Naar hoofdinhoud
Two-Factor Authentication & SSO

Two-Factor Authentication & SSO for Odoo: wanneer het past en wat je vooraf nodig hebt

Het past als je Odoo 17, 18, 19 of 20 gebruikt en een tweede factor wilt afdwingen per bedrijf, beveiligingsgroep of identiteitsprovider, wilt inloggen met SAML 2.0 of OpenID Connect en gebruikers via SCIM wilt beheren. Houd vooraf rekening met twee dingen: volgens de productpagina vereisen single sign-on en SCIM op FlexigoTech Cloud een abonnement op FlexigoTech Cloud, en de README zelf noemt beperkingen, zoals dat het beëindigen van een sessie in de lijst met actieve sessies die sessie niet afsluit.

FlexigoTech · Verantwoordelijk: Víctor Gómez · Bijgewerkt op 4 november 2026

In het kort

Versies
Odoo 17, 18, 19 en 20
Gecontroleerd
in de broncode van de module, versie 20.0 · in de bronnen onderaan
Leestijd
6 min

Wat het dekt, volgens de README

Two-Factor Authentication & SSO for Odoo brengt in één module twee dingen samen: tweefactorbeleid en toegang via een externe identiteitsprovider. Dit staat in de README:

  • MFA-beleid per bedrijf, beveiligingsgroep en identiteitsprovider, met een respijtperiode. Je stelt het in via Authentication → MFA Policies, waar je de groepen en de identiteitsproviders kiest (laat je de providers leeg, dan geldt het beleid voor elke aanmelding).
  • Tweede factor: de eigen TOTP van Odoo (auth_totp), ook na het inloggen met SAML of OIDC.
  • SAML 2.0 als serviceprovider, met python3-saml en xmlsec op de server, en OpenID Connect.
  • Verbindingen met identiteitsproviders in Authentication → IdP Connections: één per provider, en elke verbinding verschijnt als knop op de inlogpagina.
  • Aanmaak on-the-fly (just-in-time) van gebruikers bij hun eerste SSO-aanmelding, met groepstoewijzing.
  • SCIM 2.0-provisioning, met /scim/v2/Users, /scim/v2/Groups en ServiceProviderConfig.
  • Authenticatielogboek van aanmeldingen, configuraties en SCIM- en SSO-gebeurtenissen.
  • Noodcode voor een beheerder die buitengesloten is: voor eenmalig gebruik, met vervaldatum en gelogd.
  • MFA-dekkingsrapport per bedrijf.
Lijst met IdP-verbindingen in de Odoo-instellingen met Google Workspace OIDC en Microsoft Entra ID SAML
De lijst met IdP-verbindingen met twee records, Google Workspace OIDC en Microsoft Entra ID SAML, en hun kolommen voor protocol, bedrijf, actief, JIT-provisioning en terugvalmodus

Wat het zwaarst weegt als je op FlexigoTech Cloud werkt: volgens de productpagina vereisen daar single sign-on (SAML of OpenID Connect) en SCIM-provisioning met je identiteitsprovider een abonnement op FlexigoTech Cloud.

Wat de README zelf zegt dat het niet doet

Lees dit deel rustig door voordat je koopt, want het laat zien hoe ver de module reikt:

  • De eigen lijsten van de module met TOTP-apparaten en FIDO2-gegevens worden niet gebruikt om in te loggen.
  • De lijst met actieve sessies registreert SSO-aanmeldingen, maar een sessie vanuit die lijst beëindigen sluit die sessie niet af.
  • SCIM heeft geen limiet op het aantal verzoeken per IP-adres.
  • De interface weigert bewerken of verwijderen in het authenticatielogboek, maar dat logboek is niet beschermd tegen een beheerder die de API gebruikt.
  • De terugvalmodus SSO Only van een verbinding verbergt het wachtwoordformulier op de inlogpagina. De README geeft daarna aan wat deze modus niet weigert: lees dat voordat je het als een blokkade beschouwt.
  • De zichtbaarheid van het logboek per bedrijf volgt recordregels die nog niet alle groepen dekken.
Lijst met actieve sessies in de instellingen met de rijen Administrator en OdooBot en de knop Terminate
De lijst met actieve sessies met twee rijen, Administrator en OdooBot, en de kolommen start, gebruiker, IdP-verbinding, authenticatiemethode, IP en laatste activiteit, naast de knop Terminate

In deze lijst zie je de knop Terminate. Houd rekening met wat de README meldt: een sessie daar beëindigen sluit hem niet af. Als je iemands toegang direct moet kunnen afkappen, neem dat dan mee voordat je beslist.

Herken je dit? Dan past dit

Leg je situatie naast wat de documentatie zegt. Herken je jezelf in de rijen die passen, dan is de module iets voor je; staat wat je nodig hebt in de andere rijen, beslis dan met kennis van die grens.

Jouw situatieWat de documentatie zegtWat bij je past
Je wilt tweefactor afdwingen met verschillende regels per bedrijf of groepMFA-beleid per bedrijf, beveiligingsgroep en provider, met respijtperiodePast; je stelt het in via Authentication → MFA Policies
Je team logt in via een SAML 2.0- of OpenID Connect-providerEén verbinding per provider, die als knop op de inlogpagina verschijntPast; volgens de productpagina vereist single sign-on op FlexigoTech Cloud een abonnement op FlexigoTech Cloud
Je beheert de gebruikers vanuit je identiteitsproviderAanmaak on-the-fly met groepstoewijzing en SCIM 2.0Past (op FlexigoTech Cloud vereist SCIM een abonnement); houd er rekening mee dat SCIM verzoeken per IP niet beperkt
Je wilt inloggen met de FIDO2-gegevens die de module toontDie lijsten worden niet gebruikt om in te loggenDie lijsten dekken dat niet
Je moet de sessie van een gebruiker direct kunnen afsluitenEen sessie in de lijst beëindigen sluit hem niet afDat is niet wat de lijst met actieve sessies doet
Je hebt een logboek nodig dat niemand kan wijzigenDe interface laat bewerken en verwijderen niet toe, maar het is niet beschermd tegen een beheerder met de APIGebruik het als logboek, niet als manipulatiebestendig bewijs
Je wilt dat niemand met een wachtwoord inlogtSSO Only verbergt het wachtwoordformulierLees de opmerking in de README over wat het niet weigert
Je werkt met meerdere bedrijven en gescheiden teamsDe zichtbaarheid van het logboek per bedrijf dekt nog niet alle groepenControleer welke groepen je gebruikt voordat je toegang tot het logboek geeft
Je wilt voorkomen dat een beheerder buitengesloten raaktNoodcode voor eenmalig gebruik, met vervaldatum en gelogdPast

Wat je klaar moet hebben vóór de installatie

  • Een gepubliceerde Odoo-versie: 17, 18, 19 of 20.
  • De installatie kunnen volgen die de README vraagt: de module in het addons-pad zetten en Odoo herstarten, daarna naar Apps gaan, *Two-Factor Authentication & SSO* zoeken en op Install klikken.
  • Voor SAML: python3-saml en xmlsec op de server.
  • Als je SSO of SCIM op FlexigoTech Cloud gaat gebruiken: het abonnement op FlexigoTech Cloud.
  • Je account bij de identiteitsprovider: volgens de productpagina sluit en betaal je de kosten van derden (je account op elk platform, Odoo en de hosting) zelf.
  • Bepaald welke groepen en welke providers in elk beleid komen, om Authentication → MFA Policies in te vullen.
  • Een testdatabase: de productpagina vermeldt de dienst voor staging- en testkopieën van je database.
Rapport MFA Coverage Report in de instellingen met de beleidsregels Admin MFA Enforcement en Regular User MFA
Het MFA-dekkingsrapport met twee beleidsregels, Admin MFA Enforcement en Regular User MFA, met hun bedrijf, de geaccepteerde factortypes, de respijtperiode en of ze actief zijn

In dit rapport zie je per beleid het bedrijf, de geaccepteerde factortypes, de respijtperiode en of het actief is. Als je vooraf duidelijk hebt welke groepen en providers in elk beleid horen, vul je ze in één keer in op je testdatabase.

Odoo-versies en wat je betaalt

De module is gepubliceerd in Odoo Apps voor 17.0, 18.0, 19.0 en 20.0 en kost € 9 excl. btw, eenmalige betaling per Odoo-versie, voor 17, 18, 19 en 20. Volgens het manifest gebruiken sommige functies een externe betaalde dienst, het abonnement op FlexigoTech Cloud (lokale dienst: € 29 per maand of € 290 per jaar excl. btw; Pro: € 58 per maand of € 580 per jaar).

Koop je het op flexigotech.com, dan zit de module met het abonnement inbegrepen voor de nieuwe Odoo-versies; in de Odoo App Store koop je elke Odoo-versie daar apart. De migratie van je database naar een nieuwe Odoo-versie doen wij niet. Zonder abonnement, of met de dienst opgeschort, stopt wat het abonnement biedt en blijven de gegevens in jouw Odoo staan.

De productpagina van de dienst noemt onder meer de updates van de module, support met eerste reactie binnen 1 werkdag en het bewaken van de gezondheid van de module in je database, met meldingen.

Hoe FlexigoTech je helpt

FlexigoTech implementeert Odoo 17, 18, 19 en 20 en ontwikkelt connectoren en integraties op maat, dus we kunnen de tabel hierboven samen met jou naast jouw situatie leggen voordat je koopt. Heb je al besloten, dan vind je in de ingebruikname van de module welke instellingen je invult en wat je de eerste week controleert, en in de foutmeldingen en waarschuwingen wat elke tekst betekent. De aankoop en het abonnement vind je op de pagina van de module, en de productpagina van elke versie in Odoo Apps.

Lees verder

Zo werkt Two-Factor Authentication & SSO for Odoo vanbinnen: menu's, taken en modellenMenu's, geplande acties en modellen van Two-Factor Authentication & SSO for Odoo uitgelegd als woordenlijst, met de letterlijke namen die je in Odoo ziet.Fouten in Two-Factor Authentication & SSO for Odoo: wanneer elke melding verschijnt en wat je doetDe foutmeldingen van Two-Factor Authentication & SSO for Odoo (FIDO2, OIDC, SAML, mappings en eventlog): wanneer ze verschijnen en wat je ermee doet.Two-Factor Authentication & SSO for Odoo in gebruik nemen, vraag voor vraagWelke velden je invult bij de OIDC- of SAML-configuratie, hoe je claims en groepen mapt en wat je de eerste week controleert met Two-Factor Authentication & SSO for Odoo.
Gecontroleerd in de broncode van de module (versie 20.0) en in de gelinkte bronnen

Bronnen