Identitäts- und Zugriffsverwaltung: SSO, MFA und rollenbasierter Zugriff in Odoo

Identität ist der neue Perimeter. Wenn Ihre Mitarbeiter von Heimbüros, Zweigstellen und mobilen Geräten aus auf Odoo ERP zugreifen, wird die traditionelle Netzwerkgrenze bedeutungslos. Was konstant bleibt, ist die Identität: Jede Zugriffsanfrage kommt von einem bestimmten Benutzer, auf einem bestimmten Gerät, zu einem bestimmten Zeitpunkt und fordert Zugriff auf eine bestimmte Ressource. Die effektive Verwaltung dieser Identitätssignale ist die Grundlage moderner Unternehmenssicherheit.

Der Data Breach Investigations Report von Verizon identifiziert durchweg Angriffe im Zusammenhang mit Zugangsdaten als primären Vektor bei über 60 % der Verstöße. Bei Odoo-ERP-Systemen, die Finanzdaten, Kundendaten, Personalinformationen und Lieferketteninformationen zentralisieren, kann ein einziger kompromittierter Berechtigungsnachweis das gesamte operative Rückgrat des Unternehmens offenlegen.

Wichtige Erkenntnisse

– Zentralisiertes SSO über einen Identitätsanbieter verhindert die Verbreitung von Passwörtern und bietet einen zentralen Punkt für die Durchsetzung und Sperrung des Zugriffs

• Hardware-Sicherheitsschlüssel (WebAuthn/FIDO2) bieten die stärkste MFA, aber TOTP-Authentifikator-Apps bieten für die meisten Bereitstellungen die beste Balance aus Sicherheit und Benutzerfreundlichkeit – Das gruppenbasierte Zugriffskontrollsystem von Odoo unterstützt granulares RBAC, wenn es ordnungsgemäß mit benutzerdefinierten Gruppen konfiguriert ist, die über die Standardbenutzer-/Managerrollen hinausgehen – Vierteljährliche Zugriffsüberprüfungen reduzieren die übermäßige Anhäufung von Berechtigungen und erkennen verwaiste Konten, bevor sie zu Angriffsvektoren werden

---

Zentralisiertes Identitätsmanagement

Das zentrale Identitätsmanagement verbindet alle Ihre Geschäftsanwendungen mit einem einzigen Identitätsanbieter (IdP), der als maßgebliche Quelle für die Benutzerauthentifizierung und in vielen Fällen auch für die Autorisierung dient. Anstatt dass jede Anwendung ihre eigene Benutzerdatenbank und ihr eigenes Passwort verwaltet, authentifizieren sich Benutzer einmal über den IdP und erhalten Zugriff auf alle autorisierten Anwendungen.

Optionen für Identitätsanbieter

Für Unternehmen, die Odoo ERP nutzen, fällt die Wahl typischerweise auf Authentik (maximale Kontrolle, keine Lizenzkosten, starke OIDC-Unterstützung) oder Okta/Azure AD (verwalteter Service, umfangreicher App-Marktplatz, kein Betriebsaufwand).

SSO-Protokolle: SAML vs. OIDC

SAML 2.0 (Security Assertion Markup Language) ist das etablierte SSO-Protokoll für Unternehmen. Es verwendet XML-basierte Behauptungen, die zwischen dem IdP und dem Dienstanbieter (SP) ausgetauscht werden. SAML wird von Unternehmensanwendungen weitgehend unterstützt und bietet eine umfassende Attributzuordnung.

OIDC (OpenID Connect) ist das moderne Protokoll, das auf OAuth2 aufbaut. Es verwendet JSON-basierte Token (JWTs) und RESTful-Endpunkte. OIDC ist einfacher zu implementieren, besser für APIs und SPAs geeignet und wird zunehmend für neue Integrationen bevorzugt.

SSO für Odoo konfigurieren

Odoo unterstützt die OAuth2/OIDC-Authentifizierung nativ über seine OAuth2-Anbieterkonfiguration. Die Einrichtung umfasst:

1. Erstellen Sie eine OAuth2/OIDC-Anwendung in Ihrem Identitätsanbieter (Authentik, Okta usw.), wobei der Umleitungs-URI auf Ihre Odoo-Instanz (https://your-odoo.com/auth_oauth/signin) verweist.
2. Konfigurieren Sie den OAuth-Anbieter in Odoo unter Einstellungen > Allgemeine Einstellungen > OAuth-Anbieter mit der Client-ID, dem Client-Geheimnis, der Autorisierungs-URL, der Token-URL und der Benutzerinfo-URL
3. Benutzerattribute zuordnen --- Stellen Sie sicher, dass der IdP E-Mail, Namen und alle benutzerdefinierten Attribute sendet, die für die Gruppenzuordnung erforderlich sind
4. Aktivieren Sie die automatische Kontoerstellung, wenn Sie möchten, dass neue SSO-Benutzer automatisch in Odoo bereitgestellt werden
5. Direkte Anmeldung deaktivieren (optional, aber empfohlen), um die gesamte Authentifizierung über SSO zu erzwingen

Für erweiterte Bereitstellungen kann SCIM (System for Cross-Domain Identity Management) die Bereitstellung und Aufhebung der Benutzerbereitstellung zwischen dem IdP und Odoo synchronisieren und so sicherstellen, dass gekündigte Mitarbeiter sofort den Odoo-Zugriff verlieren, wenn sie im IdP deaktiviert werden.

---

Multi-Faktor-Authentifizierung (MFA)

MFA fügt über das Passwort hinaus einen zweiten Verifizierungsfaktor hinzu und blockiert laut einer Studie von Microsoft 99,9 % der automatisierten Angriffe auf Anmeldeinformationen. Für Odoo-Systeme, die Finanz- und Personaldaten enthalten, ist MFA nicht optional – es ist die einzige verfügbare Sicherheitskontrolle mit der höchsten Auswirkung.

MFA-Methodenvergleich

Empfohlene MFA-Strategie

Für Administratoren und privilegierte Benutzer: Erfordern WebAuthn/FIDO2-Hardware-Sicherheitsschlüssel (YubiKey 5-Serie, Google Titan). Diese sind Phishing-resistent, da die kryptografische Herausforderung an die Ursprungsdomäne gebunden ist – eine Phishing-Site kann die Authentifizierung nicht abfangen.

Für Standard-Geschäftsbenutzer: TOTP-Authentifizierungs-Apps erforderlich (Google Authenticator, Microsoft Authenticator, Authy). Diese bieten starken Schutz vor Credential Stuffing und Remote-Angriffen ohne Kosten pro Benutzer.

Für alle Benutzer: Beseitigen Sie SMS-basiertes OTP. Die Durchführung von SIM-Swapping-Angriffen kostet nur 100 US-Dollar und umgeht SMS-basierte MFA vollständig. Wenn SMS als Fallback unterstützt werden muss, kombinieren Sie es mit der Gerätevertrauensüberprüfung.

MFA in Odoo implementieren

Odoo 17+ beinhaltet integrierte TOTP-Unterstützung. Aktivieren Sie es unter Einstellungen > Berechtigungen > Zwei-Faktor-Authentifizierung. Für WebAuthn-Unterstützung und erweiterte MFA-Richtlinien (bedingte MFA basierend auf Standort, Gerät oder Risiko) implementieren Sie MFA auf der Ebene des Identitätsanbieters:

• Authentik --- Konfigurieren Sie MFA-Richtlinien pro Anwendung. Erfordern Sie WebAuthn für den Administratorzugriff, TOTP für den Standardzugriff. Unterstützen Sie Wiederherstellungscodes zur Verhinderung der Kontosperrung.
• Okta --- Adaptive MFA passt Anforderungen basierend auf Risikosignalen an. Für Anmeldungen mit geringem Risiko ist möglicherweise nur eine Push-Benachrichtigung erforderlich. Für Anmeldungen mit hohem Risiko (neues Gerät, ungewöhnlicher Standort) ist ein Hardwareschlüssel erforderlich.
• Azure AD --- Richtlinien für bedingten Zugriff erzwingen MFA basierend auf Benutzerrisiko, Anmelderisiko, Gerätekonformität und Anwendungsempfindlichkeit.

Der Vorteil von MFA auf IdP-Ebene besteht darin, dass es von einem einzigen Konfigurationspunkt aus für alle verbundenen Anwendungen (Odoo, E-Mail, Dateifreigabe usw.) gilt.

---

Rollenbasierte Zugriffskontrolle in Odoo

Odoo implementiert RBAC über ein gruppenbasiertes Zugriffskontrollsystem. Jedes Modul definiert Zugriffsgruppen und Benutzer werden Gruppen zugewiesen, die ihre Berechtigungen festlegen. Um den Zugriff mit den geringsten Rechten durchzusetzen, ist es wichtig, dieses System zu verstehen und richtig zu konfigurieren.

Odoo-Zugriffskontrollarchitektur

Die Zugangskontrolle von Odoo erfolgt auf vier Ebenen:

Menüzugriff. Steuert, welche Menüelemente für einen Benutzer sichtbar sind. Dies ist kosmetischer Natur – es verbirgt Menüelemente, erzwingt jedoch keinen Zugriff auf Datenebene.

Objektzugriff (ir.model.access). Steuert CRUD-Vorgänge (Erstellen, Lesen, Aktualisieren, Löschen) für gesamte Datenbankmodelle. Definiert pro Gruppe, pro Modell.

Datensatzregeln (ir.rule). Steuert, auf welche Datensätze innerhalb eines Modells ein Benutzer zugreifen kann. Dabei handelt es sich um die feinkörnige Zugriffskontrolle, die die Datenisolation erzwingt. Datensatzregeln verwenden Domänenfilter (z. B. [('department_id', '=', user.department_id)]).

Feldzugriff. Steuert den Zugriff auf bestimmte Felder innerhalb eines Modells. Sensible Felder (Gehalt, Selbstkostenpreis, Marge) können auf bestimmte Gruppen beschränkt werden.

Entwerfen benutzerdefinierter Zugriffsgruppen

Die Standardrollen „Benutzer“ und „Manager“ in den meisten Odoo-Modulen sind für sicherheitsbewusste Bereitstellungen zu weit gefasst. Entwerfen Sie benutzerdefinierte Gruppen, die zu Ihrer Organisationsstruktur passen:

Regeln für Mehrmandantenfähigkeit aufzeichnen

Bei unternehmensübergreifenden Odoo-Bereitstellungen müssen Datensatzregeln die Datenisolation zwischen Unternehmen erzwingen:

• Jedes Modell mit unternehmenssensiblen Daten muss über eine Datensatzregel verfügen, die nach company_id filtert.
• Der unternehmensübergreifende Zugriff sollte explizit nur Holding-Administratoren gewährt werden
• Testen Sie Datensatzregeln, indem Sie sich als Benutzer verschiedener Unternehmen anmelden und versuchen, auf unternehmensübergreifende Datensätze zuzugreifen
• Überprüfen Sie die Aufzeichnungsregeln vierteljährlich, um sicherzustellen, dass neue benutzerdefinierte Modelle eine ordnungsgemäße Unternehmensisolierung beinhalten

Für Organisationen, die Odoo als Teil einer umfassenderen Sicherheitsstrategie für Geschäftsplattformen verwenden, sollte RBAC in Odoo mit den Zugriffskontrollrichtlinien übereinstimmen, die in allen verbundenen Systemen durchgesetzt werden.

---

Zugangsüberprüfung und Governance

Die Zugangskontrolle ist keine Set-and-Forget-Konfiguration. Ohne regelmäßige Überprüfung sammeln sich im Laufe der Zeit Berechtigungen an, wenn Mitarbeiter ihre Rolle wechseln, zusätzliche Verantwortlichkeiten übernehmen und den Zugriff von früheren Positionen behalten. Diese „Privilegienschleichung“ führt zu übermäßigem Zugriff, der den Explosionsradius der Berechtigungskompromittierung vergrößert.

Vierteljährlicher Zugangsüberprüfungsprozess

1. Erstellen Sie Zugriffsberichte, in denen alle Benutzer, die ihnen zugewiesenen Gruppen und die letzten Anmeldedaten aufgeführt sind
2. Identifizieren Sie Anomalien --- Benutzer mit Administratorzugriff, die keine IT-Mitarbeiter sind, Benutzer mit Zugriff auf Module, die nichts mit ihrer Rolle zu tun haben, Konten, die sich seit mehr als 90 Tagen nicht angemeldet haben
3. Überprüfung mit Managern --- Jeder Abteilungsleiter überprüft und bestätigt die Zugriffszuweisungen für sein Team
4. Überzählige Berechtigungen widerrufen --- Gruppenzuweisungen entfernen, die nicht mehr benötigt werden
5. Inaktive Konten deaktivieren --- Konten ohne Anmeldeaktivität für mehr als 90 Tage deaktivieren
6. Entscheidungen dokumentieren --- Notieren Sie das Überprüfungsdatum, den Prüfer und alle vorgenommenen Änderungen als Prüfungsnachweis

Automatisierte Zugriffsverwaltung

Automatisieren Sie bei größeren Bereitstellungen die Zugriffsverwaltung mithilfe von:

• SCIM-Bereitstellung zur automatischen Erstellung und Aktualisierung von Odoo-Benutzerkonten, wenn Mitarbeiter eingestellt werden, ihre Rolle wechseln oder im HR-System gekündigt werden
• Gruppenzuordnung von IdP-Gruppen zu Odoo-Gruppen, sodass Rollenänderungen im Identitätsanbieter automatisch die Odoo-Berechtigungen anpassen
• Zugriffszertifizierungskampagnen, die nach einem Zeitplan (vierteljährlich) oder durch Ereignisse (Rollenwechsel, Abteilungswechsel) ausgelöst werden
• Erkennung verwaister Konten, Warnung, wenn Konten in Odoo, aber nicht im IdP vorhanden sind (was auf eine manuelle Erstellung hinweist, die die Governance umgangen hat)

Privilegierte Zugriffsverwaltung

Administratorkonten in Odoo (Gruppe „Einstellungen“, Gruppe „Technische Funktionen“, Datenbankmanager) erfordern zusätzliche Kontrollen:

• Separate Administratorkonten --- Administratoren verwenden ihr Standardkonto für die tägliche Arbeit und ein separates privilegiertes Konto für Verwaltungsaufgaben
• Just-in-Time-Zugriff (JIT) --- Der administrative Zugriff wird auf Anfrage für eine bestimmte Dauer mit Genehmigungsworkflow gewährt
• Sitzungsaufzeichnung --- Verwaltungssitzungen werden zu Prüfzwecken protokolliert und aufgezeichnet
• Break-Glas-Verfahren --- Notfallzugriffsverfahren für Situationen, in denen der normale Arbeitsablauf für privilegierten Zugriff nicht verfügbar ist

---

Odoo-spezifische IAM-Sicherheitshärtung

Über Standard-RBAC und SSO hinaus profitieren Odoo-Bereitstellungen von plattformspezifischer Härtung:

XML-RPC- und JSON-RPC-Zugriff

Odoo stellt XML-RPC- und JSON-RPC-APIs für externe Integrationen bereit. Diese APIs umgehen die Web-UI-Authentifizierung und müssen separat gesichert werden:

• Beschränken Sie den API-Zugriff nach IP mithilfe von Firewall-Regeln oder Reverse-Proxy-Konfiguration
• Verwenden Sie API-Schlüssel anstelle von Benutzeranmeldeinformationen für die Integrationsauthentifizierung
• Ratenlimit-API-Endpunkte, um Credential Stuffing und Brute-Force-Angriffe zu verhindern
• API-Authentifizierungsfehler überwachen und bei anomalen Mustern warnen
• Nicht verwendete API-Protokolle deaktivieren --- Wenn Sie nur JSON-RPC verwenden, deaktivieren Sie XML-RPC

Sicherheit des Datenbankmanagers

Der Datenbankmanager von Odoo (/web/database/manager) ermöglicht das Erstellen, Duplizieren, Löschen und Wiederherstellen von Datenbanken. In Produktion:

• Legen Sie ein sicheres Datenbankmanager-Passwort fest (oder deaktivieren Sie es vollständig mit --no-database-list)
• Beschränken Sie den Zugriff auf die Datenbankmanager-URL über Reverse-Proxy-Regeln – Verwenden Sie das Flag --database, um die genaue Datenbank anzugeben und so eine Datenbankaufzählung zu verhindern

Sitzungssicherheit

• Konfigurieren Sie session_timeout so, dass Leerlaufsitzungen automatisch ablaufen (empfohlen: 30–60 Minuten für Standardbenutzer, 15 Minuten für privilegierte Benutzer)
• Aktivieren Sie die Flags secure und httpOnly für Sitzungscookies
• Implementieren Sie Beschränkungen für gleichzeitige Sitzungen, um die gemeinsame Nutzung von Anmeldeinformationen zu verhindern und Kompromittierungen zu erkennen

---

Häufig gestellte Fragen

Kann ich SSO mit der Odoo Community Edition verwenden?

Odoo Community Edition unterstützt die OAuth2-Authentifizierung über das auth_oauth-Modul, das grundlegendes SSO mit Anbietern wie Google und GitHub ermöglicht. Für SSO der Enterprise-Klasse mit SAML, SCIM-Bereitstellung und erweiterter Attributzuordnung bietet Odoo Enterprise Edition zusätzliche Module. Alternativ können Sie eine ähnliche Funktionalität in der Community Edition mithilfe der Reverse-Proxy-Authentifizierung über Authentik oder Keycloak erreichen, wobei der Proxy SSO übernimmt und die authentifizierte Identität über Header an Odoo weitergibt.

Was passiert, wenn der Identitätsanbieter ausfällt?

Wenn der IdP nicht verfügbar ist, können sich Benutzer nicht über SSO authentifizieren. Aus diesem Grund sind Glasbruchverfahren von entscheidender Bedeutung. Pflegen Sie mindestens ein lokales Administratorkonto in Odoo mit einem sicheren, eindeutigen Passwort, das in einem physischen Safe oder einem Hardware-Sicherheitsmodul gespeichert ist. Dieses Konto umgeht SSO und ermöglicht Administratoren den Zugriff auf das System bei IdP-Ausfällen. Konfigurieren Sie für Hochverfügbarkeitsbereitstellungen IdP-Clustering oder einen sekundären IdP mit automatischem Failover.

Wie migriere ich bestehende Odoo-Benutzer zu SSO?

Der Migrationsprozess umfasst den Abgleich vorhandener Odoo-Benutzerkonten mit IdP-Identitäten, normalerweise anhand der E-Mail-Adresse. Erstellen Sie Benutzer im IdP, konfigurieren Sie SSO in Odoo und aktualisieren Sie vorhandene Benutzerdatensätze, um sie mit ihrem OAuth-Anbieter zu verknüpfen. Benutzer authentifizieren sich bei ihrer nächsten Anmeldung über SSO. Planen Sie einen Übergangszeitraum ein, in dem sowohl lokale als auch SSO-Authentifizierung verfügbar sind, und deaktivieren Sie dann die lokale Authentifizierung, sobald alle Benutzer erfolgreich migriert wurden.

Sollte ich MFA auf IdP-Ebene oder direkt in Odoo erzwingen?

Erzwingen Sie MFA auf IdP-Ebene. Dies sorgt für konsistente MFA für alle verbundenen Anwendungen (nicht nur für Odoo), zentralisiert die MFA-Richtlinienverwaltung und ermöglicht erweiterte Funktionen wie bedingte MFA und risikobasierte Authentifizierung. Odoos integriertes TOTP eignet sich nur als eigenständige Bereitstellung ohne IdP.

Wie gehe ich mit dem Zugriff für externe Partner und Anbieter um?

Erstellen Sie in Odoo eine dedizierte „Portal“- oder „Externe Benutzer“-Gruppe mit eingeschränkten Datensatzregeln, die die Sichtbarkeit nur auf die eigenen Daten des Partners beschränken. Verwenden Sie die externen Identitätsfunktionen des IdP (Authentiks „Quellen“ oder Oktas „Kundenidentität“), um die externe Benutzerauthentifizierung getrennt von der Mitarbeiterauthentifizierung zu verwalten. Wenden Sie strengere MFA-Anforderungen und Sitzungs-Timeouts für externe Benutzer an. Führen Sie Sicherheitsbewertungen des Anbieters durch, bevor Sie Zugriff gewähren.

---

Was kommt als nächstes?

Das Identitäts- und Zugriffsmanagement ist der Grundstein einer Zero-Trust-Sicherheitsarchitektur. Beginnen Sie mit der Konsolidierung der Authentifizierung über einen zentralen Identitätsanbieter, erzwingen Sie MFA für alle Benutzer, konfigurieren Sie granulares RBAC in Odoo über die Standardrollen hinaus und implementieren Sie vierteljährliche Zugriffsüberprüfungen. Jeder Schritt verringert das Risiko von Angriffen auf Anmeldedatenbasis erheblich.

ECOSIRE implementiert IAM der Enterprise-Klasse in jeder Odoo ERP-Bereitstellung, einschließlich SSO-Integration mit Authentik, rollenbasiertem Zugriffsdesign und Sicherheitshärtung. Unsere OpenClaw AI-Plattform erweitert identitätsbewusste Sicherheit auf KI-gestützte Anwendungen. Kontaktieren Sie unser Team, um eine sichere Identitätsgrundlage für Ihr Unternehmen aufzubauen.

---

Veröffentlicht von ECOSIRE --- unterstützt Unternehmen bei der Skalierung mit KI-gestützten Lösungen in Odoo ERP, Shopify eCommerce und OpenClaw AI.