Gerenciamento de identidade e acesso: SSO, MFA e acesso baseado em função no Odoo

A identidade é o novo perímetro. Quando seus funcionários acessam o Odoo ERP de escritórios domésticos, filiais e dispositivos móveis, o limite de rede tradicional perde o sentido. O que permanece constante é a identidade: cada solicitação de acesso vem de um usuário específico, em um dispositivo específico, em um horário específico, solicitando acesso a um recurso específico. O gerenciamento eficaz desses sinais de identidade é a base da segurança empresarial moderna.

O Relatório de investigações de violação de dados da Verizon identifica consistentemente ataques relacionados a credenciais como o principal vetor em mais de 60% das violações. Para sistemas ERP Odoo que centralizam dados financeiros, registros de clientes, informações de RH e inteligência da cadeia de suprimentos, uma única credencial comprometida pode expor toda a espinha dorsal operacional do negócio.

Principais conclusões

• O SSO centralizado por meio de um provedor de identidade elimina a dispersão de senhas e fornece um ponto único para aplicação e revogação de acesso
• As chaves de segurança de hardware (WebAuthn/FIDO2) fornecem o MFA mais forte, mas os aplicativos autenticadores TOTP oferecem o melhor equilíbrio entre segurança e usabilidade para a maioria das implantações
• O sistema de controle de acesso baseado em grupo do Odoo suporta RBAC granular quando configurado corretamente com grupos personalizados além das funções padrão de usuário/gerente
• As revisões trimestrais de acesso reduzem o acúmulo excessivo de privilégios e detectam contas órfãs antes que se tornem vetores de ataque

---

Gerenciamento centralizado de identidade

O gerenciamento centralizado de identidades conecta todos os seus aplicativos de negócios a um único provedor de identidade (IdP) que serve como fonte autorizada para autenticação de usuário e, em muitos casos, autorização. Em vez de cada aplicativo manter seu próprio banco de dados de usuários e senha, os usuários se autenticam uma vez por meio do IdP e recebem acesso a todos os aplicativos autorizados.

Opções do provedor de identidade

Para organizações que executam o Odoo ERP, a escolha normalmente se resume a Authentik (controle máximo, sem custos de licenciamento, forte suporte OIDC) ou Okta/Azure AD (serviço gerenciado, amplo mercado de aplicativos, zero sobrecarga operacional).

Protocolos SSO: SAML vs OIDC

SAML 2.0 (Security Assertion Markup Language) é o protocolo SSO corporativo estabelecido. Ele usa asserções baseadas em XML trocadas entre o IdP e o provedor de serviços (SP). SAML é amplamente suportado por aplicativos corporativos e fornece mapeamento avançado de atributos.

OIDC (OpenID Connect) é o protocolo moderno desenvolvido com base no OAuth2. Ele usa tokens baseados em JSON (JWTs) e endpoints RESTful. OIDC é mais simples de implementar, mais adequado para APIs e SPAs e cada vez mais preferido para novas integrações.

Configurando SSO para Odoo

Odoo oferece suporte nativo à autenticação OAuth2/OIDC por meio da configuração do provedor OAuth2. A configuração envolve:

1. Crie um aplicativo OAuth2/OIDC em seu provedor de identidade (Authentik, Okta, etc.) com o URI de redirecionamento apontando para sua instância Odoo (https://your-odoo.com/auth_oauth/signin)
2. Configure o provedor OAuth no Odoo em Configurações > Configurações gerais > Provedores OAuth com o ID do cliente, segredo do cliente, URL de autorização, URL do token e URL de informações do usuário
3. Mapear atributos do usuário --- Certifique-se de que o IdP envie e-mail, nome e quaisquer atributos personalizados necessários para mapeamento de grupo
4. Ative a criação automática de conta se desejar que novos usuários de SSO sejam provisionados automaticamente no Odoo
5. Desative o login direto (opcional, mas recomendado) para forçar toda a autenticação por meio de SSO

Para implantações avançadas, o SCIM (sistema para gerenciamento de identidade entre domínios) pode sincronizar o provisionamento e desprovisionamento de usuários entre o IdP e o Odoo, garantindo que os funcionários demitidos percam o acesso ao Odoo imediatamente quando desabilitados no IdP.

---

Autenticação multifator (MFA)

A MFA adiciona um segundo fator de verificação além da senha, bloqueando 99,9% dos ataques automatizados de credenciais, de acordo com a pesquisa da Microsoft. Para sistemas Odoo que contêm dados financeiros e de RH, a MFA não é opcional – é o controle de segurança de maior impacto disponível.

Comparação de métodos MFA

Estratégia de MFA recomendada

Para administradores e usuários privilegiados: Exija chaves de segurança de hardware WebAuthn/FIDO2 (YubiKey série 5, Google Titan). Eles são resistentes ao phishing porque o desafio criptográfico está vinculado ao domínio de origem – um site de phishing não pode interceptar a autenticação.

Para usuários empresariais padrão: Exige aplicativos autenticadores TOTP (Google Authenticator, Microsoft Authenticator, Authy). Eles fornecem forte proteção contra preenchimento de credenciais e ataques remotos a custo zero por usuário.

Para todos os usuários: Elimine OTP baseado em SMS. Os ataques de troca de SIM custam apenas US$ 100 para serem executados e ignoram completamente a MFA baseada em SMS. Se o SMS precisar ser compatível como substituto, combine-o com a verificação de confiança do dispositivo.

Implementando MFA no Odoo

Odoo 17+ inclui suporte TOTP integrado. Habilite-o em Configurações > Permissões > Autenticação de dois fatores. Para suporte WebAuthn e políticas de MFA mais avançadas (MFA condicional baseada em localização, dispositivo ou risco), implemente MFA no nível do provedor de identidade:

• Authentik --- Configure políticas de MFA por aplicativo. Exija WebAuthn para acesso de administrador, TOTP para acesso padrão. Suporta códigos de recuperação para prevenção de bloqueio de conta.
• Okta --- A MFA adaptativa ajusta os requisitos com base em sinais de risco. Logins de baixo risco podem exigir apenas uma notificação push. Logins de alto risco (novo dispositivo, localização incomum) exigem chave de hardware.
• Azure AD --- As políticas de acesso condicional impõem MFA com base no risco do usuário, risco de entrada, conformidade do dispositivo e sensibilidade do aplicativo.

A vantagem do MFA no nível do IdP é que ele se aplica a todos os aplicativos conectados (Odoo, e-mail, compartilhamento de arquivos etc.) a partir de um único ponto de configuração.

---

Controle de acesso baseado em função no Odoo

Odoo implementa RBAC através de um sistema de controle de acesso baseado em grupo. Cada módulo define grupos de acesso e os usuários são atribuídos a grupos que determinam suas permissões. Compreender e configurar adequadamente este sistema é essencial para impor o acesso com privilégios mínimos.

Arquitetura de controle de acesso Odoo

O controle de acesso do Odoo opera em quatro níveis:

Acesso ao menu. Controla quais itens de menu ficam visíveis para um usuário. Isso é cosmético: oculta itens de menu, mas não impõe acesso no nível dos dados.

Acesso a objetos (ir.model.access). Controla operações CRUD (criar, ler, atualizar, excluir) em modelos de banco de dados inteiros. Definido por grupo, por modelo.

Regras de registro (ir.rule). Controla quais registros em um modelo um usuário pode acessar. Este é o controle de acesso refinado que impõe o isolamento de dados. As regras de registro usam filtros de domínio (por exemplo, [('department_id', '=', user.department_id)]).

Acesso ao campo. Controla o acesso a campos específicos em um modelo. Campos sensíveis (salário, preço de custo, margem) podem ser restritos a grupos específicos.

Projetando grupos de acesso personalizados

As funções padrão de usuário e gerente na maioria dos módulos Odoo são muito amplas para implantações preocupadas com a segurança. Crie grupos personalizados que correspondam à sua estrutura organizacional:

Regras de registro para multilocação

Para implantações Odoo multiempresas, as regras de registro devem impor o isolamento de dados entre empresas:

• Todo modelo com dados confidenciais da empresa deve ter uma regra de registro filtrada por company_id
• O acesso entre empresas deve ser explicitamente concedido apenas aos administradores da holding
• Teste as regras de registro fazendo login como usuários de diferentes empresas e tentando acessar registros entre empresas
• Regras de registro de auditoria trimestralmente para garantir que novos modelos personalizados incluam o isolamento adequado da empresa

Para organizações que usam o Odoo como parte de uma estratégia de segurança de plataforma de negócios mais ampla, o RBAC no Odoo deve estar alinhado com as políticas de controle de acesso aplicadas em todos os sistemas conectados.

---

Revisão e governança de acesso

O controle de acesso não é uma configuração do tipo definir e esquecer. Sem revisão regular, as permissões acumulam-se ao longo do tempo, à medida que os funcionários mudam de função, assumem responsabilidades adicionais e mantêm o acesso de cargos anteriores. Esse "aumento de privilégios" cria acesso excessivo que aumenta o raio de comprometimento de credenciais.

Processo Trimestral de Revisão de Acesso

1. Gere relatórios de acesso listando todos os usuários, seus grupos atribuídos e as datas do último login
2. Identificar anomalias --- Usuários com acesso de administrador que não sejam da equipe de TI, usuários com acesso a módulos não relacionados à sua função, contas que não fizeram login por mais de 90 dias
3. Revisar com os gerentes --- Cada chefe de departamento analisa e confirma as atribuições de acesso para sua equipe
4. Revogar privilégios excessivos --- Remover atribuições de grupo que não são mais necessárias
5. Desativar contas inativas --- Desativar contas sem atividade de login por mais de 90 dias
6. Documentar decisões --- Registrar a data da revisão, o revisor e quaisquer alterações feitas nas evidências de auditoria

Governança de acesso automatizada

Para implantações maiores, automatize a governança de acesso usando:

• Provisionamento SCIM para criar e atualizar automaticamente contas de usuário Odoo quando funcionários são contratados, mudam de função ou são demitidos no sistema de RH
• Mapeamento de grupos de grupos IdP para grupos Odoo, para que as alterações de função no provedor de identidade ajustem automaticamente as permissões do Odoo
• Acessar campanhas de certificação acionadas por agendamento (trimestralmente) ou por eventos (mudança de função, transferência de departamento)
• Detecção de conta órfã alertando quando existem contas no Odoo, mas não no IdP (indicando criação manual que contornou a governança)

Gerenciamento de acesso privilegiado

Contas administrativas no Odoo (grupo Configurações, grupo Recursos técnicos, gerenciador de banco de dados) exigem controles adicionais:

• Contas de administrador separadas --- Os administradores usam sua conta padrão para o trabalho diário e uma conta privilegiada separada para tarefas administrativas
• Acesso just-in-time (JIT) --- O acesso administrativo é concedido mediante solicitação, por um período específico, com fluxo de trabalho de aprovação
• Gravação de sessão --- As sessões administrativas são registradas e registradas para fins de auditoria
• Procedimentos de segurança --- Procedimentos de acesso de emergência para situações em que o fluxo de trabalho normal de acesso privilegiado não está disponível

---

Fortalecimento de segurança IAM específico para Odoo

Além do RBAC e SSO padrão, as implantações do Odoo se beneficiam do fortalecimento específico da plataforma:

Acesso XML-RPC e JSON-RPC

Odoo expõe APIs XML-RPC e JSON-RPC para integrações externas. Essas APIs ignoram a autenticação da IU da web e devem ser protegidas separadamente:

• Restringir o acesso à API por IP usando regras de firewall ou configuração de proxy reverso
• Use chaves de API em vez de credenciais de usuário para autenticação de integração
• Endpoints de API com limite de taxa para evitar preenchimento de credenciais e ataques de força bruta
• Monitore falhas de autenticação de API e alerte sobre padrões anômalos
• Desativar protocolos API não utilizados --- Se você usar apenas JSON-RPC, desative XML-RPC

Segurança do Gerenciador de Banco de Dados

O gerenciador de banco de dados do Odoo (/web/database/manager) permite criar, duplicar, excluir e restaurar bancos de dados. Em produção:

• Defina uma senha forte para o gerenciador de banco de dados (ou desative-a totalmente com --no-database-list)
• Restringir o acesso ao URL do gerenciador de banco de dados por meio de regras de proxy reverso
• Use o sinalizador --database para especificar o banco de dados exato, evitando a enumeração do banco de dados

Segurança da Sessão

• Configure session_timeout para expirar automaticamente sessões inativas (recomendado: 30 a 60 minutos para usuários padrão, 15 minutos para usuários privilegiados)
• Ativar sinalizadores secure e httpOnly em cookies de sessão
• Implementar limites de sessões simultâneas para evitar o compartilhamento de credenciais e detectar comprometimento

---

Perguntas frequentes

Posso usar o SSO com o Odoo Community Edition?

Odoo Community Edition oferece suporte à autenticação OAuth2 por meio do módulo auth_oauth, que permite SSO básico com provedores como Google e GitHub. Para SSO de nível empresarial com SAML, provisionamento SCIM e mapeamento avançado de atributos, o Odoo Enterprise Edition oferece módulos adicionais. Como alternativa, você pode obter funcionalidade semelhante no Community Edition usando autenticação de proxy reverso por meio do Authentik ou Keycloak, onde o proxy lida com o SSO e passa a identidade autenticada para o Odoo por meio de cabeçalhos.

O que acontece se o provedor de identidade cair?

Se o IdP não estiver disponível, os usuários não poderão se autenticar por meio de SSO. É por isso que os procedimentos de quebra de vidro são críticos. Mantenha pelo menos uma conta administrativa local no Odoo com uma senha forte e exclusiva armazenada em um cofre físico ou módulo de segurança de hardware. Esta conta ignora o SSO e permite que os administradores acessem o sistema durante interrupções do IdP. Para implantações de alta disponibilidade, configure o clustering de IdP ou um IdP secundário com failover automático.

Como faço para migrar usuários existentes do Odoo para SSO?

O processo de migração envolve a correspondência de contas de usuário Odoo existentes com identidades IdP, normalmente por endereço de e-mail. Crie usuários no IdP, configure o SSO no Odoo e atualize os registros de usuários existentes para vincular ao seu provedor OAuth. Os usuários serão autenticados por meio de SSO no próximo login. Planeje um período de transição em que a autenticação local e SSO estejam disponíveis e, em seguida, desative a autenticação local quando todos os usuários tiverem migrado com êxito.

Devo aplicar a MFA no nível do IdP ou diretamente no Odoo?

Aplicar MFA no nível do IdP. Isso fornece MFA consistente em todos os aplicativos conectados (não apenas no Odoo), centraliza o gerenciamento de políticas de MFA e permite recursos avançados como MFA condicional e autenticação baseada em risco. O TOTP integrado do Odoo é adequado apenas como uma implantação autônoma sem um IdP.

Como lidar com o acesso de parceiros e fornecedores externos?

Crie um grupo dedicado de “Portal” ou “Usuário Externo” no Odoo com regras de registro restritas que limitam a visibilidade apenas aos dados do próprio parceiro. Use os recursos de identidade externa do IdP (“Fontes” do Authentik ou “Identidade do Cliente” do Okta) para gerenciar a autenticação externa do usuário separadamente da autenticação do funcionário. Aplique requisitos de MFA e tempos limite de sessão mais rígidos para usuários externos. Realize avaliações de segurança do fornecedor antes de conceder qualquer acesso.

---

O que vem a seguir

O gerenciamento de identidade e acesso é a base de uma arquitetura de segurança de confiança zero. Comece consolidando a autenticação por meio de um provedor de identidade centralizado, aplique MFA para todos os usuários, configure RBAC granular no Odoo além das funções padrão e implemente revisões de acesso trimestrais. Cada etapa reduz materialmente o risco de ataques baseados em credenciais.

ECOSIRE implementa IAM de nível empresarial em cada implantação de ERP Odoo, incluindo integração SSO com Authentik, design de acesso baseado em função e reforço de segurança. Nossa plataforma OpenClaw AI estende a segurança com reconhecimento de identidade a aplicativos com tecnologia de IA. Entre em contato com nossa equipe para construir uma base de identidade segura para sua empresa.

---

Publicado por ECOSIRE --- ajudando empresas a escalar com soluções baseadas em IA em Odoo ERP, Shopify eCommerce e OpenClaw AI.