Zum Hauptinhalt springen
Two-Factor Authentication & SSO

Two-Factor Authentication & SSO for Odoo: Wann es passt und was Sie vorab brauchen

Es passt, wenn Sie Odoo 17, 18, 19 oder 20 nutzen und einen zweiten Faktor pro Unternehmen, Sicherheitsgruppe oder Identitätsanbieter verlangen, sich per SAML 2.0 oder OpenID Connect anmelden und Benutzer über SCIM verwalten möchten. Beachten Sie vor Ihrer Entscheidung zwei Punkte: Laut Produktseite erfordern Single Sign-on und SCIM auf FlexigoTech Cloud ein FlexigoTech-Cloud-Abonnement, und das README selbst nennt Grenzen, etwa dass das Beenden einer Sitzung in der Liste der aktiven Sitzungen diese Sitzung nicht schließt.

FlexigoTech · Verantwortlich: Víctor Gómez · Aktualisiert am 4. November 2026

Das Wichtigste

Versionen
Odoo 17, 18, 19 und 20
Geprüft
im Quellcode des Moduls, Version 20.0 · in den Quellen am Ende
Lesezeit
6 Min.

Was es laut README abdeckt

Two-Factor Authentication & SSO for Odoo vereint in einem Modul zwei Dinge: Richtlinien für den zweiten Faktor und die Anmeldung über einen externen Identitätsanbieter. Das hält das README fest:

  • MFA-Richtlinien pro Unternehmen, Sicherheitsgruppe und Identitätsanbieter, mit einer Karenzzeit. Sie werden unter Authentication → MFA Policies definiert, wo Sie die Gruppen und die Identitätsanbieter auswählen (lassen Sie die Anbieter leer, gilt die Richtlinie für jede Anmeldung).
  • Zweiter Faktor: das eigene TOTP von Odoo (auth_totp), auch nach der Anmeldung per SAML oder OIDC.
  • SAML 2.0 als Service Provider, mit python3-saml und xmlsec auf dem Server, sowie OpenID Connect.
  • Verbindungen zu Identitätsanbietern unter Authentication → IdP Connections: eine pro Anbieter, und jede erscheint als Schaltfläche auf der Anmeldeseite.
  • Just-in-time-Anlage von Benutzern bei der ersten SSO-Anmeldung, mit Gruppenzuordnung.
  • SCIM-2.0-Provisionierung, mit /scim/v2/Users, /scim/v2/Groups und ServiceProviderConfig.
  • Authentifizierungsprotokoll für Anmeldungen, Konfigurationen sowie SCIM- und SSO-Ereignisse.
  • Notfallcode für einen Administrator, der sich ausgesperrt hat: einmalig verwendbar, befristet und protokolliert.
  • MFA-Abdeckungsbericht pro Unternehmen.
Liste der IdP-Verbindungen in den Odoo-Einstellungen mit Google Workspace OIDC und Microsoft Entra ID SAML
Die Liste der IdP-Verbindungen mit zwei Einträgen, Google Workspace OIDC und Microsoft Entra ID SAML, und ihren Spalten für Protokoll, Unternehmen, Aktiv, JIT-Provisionierung und Fallback-Modus

Was bei der Entscheidung am meisten zählt, wenn Sie auf FlexigoTech Cloud arbeiten: Laut Produktseite erfordern dort Single Sign-on (SAML oder OpenID Connect) und die SCIM-Provisionierung mit Ihrem Identitätsanbieter ein FlexigoTech-Cloud-Abonnement.

Was das README selbst als nicht abgedeckt nennt

Lesen Sie diesen Abschnitt vor dem Kauf in Ruhe, denn er zeigt, wie weit das Modul reicht:

  • Die modulinternen Listen der TOTP-Geräte und der FIDO2-Anmeldedaten werden nicht für die Anmeldung verwendet.
  • Die Liste der aktiven Sitzungen protokolliert SSO-Anmeldungen, aber das Beenden einer Sitzung von dort aus schließt diese Sitzung nicht.
  • SCIM hat kein Anfragelimit pro IP-Adresse.
  • Die Oberfläche lehnt das Bearbeiten oder Löschen im Authentifizierungsprotokoll ab, aber dieses Protokoll ist nicht gegen einen Administrator geschützt, der die API nutzt.
  • Der Fallback-Modus SSO Only einer Verbindung blendet das Passwortformular auf der Anmeldeseite aus. Das README erläutert anschließend, was dieser Modus nicht abweist: Lesen Sie das, bevor Sie ihn als Sperre betrachten.
  • Die Sichtbarkeit des Protokolls pro Unternehmen folgt Datensatzregeln, die noch nicht alle Gruppen abdecken.
Liste der aktiven Sitzungen in den Einstellungen mit den Zeilen Administrator und OdooBot und der Schaltfläche Terminate
Die Liste der aktiven Sitzungen mit zwei Zeilen, Administrator und OdooBot, und den Spalten Beginn, Benutzer, IdP-Verbindung, Authentifizierungsmethode, IP und letzte Aktivität, neben der Schaltfläche Terminate

In dieser Liste sehen Sie die Schaltfläche Terminate. Beachten Sie, was das README sagt: Das Beenden einer Sitzung dort schließt sie nicht. Wenn Sie den Zugang einer Person sofort kappen müssen, berücksichtigen Sie das vor Ihrer Entscheidung.

Wenn das auf Sie zutrifft, empfehlen wir Ihnen Folgendes

Gleichen Sie Ihre Situation mit der Dokumentation ab. Wenn Sie sich in den passenden Zeilen wiederfinden, taugt das Modul für Sie; liegt Ihr Bedarf in den anderen, entscheiden Sie in Kenntnis dieser Grenze.

Ihre SituationWas die Dokumentation sagtWas für Sie sinnvoll ist
Sie möchten den zweiten Faktor mit unterschiedlichen Regeln je Unternehmen oder Gruppe verlangenMFA-Richtlinien pro Unternehmen, Sicherheitsgruppe und Anbieter, mit KarenzzeitPasst; Sie konfigurieren es unter Authentication → MFA Policies
Ihr Team meldet sich über einen SAML-2.0- oder OpenID-Connect-Anbieter anEine Verbindung pro Anbieter, die als Schaltfläche in der Anmeldung erscheintPasst; laut Produktseite erfordert Single Sign-on auf FlexigoTech Cloud ein FlexigoTech-Cloud-Abonnement
Sie verwalten die Benutzer über Ihren IdentitätsanbieterJust-in-time-Anlage mit Gruppenzuordnung und SCIM 2.0Passt (auf FlexigoTech Cloud erfordert SCIM ein Abonnement); beachten Sie, dass SCIM Anfragen pro IP nicht begrenzt
Sie möchten sich mit den FIDO2-Anmeldedaten anmelden, die das Modul auflistetDiese Listen werden nicht für die Anmeldung verwendetDiese Listen decken das nicht ab
Sie müssen die Sitzung eines Benutzers sofort kappenDas Beenden einer Sitzung in der Liste schließt sie nichtDas leistet die Liste der aktiven Sitzungen nicht
Sie brauchen ein Protokoll, das niemand verändern kannDie Oberfläche erlaubt weder Bearbeiten noch Löschen, aber es ist nicht gegen einen Administrator mit API geschütztNutzen Sie es als Protokoll, nicht als manipulationssicheren Nachweis
Sie möchten, dass sich niemand mit Passwort anmeldetSSO Only blendet das Passwortformular ausLesen Sie den Hinweis im README dazu, was es nicht abweist
Sie arbeiten mit mehreren Unternehmen und getrennten TeamsDie Sichtbarkeit des Protokolls pro Unternehmen deckt noch nicht alle Gruppen abPrüfen Sie, welche Gruppen Sie nutzen, bevor Sie Zugriff auf das Protokoll geben
Sie sorgen sich, dass ein Administrator ausgesperrt wirdNotfallcode, einmalig verwendbar, befristet und protokolliertPasst

Was vor der Installation bereitliegen sollte

  • Eine veröffentlichte Odoo-Version: 17, 18, 19 oder 20.
  • Die Möglichkeit, der Installation zu folgen, die das README verlangt: das Modul in den Addons-Pfad legen und Odoo neu starten, dann zu Apps gehen, *Two-Factor Authentication & SSO* suchen und auf Install klicken.
  • Für SAML python3-saml und xmlsec auf dem Server.
  • Wenn Sie SSO oder SCIM auf FlexigoTech Cloud nutzen, das FlexigoTech-Cloud-Abonnement.
  • Ihr Konto beim Identitätsanbieter: Laut Produktseite schließen und bezahlen Sie die Kosten Dritter (Ihr Konto bei jeder Plattform, Odoo und das Hosting) selbst.
  • Festgelegt, welche Gruppen und welche Anbieter in welche Richtlinie gehören, um Authentication → MFA Policies auszufüllen.
  • Eine Testdatenbank: Die Produktseite nennt den Service auch für Staging- und Testkopien Ihrer Datenbank.
Bericht MFA Coverage Report in den Einstellungen mit den Richtlinien Admin MFA Enforcement und Regular User MFA
Der MFA-Abdeckungsbericht mit zwei Richtlinien, Admin MFA Enforcement und Regular User MFA, mit ihrem Unternehmen, den akzeptierten Faktortypen, der Karenzzeit und dem Aktiv-Status

In diesem Bericht sehen Sie pro Richtlinie das Unternehmen, die akzeptierten Faktortypen, die Karenzzeit und ob sie aktiv ist. Wenn Sie vorher klar haben, welche Gruppen und welche Anbieter in welche Richtlinie gehören, können Sie alle in Ihrer Testdatenbank in einem Zug ausfüllen.

Odoo-Versionen und was Sie zahlen

Das Modul ist in Odoo Apps für 17.0, 18.0, 19.0 und 20.0 veröffentlicht und kostet 9 € zzgl. MwSt., einmalige Zahlung pro Odoo-Version, für 17, 18, 19 und 20. Laut Manifest nutzen einige Funktionen einen kostenpflichtigen externen Dienst, das FlexigoTech-Cloud-Abonnement (lokaler Dienst: 29 €/Monat oder 290 €/Jahr zzgl. MwSt.; Pro: 58 €/Monat oder 580 €/Jahr).

Wenn Sie auf flexigotech.com kaufen, ist mit dem Abonnement das Modul für die neuen Odoo-Versionen enthalten; im Odoo App Store kaufen Sie jede Odoo-Version dort. Die Migration Ihrer Datenbank auf eine neue Odoo-Version übernehmen wir nicht. Ohne Abonnement oder bei ausgesetztem Dienst steht alles still, was das Abonnement leistet, und die Daten bleiben in Ihrem Odoo.

Die Produktseite des Dienstes nennt unter anderem Modul-Updates, Support mit erster Antwort innerhalb von 1 Werktag und die Überwachung des Modulzustands in Ihrer Datenbank mit Warnmeldungen.

Wie FlexigoTech Ihnen hilft

FlexigoTech implementiert Odoo 17, 18, 19 und 20 und entwickelt maßgeschneiderte Konnektoren und Integrationen, sodass wir die Tabelle oben vor Ihrem Kauf gemeinsam mit Ihnen anhand Ihres Falls durchgehen können. Wenn Sie sich schon entschieden haben, finden Sie in der Inbetriebnahme des Moduls, welche Einstellungen Sie ausfüllen und was Sie in der ersten Woche prüfen sollten, und in den Fehlermeldungen und Hinweisen, was jeder Text bedeutet. Kauf und Abonnement finden Sie auf der Seite des Moduls, die Produktseite jeder Version auf Odoo Apps.

Weiterlesen

So funktioniert Two-Factor Authentication & SSO for Odoo intern: Glossar zu Menüs, Jobs und ModellenMenüs, geplante Aktionen und Modelle von Two-Factor Authentication & SSO for Odoo als Glossar erklärt, mit den exakten Namen, die Sie in Odoo sehen.Fehler in Two-Factor Authentication & SSO for Odoo: wann welche Meldung erscheintDie Fehlermeldungen von Two-Factor Authentication & SSO for Odoo (FIDO2, OIDC, SAML, Mappings, Ereignisprotokoll): wann sie erscheinen und was zu tun ist.Two-Factor Authentication & SSO for Odoo in Betrieb nehmen, Frage für FrageWelche Felder Sie in der OIDC- oder SAML-Konfiguration ausfüllen, wie Sie Claims und Gruppen zuordnen und was in der ersten Woche zu prüfen ist.
Geprüft im Quellcode des Moduls (Version 20.0) und in den verlinkten Quellen

Quellen