Two-Factor Authentication & SSO for Odoo: quando serve e o que ter antes

O que cobre, segundo o README

O Two-Factor Authentication & SSO for Odoo junta num só módulo duas coisas: políticas de duplo fator e acesso com um fornecedor de identidade externo. Isto é o que o README refere:

• Políticas MFA por empresa, grupo de segurança e fornecedor de identidade, com um período de tolerância. Definem-se em Authentication → MFA Policies, onde escolhe os grupos e os fornecedores de identidade (se deixar os fornecedores vazios, a política vale para qualquer início de sessão).
• Segundo fator: o TOTP próprio do Odoo (auth_totp), também depois de entrar com SAML ou OIDC.
• SAML 2.0 como fornecedor de serviço, com python3-saml e xmlsec no servidor, e OpenID Connect.
• Ligações com fornecedores de identidade em Authentication → IdP Connections: uma por fornecedor, e cada uma aparece como botão na página de início de sessão.
• Criação em tempo real (just-in-time) de utilizadores no primeiro início de sessão SSO, com mapeamento de grupos.
• Aprovisionamento SCIM 2.0, com /scim/v2/Users, /scim/v2/Groups e ServiceProviderConfig.
• Registo de autenticação de inícios de sessão, configurações e eventos de SCIM e SSO.
• Código de emergência para um administrador que ficou de fora: de utilização única, com validade e registado.
• Relatório de cobertura MFA por empresa.

O que o próprio README avisa que não faz

Antes de comprar, leia esta parte com calma, porque marca até onde chega o módulo:

• As listas próprias do módulo de dispositivos TOTP e de credenciais FIDO2 não são usadas para iniciar sessão.
• A lista de sessões ativas regista os inícios de sessão SSO, mas terminar uma sessão a partir daí não encerra essa sessão.
• O SCIM não tem limite de pedidos por endereço IP.
• A interface rejeita editar ou apagar no registo de autenticação, mas esse registo não está protegido contra um administrador que use a API.
• O modo de recurso SSO Only de uma ligação oculta o formulário de palavra-passe na página de início de sessão. O README precisa a seguir o que este modo não rejeita: leia-o antes de o tratar como um bloqueio.
• A visibilidade do registo por empresa segue regras de registo que ainda não cobrem todos os grupos.

Nesta lista vê o botão Terminate. Tenha presente o que avisa o README: terminar aí uma sessão não a encerra. Se cortar o acesso de alguém de imediato é um requisito seu, tenha isso em conta antes de decidir.

Se se passa isto consigo, convém-lhe isto

Cruze a sua situação com o que diz a documentação. Se se reconhece nas linhas que servem, o módulo é-lhe útil; se o que precisa está nas outras, decida conhecendo esse limite.

O que ter pronto antes de o instalar

• Uma versão do Odoo publicada: 17, 18, 19 ou 20.
• Poder seguir a instalação que o README pede: colocar o módulo no caminho de addons e reiniciar o Odoo, e depois ir a Apps, procurar *Two-Factor Authentication & SSO* e clicar em Install.
• Para SAML, python3-saml e xmlsec no servidor.
• Se vai usar SSO ou SCIM sobre o FlexigoTech Cloud, a subscrição do FlexigoTech Cloud.
• A sua conta no fornecedor de identidade: segundo a ficha, os custos de terceiros (a sua conta em cada plataforma, o Odoo e o alojamento) contrata-os e paga-os o cliente.
• Decidido que grupos e que fornecedores entram em cada política, para preencher Authentication → MFA Policies.
• Uma base de testes: a ficha inclui o serviço nas cópias de staging e de testes da sua base.

Neste relatório vê, por cada política, a empresa, os tipos de fator aceites, o período de tolerância e se está ativa. Ter claro de antemão que grupos e que fornecedores vão em cada política permite-lhe preenchê-las de uma só vez na sua base de testes.

Versões do Odoo e o que paga

O módulo está publicado no Odoo Apps para 17.0, 18.0, 19.0 e 20.0, e custa 9 € sem IVA, pagamento único por versão do Odoo, para 17, 18, 19 e 20. Segundo o seu manifesto, algumas funções usam um serviço externo pago, a subscrição do FlexigoTech Cloud (serviço local: 29 €/mês ou 290 €/ano sem IVA; Pro: 58 €/mês ou 580 €/ano).

Se o comprar em flexigotech.com, com a subscrição vai incluído o módulo para as versões novas do Odoo; na Odoo App Store, cada versão do Odoo compra-se lá. A migração da sua base para uma versão nova do Odoo não a fazemos nós. Sem subscrição, ou com o serviço suspenso, pára o que a subscrição dá e os dados ficam no seu Odoo.

A ficha do serviço inclui, entre outros pontos, as atualizações do módulo, suporte com primeira resposta em 1 dia útil e o acompanhamento da saúde do módulo na sua base, com alertas.

Como a FlexigoTech o ajuda

A FlexigoTech implementa o Odoo 17, 18, 19 e 20 e desenvolve conectores e integrações à medida, pelo que podemos rever consigo a tabela acima com o seu caso antes de comprar. Se já decidiu, em a colocação em funcionamento do módulo tem que definições preencher e o que rever na primeira semana, e em as mensagens de erro e avisos o que significa cada texto. A compra e a subscrição estão em a página do módulo, e a ficha de cada versão no Odoo Apps.

Continue a ler