So unterstützt Sie FlexigoTech

Wenn Sie die Inbetriebnahme lieber nicht allein durchführen möchten, führen wir bei FlexigoTech Odoo 17, 18, 19 und 20 ein und entwickeln individuelle Konnektoren und Integrationen. Wenn Sie zuerst verstehen möchten, was das Modul im Inneren leistet, lesen Sie wie Two-Factor Authentication & SSO for Odoo funktioniert. Auf der Seite des Moduls finden Sie den Kauf und die Details zum Dienst.

Weiterlesen

So funktioniert Two-Factor Authentication & SSO for Odoo intern: Glossar zu Menüs, Jobs und ModellenMenüs, geplante Aktionen und Modelle von Two-Factor Authentication & SSO for Odoo als Glossar erklärt, mit den exakten Namen, die Sie in Odoo sehen.Fehler in Two-Factor Authentication & SSO for Odoo: wann welche Meldung erscheintDie Fehlermeldungen von Two-Factor Authentication & SSO for Odoo (FIDO2, OIDC, SAML, Mappings, Ereignisprotokoll): wann sie erscheinen und was zu tun ist.Two-Factor Authentication & SSO for Odoo: Wann es passt und was Sie vorab brauchenWas Two-Factor Authentication & SSO for Odoo laut README abdeckt und was nicht, was Sie vor der Installation brauchen und für welche Odoo-Versionen es erhältlich ist.

Geprüft im Quellcode des Moduls (Version 20.0) und in den verlinkten Quellen

Quellen

Quellcode des Moduls: flexigo_2fa_sso_saml_oidc_modern_bundle_for_odoo_commun paquete-BO/20.0 (249f0717): models/auth_idp_attribute_mapping.py
Quellcode des Moduls: flexigo_2fa_sso_saml_oidc_modern_bundle_for_odoo_commun paquete-BO/20.0 (249f0717): models/auth_idp_group_mapping.py
Quellcode des Moduls: flexigo_2fa_sso_saml_oidc_modern_bundle_for_odoo_commun paquete-BO/20.0 (249f0717): models/auth_oidc_config.py
Quellcode des Moduls: flexigo_2fa_sso_saml_oidc_modern_bundle_for_odoo_commun paquete-BO/20.0 (249f0717): models/auth_saml_config.py
apps.odoo.com/apps/modules/20.0/flexigo_2fa_sso_saml_oidc_modern_bundle_for_odoo_commun
apps.odoo.com/apps/modules/17.0/flexigo_2fa_sso_saml_oidc_modern_bundle_for_odoo_commun
apps.odoo.com/apps/modules/18.0/flexigo_2fa_sso_saml_oidc_modern_bundle_for_odoo_commun
apps.odoo.com/apps/modules/19.0/flexigo_2fa_sso_saml_oidc_modern_bundle_for_odoo_commun
flexigotech.com/en/services.html
flexigotech.com/precios.html