إدارة الهوية والوصول: الدخول الموحّد (SSO) وMFA والوصول المستند إلى الدور في Odoo

الهوية هي المحيط الجديد. عندما يصل موظفوك إلى Odoo ERP من المكاتب المنزلية ومواقع الفروع والأجهزة المحمولة، تصبح حدود الشبكة التقليدية بلا معنى. ما يبقى ثابتًا هو الهوية: كل طلب وصول يأتي من مستخدم محدد، على جهاز معين، في وقت محدد، ويطلب الوصول إلى مورد محدد. تعد إدارة إشارات الهوية هذه بشكل فعال أساس أمان المؤسسات الحديثة.

يحدد تقرير التحقيقات في خرق بيانات Verizon باستمرار الهجمات المتعلقة ببيانات الاعتماد باعتبارها الناقل الرئيسي في أكثر من 60% من الانتهاكات. بالنسبة لأنظمة Odoo ERP التي تعمل على مركزية البيانات المالية، وسجلات العملاء، ومعلومات الموارد البشرية، ومعلومات سلسلة التوريد، يمكن لبيانات اعتماد واحدة مخترقة أن تكشف العمود الفقري التشغيلي للشركة بالكامل.

الوجبات الرئيسية

• يعمل تسجيل الدخول الموحد (SSO) المركزي من خلال موفر الهوية على التخلص من امتداد كلمة المرور ويوفر نقطة واحدة لفرض الوصول وإبطاله
• توفر مفاتيح أمان الأجهزة (WebAuthn/FIDO2) أقوى MFA، لكن تطبيقات مصادقة TOTP توفر أفضل توازن بين الأمان وسهولة الاستخدام لمعظم عمليات النشر
• يدعم نظام التحكم في الوصول القائم على المجموعة في Odoo RBAC الدقيق عند تكوينه بشكل صحيح مع مجموعات مخصصة تتجاوز أدوار المستخدم/المدير الافتراضية
• تقلل مراجعات الوصول ربع السنوية من تراكم الامتيازات المفرط وتلتقط الحسابات المعزولة قبل أن تصبح ناقلات للهجوم

---

إدارة الهوية المركزية

تعمل إدارة الهوية المركزية على ربط جميع تطبيقات الأعمال الخاصة بك بموفر هوية واحد (IdP) يعمل كمصدر موثوق لمصادقة المستخدم، وفي كثير من الحالات، التفويض. بدلاً من احتفاظ كل تطبيق بقاعدة بيانات المستخدم وكلمة المرور الخاصة به، يقوم المستخدمون بالمصادقة مرة واحدة من خلال IdP ويحصلون على حق الوصول إلى جميع التطبيقات المعتمدة.

خيارات موفر الهوية

بالنسبة للمؤسسات التي تقوم بتشغيل Odoo ERP، يعود الاختيار عادةً إلى Authentik (أقصى قدر من التحكم، بدون تكاليف ترخيص، دعم قوي لـ OIDC) أو Okta/Azure AD (خدمة مُدارة، سوق تطبيقات واسع النطاق، صفر أعباء تشغيلية).

بروتوكولات SSO: SAML مقابل OIDC

SAML 2.0 (لغة ترميز تأكيد الأمان) هو بروتوكول SSO المؤسسي للمؤسسة. ويستخدم التأكيدات المستندة إلى XML المتبادلة بين موفر الهوية (IdP) وموفر الخدمة (SP). يتم دعم SAML على نطاق واسع بواسطة تطبيقات المؤسسات ويوفر تعيينًا غنيًا للسمات.

OIDC (OpenID Connect) هو البروتوكول الحديث المبني على OAuth2. ويستخدم الرموز المميزة المستندة إلى JSON (JWTs) ونقاط النهاية RESTful. يعد OIDC أسهل في التنفيذ، وهو أكثر ملاءمة لواجهات برمجة التطبيقات (APIs) و SPAs، ويفضل بشكل متزايد لعمليات التكامل الجديدة.

تكوين الدخول الموحّد (SSO) لـ Odoo

يدعم Odoo مصادقة OAuth2/OIDC محليًا من خلال تكوين موفر OAuth2 الخاص به. يتضمن الإعداد:

1. قم بإنشاء تطبيق OAuth2/OIDC في موفر الهوية الخاص بك (Authentik، Okta، وما إلى ذلك) مع توجيه URI لإعادة التوجيه إلى مثيل Odoo الخاص بك (https://your-odoo.com/auth_oauth/signin)
2. قم بتكوين موفر OAuth في Odoo ضمن الإعدادات > الإعدادات العامة > موفري OAuth بمعرف العميل، وسر العميل، وعنوان URL للترخيص، وعنوان URL للرمز المميز، وعنوان URL لمعلومات المستخدم
3. ربط سمات المستخدم --- تأكد من أن IdP يرسل البريد الإلكتروني والاسم وأي سمات مخصصة مطلوبة لتعيين المجموعة
4. قم بتمكين إنشاء الحساب التلقائي إذا كنت تريد توفير مستخدمي SSO الجدد تلقائيًا في Odoo
5. تعطيل تسجيل الدخول المباشر (اختياري لكن موصى به) لفرض جميع عمليات المصادقة من خلال تسجيل الدخول الموحّد (SSO).

بالنسبة لعمليات النشر المتقدمة، يمكن لـ SCIM (نظام إدارة الهوية عبر النطاقات) مزامنة توفير المستخدم وإلغاء التوفير بين IdP وOdoo، مما يضمن فقدان الموظفين الذين تم إنهاء خدمتهم إلى Odoo على الفور عند تعطيله في IdP.

---

المصادقة متعددة العوامل (MFA)

يضيف MFA عامل تحقق ثانيًا يتجاوز كلمة المرور، حيث يحظر 99.9% من هجمات بيانات الاعتماد الآلية وفقًا لأبحاث Microsoft. بالنسبة لأنظمة Odoo التي تحتوي على البيانات المالية وبيانات الموارد البشرية، فإن MFA ليس اختياريًا --- فهو التحكم الأمني ​​الوحيد ذو التأثير الأعلى المتاح.

مقارنة طرق MFA

استراتيجية MFA الموصى بها

بالنسبة للمسؤولين والمستخدمين المميزين: يلزم وجود مفاتيح أمان الأجهزة WebAuthn/FIDO2 (سلسلة YubiKey 5، وGoogle Titan). وهي مقاومة للتصيد الاحتيالي لأن تحدي التشفير مرتبط بالمجال الأصلي --- لا يمكن لموقع التصيد الاحتيالي اعتراض المصادقة.

بالنسبة لمستخدمي الأعمال العاديين: يلزم استخدام تطبيقات مصادقة TOTP (Google Authenticator، وMicrosoft Authenticator، وAuthy). توفر هذه حماية قوية ضد حشو بيانات الاعتماد والهجمات عن بعد بدون تكلفة لكل مستخدم.

لجميع المستخدمين: قم بإزالة كلمة المرور لمرة واحدة (OTP) المستندة إلى الرسائل القصيرة. تكلف هجمات مبادلة بطاقة SIM ما لا يقل عن 100 دولار للتنفيذ وتجاوز MFA المستند إلى الرسائل القصيرة بشكل كامل. إذا كان من الضروري دعم الرسائل القصيرة SMS كإجراء احتياطي، فادمجها مع التحقق من ثقة الجهاز.

تنفيذ أسلوب MFA في Odoo

يتضمن Odoo 17+ دعم TOTP مدمجًا. قم بتمكينها ضمن الإعدادات > الأذونات > المصادقة الثنائية. للحصول على دعم WebAuthn وسياسات MFA الأكثر تقدمًا (MFA المشروط استنادًا إلى الموقع أو الجهاز أو المخاطر)، قم بتنفيذ MFA على مستوى موفر الهوية:

• Authentik --- تكوين سياسات MFA لكل تطبيق. يتطلب WebAuthn للوصول الإداري، TOTP للوصول القياسي. دعم رموز الاسترداد لمنع قفل الحساب.
• Okta --- يقوم Adaptive MFA بضبط المتطلبات بناءً على إشارات المخاطر. قد تتطلب عمليات تسجيل الدخول منخفضة المخاطر إشعارًا بالدفع فقط. تتطلب عمليات تسجيل الدخول عالية المخاطر (جهاز جديد، موقع غير عادي) مفتاح الجهاز.
• Azure AD --- تفرض سياسات الوصول المشروط MFA استنادًا إلى مخاطر المستخدم ومخاطر تسجيل الدخول وامتثال الجهاز وحساسية التطبيق.

تتمثل ميزة MFA على مستوى IdP في أنه يتم تطبيقه عبر جميع التطبيقات المتصلة (Odoo، والبريد الإلكتروني، ومشاركة الملفات، وما إلى ذلك) من نقطة تكوين واحدة.

---

التحكم في الوصول على أساس الدور في Odoo

يقوم Odoo بتنفيذ RBAC من خلال نظام التحكم في الوصول القائم على المجموعة. تحدد كل وحدة مجموعات الوصول، ويتم تعيين المستخدمين إلى مجموعات تحدد أذوناتهم. يعد فهم هذا النظام وتكوينه بشكل صحيح أمرًا ضروريًا لفرض الوصول الأقل امتيازًا.

بنية التحكم في الوصول إلى Odoo

يعمل التحكم في الوصول في Odoo على أربعة مستويات:

الوصول إلى القائمة. التحكم في عناصر القائمة التي تكون مرئية للمستخدم. هذا أمر تجميلي --- فهو يخفي عناصر القائمة ولكنه لا يفرض الوصول على مستوى البيانات.

الوصول إلى الكائنات (ir.model.access). يتحكم في عمليات CRUD (الإنشاء والقراءة والتحديث والحذف) في نماذج قاعدة البيانات بأكملها. محددة لكل مجموعة، لكل نموذج.

قواعد التسجيل (ir.rule). تتحكم في السجلات الموجودة داخل النموذج والتي يمكن للمستخدم الوصول إليها. هذا هو التحكم الدقيق في الوصول الذي يفرض عزل البيانات. تستخدم قواعد السجل عوامل تصفية المجال (على سبيل المثال، [('department_id', '=', user.department_id)]).

الوصول إلى الحقل. يتحكم في الوصول إلى حقول محددة داخل النموذج. يمكن أن تقتصر الحقول الحساسة (الراتب، سعر التكلفة، الهامش) على مجموعات محددة.

تصميم مجموعات الوصول المخصصة

تعد أدوار المستخدم والمدير الافتراضية في معظم وحدات Odoo واسعة جدًا بالنسبة لعمليات النشر ذات الوعي الأمني. تصميم مجموعات مخصصة تتوافق مع الهيكل التنظيمي الخاص بك:

قواعد التسجيل للإيجار المتعدد

بالنسبة لعمليات نشر Odoo متعددة الشركات، يجب أن تفرض قواعد السجل عزل البيانات بين الشركات:

• يجب أن يكون لكل نموذج يحتوي على بيانات حساسة للشركة قاعدة سجل للتصفية حسب company_id
• ينبغي منح حق الوصول عبر الشركات بشكل صريح فقط إلى مسؤولي الشركة القابضة
• اختبار قواعد السجل عن طريق تسجيل الدخول كمستخدمين من شركات مختلفة ومحاولة الوصول إلى السجلات المشتركة بين الشركات
• تدقيق قواعد السجل بشكل ربع سنوي للتأكد من أن النماذج المخصصة الجديدة تتضمن العزل المناسب للشركة

بالنسبة للمؤسسات التي تستخدم Odoo كجزء من [استراتيجية أمان منصة الأعمال] (/blog/cybersecurity-business-platforms-erp-ecommerce) الأوسع، يجب أن يتوافق RBAC في Odoo مع سياسات التحكم في الوصول المفروضة عبر جميع الأنظمة المتصلة.

---

مراجعة الوصول والإدارة

التحكم في الوصول ليس تكوينًا للضبط والنسيان. بدون مراجعة منتظمة، تتراكم الأذونات بمرور الوقت مع تغيير الموظفين لأدوارهم، وتوليهم مسؤوليات إضافية، واحتفاظهم بإمكانية الوصول من مناصبهم السابقة. يؤدي "زحف الامتيازات" هذا إلى إنشاء وصول مفرط يزيد من نطاق اختراق بيانات الاعتماد.

عملية مراجعة الوصول ربع السنوية

1. إنشاء تقارير الوصول تسرد جميع المستخدمين والمجموعات المخصصة لهم وتواريخ تسجيل الدخول الأخيرة
2. تحديد الحالات الشاذة --- المستخدمون الذين لديهم حق الوصول الإداري والذين ليسوا من موظفي تكنولوجيا المعلومات، والمستخدمون الذين لديهم حق الوصول إلى الوحدات غير المرتبطة بدورهم، والحسابات التي لم تقم بتسجيل الدخول لمدة تزيد عن 90 يومًا
3. المراجعة مع المديرين --- يقوم كل رئيس قسم بمراجعة مهام الوصول لفريقه وتأكيدها
4. إلغاء الامتيازات الزائدة --- قم بإزالة مهام المجموعة التي لم تعد هناك حاجة إليها
5. تعطيل الحسابات الخاملة --- قم بإلغاء تنشيط الحسابات التي لا يوجد بها نشاط تسجيل دخول لأكثر من 90 يومًا
6. توثيق القرارات --- قم بتسجيل تاريخ المراجعة والمراجع وأي تغييرات تم إجراؤها على أدلة التدقيق

إدارة الوصول الآلي

بالنسبة لعمليات النشر الأكبر، يمكنك أتمتة إدارة الوصول باستخدام:

• توفير SCIM لإنشاء حسابات مستخدمي Odoo وتحديثها تلقائيًا عند تعيين الموظفين، أو تغيير الأدوار، أو إنهاء خدمتهم في نظام الموارد البشرية
• تعيين المجموعة من مجموعات IdP إلى مجموعات Odoo، بحيث تؤدي تغييرات الأدوار في موفر الهوية إلى ضبط أذونات Odoo تلقائيًا
• حملات شهادات الوصول التي يتم إطلاقها وفقًا لجدول زمني (ربع سنوي) أو حسب الأحداث (تغيير الدور، نقل القسم)
• الكشف عن الحساب اليتيم تنبيه عند وجود حسابات في Odoo ولكن ليس في IdP (يشير إلى الإنشاء اليدوي الذي تجاوز الإدارة)

إدارة الوصول المميز

تتطلب الحسابات الإدارية في Odoo (مجموعة الإعدادات، مجموعة الميزات التقنية، مدير قاعدة البيانات) ضوابط إضافية:

• حسابات إدارية منفصلة --- يستخدم المسؤولون حسابهم القياسي للعمل اليومي وحساب مميز منفصل للمهام الإدارية
• الوصول في الوقت المناسب (JIT) --- يتم منح الوصول الإداري عند الطلب، لمدة محددة، مع سير عمل الموافقة
• تسجيل الجلسة --- يتم تسجيل الجلسات الإدارية وتسجيلها لأغراض التدقيق
• إجراءات كسر الزجاج --- إجراءات الوصول في حالات الطوارئ للحالات التي لا يتوفر فيها سير عمل الوصول المميز العادي

---

تقوية أمان IAM الخاص بـ Odoo

بالإضافة إلى RBAC وSSO القياسيين، تستفيد عمليات نشر Odoo من التعزيز الخاص بالمنصة:

الوصول إلى XML-RPC وJSON-RPC

يكشف Odoo عن واجهات برمجة تطبيقات XML-RPC وJSON-RPC للتكاملات الخارجية. تتجاوز واجهات برمجة التطبيقات هذه مصادقة واجهة مستخدم الويب ويجب تأمينها بشكل منفصل:

• تقييد الوصول إلى واجهة برمجة التطبيقات (API) عن طريق IP باستخدام قواعد جدار الحماية أو تكوين الوكيل العكسي
• استخدم مفاتيح واجهة برمجة التطبيقات بدلاً من بيانات اعتماد المستخدم لمصادقة التكامل
• نقاط نهاية واجهة برمجة التطبيقات ذات الحد الأقصى للسعر لمنع حشو بيانات الاعتماد وهجمات القوة الغاشمة
• مراقبة حالات فشل مصادقة واجهة برمجة التطبيقات والتنبيه بشأن الأنماط الشاذة
• تعطيل بروتوكولات API غير المستخدمة --- إذا كنت تستخدم JSON-RPC فقط، فقم بتعطيل XML-RPC

أمن مدير قاعدة البيانات

يسمح مدير قاعدة بيانات Odoo (/web/database/manager) بإنشاء قواعد البيانات وتكرارها وحذفها واستعادتها. في الإنتاج:

• تعيين كلمة مرور قوية لمدير قاعدة البيانات (أو قم بتعطيلها بالكامل باستخدام --no-database-list)
• تقييد الوصول إلى عنوان URL لمدير قاعدة البيانات عبر قواعد الوكيل العكسي
• استخدم العلامة --database لتحديد قاعدة البيانات الدقيقة، مما يمنع تعداد قاعدة البيانات

أمان الجلسة

• قم بتكوين session_timeout لإنهاء جلسات العمل الخاملة تلقائيًا (موصى به: 30-60 دقيقة للمستخدمين العاديين، و15 دقيقة للمستخدمين المميزين)
• تمكين علامتي secure وhttpOnly في ملفات تعريف الارتباط الخاصة بالجلسة
• تنفيذ حدود الجلسة المتزامنة لمنع مشاركة بيانات الاعتماد واكتشاف الاختراقات

---

الأسئلة المتداولة

هل يمكنني استخدام الدخول الموحّد (SSO) مع إصدار مجتمع Odoo؟

يدعم Odoo Community Edition مصادقة OAuth2 من خلال وحدة auth_oauth، والتي تتيح تسجيل الدخول الموحد (SSO) الأساسي مع مقدمي الخدمة مثل Google وGitHub. بالنسبة لتسجيل الدخول الموحّد (SSO) على مستوى المؤسسات مع توفير SAML وSCIM وتعيين السمات المتقدمة، يوفر Odoo Enterprise Edition وحدات إضافية. وبدلاً من ذلك، يمكنك تحقيق وظائف مماثلة في Community Edition باستخدام مصادقة الوكيل العكسي من خلال Authentik أو Keycloak، حيث يتعامل الوكيل مع SSO ويمرر الهوية المصادق عليها إلى Odoo عبر الرؤوس.

ماذا يحدث إذا تعطل مزود الهوية؟

إذا لم يكن موفر الهوية متاحًا، فلن يتمكن المستخدمون من المصادقة من خلال تسجيل الدخول الموحد (SSO). وهذا هو سبب أهمية إجراءات كسر الزجاج. احتفظ بحساب إداري محلي واحد على الأقل في Odoo باستخدام كلمة مرور قوية وفريدة مخزنة في وحدة أمان فعلية أو وحدة أمان للأجهزة. يتجاوز هذا الحساب الدخول الموحّد (SSO) ويسمح للمسؤولين بالوصول إلى النظام أثناء انقطاع موفِّر الهوية (IdP). بالنسبة لعمليات النشر عالية التوفر، قم بتكوين مجموعة IdP أو IdP ثانوي مع تجاوز الفشل التلقائي.

كيف يمكنني ترحيل مستخدمي Odoo الحاليين إلى الدخول الموحد (SSO)؟

تتضمن عملية الترحيل مطابقة حسابات مستخدمي Odoo الحالية مع هويات IdP، عادةً عن طريق عنوان البريد الإلكتروني. أنشئ مستخدمين في IdP، وقم بتكوين الدخول الموحّد (SSO) في Odoo، وقم بتحديث سجلات المستخدم الحالية للربط مع موفر OAuth الخاص بهم. سيتم مصادقة المستخدمين من خلال تسجيل الدخول الموحّد (SSO) عند تسجيل الدخول التالي. خطط لفترة انتقالية حيث تتوفر كل من المصادقة المحلية ومصادقة SSO، ثم قم بتعطيل المصادقة المحلية بمجرد ترحيل جميع المستخدمين بنجاح.

هل يجب علي تنفيذ MFA على مستوى IdP أو في Odoo مباشرةً؟

فرض MFA على مستوى IdP. وهذا يوفر MFA متسقًا عبر جميع التطبيقات المتصلة (وليس فقط Odoo)، ويجعل إدارة سياسة MFA مركزية، ويمكّن الميزات المتقدمة مثل MFA المشروط والمصادقة القائمة على المخاطر. يعد TOTP المدمج في Odoo مناسبًا فقط للنشر المستقل بدون IdP.

كيف يمكنني التعامل مع وصول الشركاء والموردين الخارجيين؟

قم بإنشاء مجموعة "بوابة" أو "مستخدم خارجي" مخصصة في Odoo مع قواعد تسجيل مقيدة تقصر الرؤية على بيانات الشريك الخاصة فقط. استخدم ميزات الهوية الخارجية لموفر الهوية ("مصادر" Authentik أو "هوية العميل" الخاصة بـ Okta) لإدارة مصادقة المستخدم الخارجي بشكل منفصل عن مصادقة الموظف. تطبيق متطلبات MFA أكثر صرامة ومهلات الجلسة للمستخدمين الخارجيين. قم بإجراء تقييمات أمان البائع قبل منح أي حق وصول.

---

ما هو التالي

تعد إدارة الهوية والوصول حجر الزاوية في بنية أمان الثقة المعدومة. ابدأ بدمج المصادقة من خلال موفر هوية مركزي، وفرض MFA على جميع المستخدمين، وتكوين RBAC الدقيق في Odoo بما يتجاوز الأدوار الافتراضية، وتنفيذ مراجعات الوصول ربع السنوية. تقلل كل خطوة بشكل ملموس من خطر الهجمات المستندة إلى بيانات الاعتماد.

تنفذ ECOSIRE IAM على مستوى المؤسسة عبر كل [نشر Odoo ERP] (https://ecosire.com/services/odoo)، بما في ذلك تكامل تسجيل الدخول الموحد (SSO) مع Authentik، وتصميم الوصول القائم على الدور، وتعزيز الأمان. تعمل منصة OpenClaw AI على توسيع نطاق الأمان المدرك للهوية ليشمل التطبيقات التي تعمل بالذكاء الاصطناعي. اتصل بفريقنا لإنشاء أساس هوية آمن لنشاطك التجاري.

---

تم النشر بواسطة ECOSIRE --- مساعدة الشركات على التوسع باستخدام الحلول المدعومة بالذكاء الاصطناعي عبر Odoo ERP، وShopify eCommerce، وOpenClaw AI.