Saltar para o conteúdo principal
Two-Factor Authentication & SSO

Arranque de Two-Factor Authentication & SSO for Odoo, pergunta a pergunta

Para arrancar com Two-Factor Authentication & SSO for Odoo preenches a configuração OIDC ou SAML de cada ligação IdP com os dados do teu fornecedor e decides, com os mapeamentos, que claims e grupos chegam a cada utilizador. Na primeira semana revês a lista de ligações IdP, as sessões ativas em Definições e o relatório MFA Coverage Report. Aqui tens, pergunta a pergunta, que campo vai em cada sítio e o que ver.

FlexigoTech · Responsável: Víctor Gómez · Atualizado em 4 de novembro de 2026

O essencial

Versões
Odoo 17, 18, 19 e 20
Verificado
no código do módulo, versão 20.0 · nas fontes indicadas no fim
Leitura
5 min

Os dados que o teu fornecedor de identidade pede

Que campos preenches numa configuração OIDC?

A configuração OIDC liga-se a uma ligação através do campo IdP Connection. O primeiro dado é Issuer URL, que a ajuda do campo descreve como o URL do emissor OIDC, com o exemplo https://login.microsoftonline.com/<tenant>/v2.0. Depois vêm Client ID e Client Secret (encrypted), o segredo de cliente OAuth2. A ficha continua com Authorization Endpoint, Token Endpoint, JWKS URI e End Session Endpoint. Em Scopes escreves a lista de scopes OIDC que vão ser pedidos, separados por espaços. Segundo a ajuda de cada campo, Client Secret (encrypted), Refresh Token (encrypted) e Access Token (encrypted) são guardados cifrados em repouso. Junto ao token de acesso em vigor está Access Token Expiry, e na mesma configuração tens Discovery Document Last Fetched. Quando reveres a ligação, olha para essas duas datas.

E se o teu fornecedor trabalha com SAML?

A configuração SAML também tem o seu campo IdP Connection. Do lado do fornecedor preenches IdP Entity ID (o Entity ID SAML do fornecedor de identidade) e IdP SSO URL (o URL com binding HTTP-Redirect para a AuthnRequest). IdP SLO URL é o URL do serviço de Single Logout; a ajuda do campo marca-o como opcional, a não ser que o Single Logout esteja ativado. Em IdP Signing Certificate (PEM) colas o certificado X.509 em PEM com o qual o módulo verifica as respostas SAML do fornecedor. IdP Encryption Certificate (PEM) é opcional e serve para asserções SAML cifradas. IdP Metadata URL é o URL a partir do qual os metadados SAML do fornecedor são descarregados periodicamente e guardados em cache; o último XML de metadados descarregado com sucesso fica guardado em Cached Metadata XML. A configuração tem ainda SP Entity ID, SP ACS URL e a lista suspensa NameID Format.

O que cada utilizador recebe do fornecedor

Como passas um atributo do fornecedor para um campo do utilizador do Odoo?

Com as linhas de Claim Mappings da configuração OIDC. Cada linha tem IdP Attribute / Claim Name, com o nome do atributo ou claim no fornecedor, e Odoo User Field, uma lista suspensa com o campo do utilizador do Odoo para onde vai. As linhas levam também os campos SAML Configuration e OIDC Configuration, e um Sequence: as sequências mais baixas aplicam-se primeiro. Numera as linhas a pensar em qual queres que se aplique antes.

Como atribuis grupos do Odoo consoante o fornecedor?

Com as linhas de Group Mappings. Cada linha relaciona um IdP Group Value com um Odoo Group e leva a lista suspensa Mapping Mode. Tal como nos claims, cada linha tem os seus campos SAML Configuration e OIDC Configuration. Escolhe o Mapping Mode no próprio formulário ao criar cada linha. Se ao testar o acesso aparecer um aviso, em as mensagens de erro e avisos do módulo tens os textos literais e o que fazer com cada um.

O que rever na primeira semana

Onde vês todas as ligações de uma só vez?

Na lista IdP Connections. Cada linha mostra uma ligação com o seu protocolo (SAML ou OIDC), se está ativa, o aprovisionamento JIT e SCIM e o modo de recurso. Em cima tens o botão para criar uma nova e a pesquisa. Revê-a para confirmar que as ligações ativas são as que queres usar.

Lista IdP Connections com cinco ligações SSO SAML e OIDC e colunas de protocolo, ativo, aprovisionamento JIT e SCIM e modo de recurso
A lista de ligações IdP com o botão Novo e a pesquisa, com dados de demonstração (linhas com nome Demo)

Como verificas quem entrou e por que ligação?

Em Definições está a lista de sessões ativas. Cada linha mostra o início, o utilizador, a ligação IdP, o método de autenticação, o IP e a última atividade, com o botão Terminate. Nos primeiros dias, compara a ligação IdP e o método de autenticação de cada sessão com o que esperas para esse utilizador.

Lista de sessões ativas em Definições com as linhas Administrator e OdooBot e o botão Terminate
As sessões ativas com colunas de início, utilizador, ligação IdP, método de autenticação, IP e última atividade

Onde revês as políticas MFA?

No relatório MFA Coverage Report, em Definições. Lista as políticas MFA com a sua empresa, os tipos de fator aceites, o período de tolerância e o estado ativo. Verifica que cada política está ativa e tem o período de tolerância que decidiste. Este percurso mostra os três ecrãs que convém abrir na primeira semana:

Percurso por sessões ativas, ligações IdP e relatório MFA Coverage Report em Definições do Odoo
Sessões ativas de Administrator e OdooBot, ligações Google Workspace OIDC e Microsoft Entra ID SAML com protocolo, empresa, ativo, JIT e modo de recurso, e as políticas Admin MFA Enforcement e Regular User MFA

O que é o assistente Rotate SP Certificate?

É uma caixa de diálogo com os campos SAML Configuration (uma lista suspensa), New SP Certificate (PEM), New SP Private Key (PEM) e Effective Rotation Date, e os botões Save e Discard. Se trabalhas com SAML, deixa-o localizado: nele escolhes a configuração SAML, colas o novo certificado e a nova chave privada do SP em PEM e defines a data de rotação efetiva.

Diálogo Rotate SP Certificate com os campos SAML Configuration, New SP Certificate, New SP Private Key e Effective Rotation Date
O assistente de rotação do certificado SP, um ecrã sem registos, com os botões Save e Discard

O que pagas pelo módulo e pelo serviço?

No Odoo Apps o módulo custa 9 € sem IVA, pagamento único por versão, para Odoo 17, 18, 19 e 20, e nas quatro versões o manifesto diz: «Some features use a paid external service: FlexigoTech Cloud subscription (from 29 EUR/month, VAT excl.)». Esse serviço é opcional e o plano local custa 29 €/mês ou 290 €/ano sem IVA (Pro: 58 €/mês ou 580 €/ano); sem subscrição, ou com o serviço suspenso, pára o que a subscrição dá e os dados ficam no teu Odoo. Com a subscrição, o módulo para as versões novas do Odoo vem incluído se o compraste em flexigotech.com; no Odoo App Store, cada versão compra-se lá.

Como a FlexigoTech te ajuda

Se preferires não fazer o arranque sozinho, na FlexigoTech implementamos Odoo 17, 18, 19 e 20 e desenvolvemos conectores e integrações à medida. Se quiseres perceber primeiro o que o módulo acrescenta por dentro, lê como funciona Two-Factor Authentication & SSO for Odoo. Em a página do módulo tens a compra e o detalhe do serviço.

Continue a ler

Como funciona por dentro o Two-Factor Authentication & SSO for Odoo: glossário de menus, tarefas e modelosMenus, ações agendadas e modelos do Two-Factor Authentication & SSO for Odoo explicados num glossário, com os nomes literais que vai ver no Odoo.Erros do Two-Factor Authentication & SSO for Odoo: quando surge cada mensagem e o que fazerAs mensagens de erro do Two-Factor Authentication & SSO for Odoo (FIDO2, OIDC, SAML, mapeamentos e registo de eventos): quando surgem e o que fazer.Two-Factor Authentication & SSO for Odoo: quando serve e o que ter antesO que cobre e o que não cobre o Two-Factor Authentication & SSO for Odoo segundo o README, o que precisa antes de o instalar e em que versões do Odoo está.
Verificado no código do módulo (versão 20.0) e nas fontes indicadas

Fontes