Kimlik ve Erişim Yönetimi: Odoo'da SSO, MFA ve Rol Tabanlı Erişim

Kimlik yeni çevredir. Çalışanlarınız Odoo ERP'ye ev ofislerinden, şubelerden ve mobil cihazlardan eriştiğinde geleneksel ağ sınırları anlamsız hale gelir. Sabit kalan şey kimliktir: Her erişim isteği belirli bir kullanıcıdan, belirli bir cihazdan, belirli bir zamanda gelir ve belirli bir kaynağa erişim isteğinde bulunur. Bu kimlik sinyallerinin etkili bir şekilde yönetilmesi, modern kurumsal güvenliğin temelidir.

Verizon'un Veri İhlali Araştırma Raporu, kimlik bilgileriyle ilgili saldırıları sürekli olarak ihlallerin %60'ından fazlasında birincil vektör olarak tanımlıyor. Finansal verileri, müşteri kayıtlarını, İK bilgilerini ve tedarik zinciri istihbaratını merkezileştiren Odoo ERP sistemleri için, ele geçirilen tek bir kimlik bilgisi işletmenin tüm operasyonel omurgasını ortaya çıkarabilir.

Önemli Çıkarımlar

• Bir kimlik sağlayıcı aracılığıyla merkezi SSO, parola dağınıklığını ortadan kaldırır ve erişimin uygulanması ve iptali için tek bir nokta sağlar
• Donanım güvenlik anahtarları (WebAuthn/FIDO2) en güçlü MFA'yı sağlar, ancak TOTP kimlik doğrulama uygulamaları çoğu dağıtım için en iyi güvenlik ve kullanılabilirlik dengesini sunar
• Odoo'nun grup tabanlı erişim kontrol sistemi, varsayılan Kullanıcı/Yönetici rollerinin ötesinde özel gruplarla uygun şekilde yapılandırıldığında ayrıntılı RBAC'yi destekler
• Üç ayda bir yapılan erişim incelemeleri, aşırı ayrıcalık birikimini azaltır ve artık hesapları saldırı vektörleri haline gelmeden önce yakalar

---

Merkezi Kimlik Yönetimi

Merkezi kimlik yönetimi, tüm iş uygulamalarınızı kullanıcı kimlik doğrulaması ve çoğu durumda yetkilendirme için yetkili kaynak olarak hizmet veren tek bir kimlik sağlayıcısına (IdP) bağlar. Her uygulamanın kendi kullanıcı veri tabanını ve parolasını koruması yerine, kullanıcılar IdP aracılığıyla bir kez kimlik doğrulaması yapar ve tüm yetkili uygulamalara erişim elde eder.

Kimlik Sağlayıcı Seçenekleri

Odoo ERP çalıştıran kuruluşlar için seçim genellikle Authentik'e (maksimum kontrol, lisans maliyeti yok, güçlü OIDC desteği) veya Okta/Azure AD'ye (yönetilen hizmet, kapsamlı uygulama pazarı, sıfır operasyonel yük) yöneliktir.

SSO Protokolleri: SAML ve OIDC karşılaştırması

SAML 2.0 (Güvenlik Onayı Biçimlendirme Dili) yerleşik kurumsal SSO protokolüdür. IdP ile servis sağlayıcı (SP) arasında değiş tokuş edilen XML tabanlı iddiaları kullanır. SAML, kurumsal uygulamalar tarafından geniş çapta desteklenir ve zengin öznitelik eşlemesi sağlar.

OIDC (OpenID Connect), OAuth2'nin üzerine kurulmuş modern bir protokoldür. JSON tabanlı belirteçleri (JWT'ler) ve RESTful uç noktalarını kullanır. OIDC'nin uygulanması daha basit, API'ler ve SPA'lar için daha uygun ve yeni entegrasyonlar için giderek daha fazla tercih ediliyor.

Odoo için SSO'yu Yapılandırma

Odoo, OAuth2 sağlayıcı yapılandırması aracılığıyla OAuth2/OIDC kimlik doğrulamasını yerel olarak destekler. Kurulum şunları içerir:

1. Yönlendirme URI'si Odoo örneğinize (https://your-odoo.com/auth_oauth/signin) işaret edecek şekilde kimlik sağlayıcınızda (Authentik, Okta vb.) bir OAuth2/OIDC uygulaması oluşturun
2. Odoo'da OAuth sağlayıcısını Ayarlar > Genel Ayarlar > OAuth Sağlayıcıları altında istemci kimliği, istemci sırrı, yetkilendirme URL'si, belirteç URL'si ve kullanıcı bilgisi URL'si ile yapılandırın
3. Kullanıcı özelliklerini eşleyin --- IdP'nin e-postayı, adı ve grup eşleme için gereken tüm özel özellikleri gönderdiğinden emin olun
4. Yeni SSO kullanıcılarının temel hazırlığının Odoo'da otomatik olarak yapılmasını istiyorsanız otomatik hesap oluşturmayı etkinleştirin
5. Tüm kimlik doğrulamasını SSO aracılığıyla zorunlu kılmak için doğrudan oturum açmayı devre dışı bırakın (isteğe bağlı ancak önerilir)

Gelişmiş dağıtımlar için SCIM (Etki Alanları Arası Kimlik Yönetimi Sistemi), IdP ile Odoo arasında kullanıcı yetkilendirmesini ve yetkilendirmeyi kaldırmayı senkronize edebilir, böylece işine son verilen çalışanların IdP'de devre dışı bırakıldığında Odoo erişimini hemen kaybetmesini sağlar.

---

Çok Faktörlü Kimlik Doğrulama (MFA)

MFA, parolanın ötesine ikinci bir doğrulama faktörü ekleyerek Microsoft'un araştırmasına göre otomatik kimlik bilgisi saldırılarının %99,9'unu engelliyor. Mali ve İK verilerini içeren Odoo sistemleri için MFA isteğe bağlı değildir; mevcut en yüksek etkili güvenlik kontrolüdür.

MFA Yöntem Karşılaştırması

Önerilen MFA Stratejisi

Yöneticiler ve ayrıcalıklı kullanıcılar için: WebAuthn/FIDO2 donanım güvenlik anahtarlarını (YubiKey 5 serisi, Google Titan) zorunlu kılın. Bunlar kimlik avına karşı dayanıklıdır çünkü şifreleme sorunu kaynak etki alanına bağlıdır; kimlik avı sitesi kimlik doğrulamayı engelleyemez.

Standart iş kullanıcıları için: TOTP kimlik doğrulama uygulamalarını (Google Authenticator, Microsoft Authenticator, Authy) zorunlu kılın. Bunlar, kullanıcı başına sıfır maliyetle kimlik bilgisi doldurmaya ve uzaktan saldırılara karşı güçlü koruma sağlar.

Tüm kullanıcılar için: SMS tabanlı OTP'yi ortadan kaldırın. SIM değiştirme saldırılarının yürütülmesi ve SMS tabanlı MFA'nın tamamen atlanması 100 ABD doları kadar düşük bir maliyete sahiptir. SMS'in yedek olarak desteklenmesi gerekiyorsa bunu cihaz güven doğrulamasıyla birleştirin.

Odoo'da MFA'nın uygulanması

Odoo 17+ yerleşik TOTP desteği içerir. Ayarlar > İzinler > İki Faktörlü Kimlik Doğrulama altında etkinleştirin. WebAuthn desteği ve daha gelişmiş MFA politikaları (konum, cihaz veya riske dayalı koşullu MFA) için MFA'yı kimlik sağlayıcı düzeyinde uygulayın:

• Authentik --- Uygulama başına MFA politikalarını yapılandırın. Yönetici erişimi için WebAuthn'u, standart erişim için TOTP'yi zorunlu kılın. Hesap kilitlenmesini önlemek için kurtarma kodlarını destekleyin.
• Okta --- Uyarlanabilir MFA, gereksinimleri risk sinyallerine göre ayarlar. Düşük riskli oturum açma işlemleri yalnızca anlık bildirim gerektirebilir. Yüksek riskli oturum açma işlemleri (yeni cihaz, alışılmadık konum) donanım anahtarı gerektirir.
• Azure AD --- Koşullu Erişim ilkeleri, kullanıcı riskine, oturum açma riskine, cihaz uyumluluğuna ve uygulama duyarlılığına göre MFA'yı zorunlu kılar.

IdP düzeyinde MFA'nın avantajı, tek bir yapılandırma noktasından bağlı tüm uygulamalara (Odoo, e-posta, dosya paylaşımı vb.) uygulanmasıdır.

---

Odoo'da Rol Tabanlı Erişim Kontrolü

Odoo, RBAC'yi grup tabanlı bir erişim kontrol sistemi aracılığıyla uygular. Her modül erişim gruplarını tanımlar ve kullanıcılar, izinlerini belirleyen gruplara atanır. Bu sistemi anlamak ve doğru şekilde yapılandırmak, en az ayrıcalıklı erişimi uygulamak için çok önemlidir.

Odoo Erişim Kontrol Mimarisi

Odoo'nun erişim kontrolü dört düzeyde çalışır:

Menü erişimi. Kullanıcının hangi menü öğelerini görebileceğini kontrol eder. Bu kozmetik bir durumdur; menü öğelerini gizler ancak veri düzeyinde erişimi zorunlu kılmaz.

Nesne erişimi (ir.model.access). Tüm veritabanı modellerinde CRUD işlemlerini (oluşturma, okuma, güncelleme, silme) kontrol eder. Grup başına, model başına tanımlanır.

Kayıt kuralları (ir.rule). Kullanıcının bir model içinde hangi kayıtlara erişebileceğini kontrol eder. Bu, veri izolasyonunu zorlayan ayrıntılı erişim kontrolüdür. Kayıt kuralları etki alanı filtrelerini kullanır (ör. [('department_id', '=', user.department_id)]).

Alan erişimi. Bir model içindeki belirli alanlara erişimi kontrol eder. Hassas alanlar (maaş, maliyet fiyatı, marj) belirli gruplarla sınırlandırılabilir.

Özel Erişim Grupları Tasarlama

Çoğu Odoo modülündeki varsayılan Kullanıcı ve Yönetici rolleri, güvenlik bilincine sahip dağıtımlar için fazla geniştir. Organizasyon yapınıza uygun özel gruplar tasarlayın:

Çoklu Kiracılığa İlişkin Kayıt Kuralları

Çok şirketli Odoo dağıtımları için kayıt kuralları, şirketler arasında veri izolasyonunu zorunlu kılmalıdır:

• Şirkete özel verilere sahip her model, company_id ile filtrelenen bir kayıt kuralına sahip olmalıdır
• Şirketler arası erişim yalnızca holding şirket yöneticilerine açık bir şekilde verilmelidir
• Farklı şirketlerden kullanıcılar olarak oturum açarak ve şirketler arası kayıtlara erişmeyi deneyerek kayıt kurallarını test edin
• Yeni özel modellerin uygun şirket izolasyonunu içerdiğinden emin olmak için kayıt kurallarını üç ayda bir denetleyin

Odoo'yu daha geniş bir iş platformu güvenlik stratejisinin parçası olarak kullanan kuruluşlar için, Odoo'daki RBAC, tüm bağlı sistemlerde uygulanan erişim kontrolü politikalarıyla uyumlu olmalıdır.

---

İnceleme ve Yönetişime Erişim

Erişim kontrolü bir kur ve unut konfigürasyonu değildir. Düzenli inceleme olmadığında, çalışanlar rol değiştirdikçe, ek sorumluluklar üstlendikçe ve önceki pozisyonlardan erişim elde etmeye devam ettikçe izinler zaman içinde birikir. Bu "ayrıcalık kayması", kimlik bilgilerinin tehlikeye atılmasının etki alanını artıran aşırı erişim yaratır.

Üç Aylık Erişim İnceleme Süreci

1. **Tüm kullanıcıları, onlara atanan grupları ve son oturum açma tarihlerini listeleyen erişim raporları oluşturun
2. Anormallikleri tespit edin --- BT personeli olmayan, yönetici erişimine sahip kullanıcılar, rolleriyle ilgisi olmayan modüllere erişimi olan kullanıcılar, 90'dan fazla gün boyunca oturum açmamış hesaplar
3. Yöneticilerle inceleme --- Her departman başkanı, ekibinin erişim atamalarını inceler ve onaylar
4. Fazla ayrıcalıkları iptal edin --- Artık gerekmeyen grup atamalarını kaldırın
5. Hareketsiz hesapları devre dışı bırakın --- Giriş etkinliği olmayan hesapları 90'dan fazla gün boyunca devre dışı bırakın
6. Kararları belgeleyin --- İnceleme tarihini, inceleyeni ve denetim kanıtı için yapılan değişiklikleri kaydedin

Otomatik Erişim Yönetişimi

Daha büyük dağıtımlar için aşağıdakileri kullanarak erişim yönetimini otomatikleştirin:

• SCIM provizyonu, çalışanlar işe alındığında, rol değiştirdiğinde veya İK sisteminde işten çıkarıldığında Odoo kullanıcı hesaplarını otomatik olarak oluşturmak ve güncellemek için
• IdP gruplarından Odoo gruplarına grup eşlemesi sayesinde kimlik sağlayıcıdaki rol değişiklikleri Odoo izinlerini otomatik olarak ayarlar
• **Bir programa göre (üç ayda bir) veya etkinliklerle (rol değişikliği, departman transferi) tetiklenen sertifika kampanyalarına erişim
• Artık hesap tespiti, hesaplar Odoo'da mevcut ancak IdP'de bulunmadığında uyarı verir (yönetişimi atlayan manuel oluşturmayı belirtir)

Ayrıcalıklı Erişim Yönetimi

Odoo'daki yönetici hesapları (Ayarlar grubu, Teknik özellikler grubu, veritabanı yöneticisi) ek kontroller gerektirir:

• Ayrı yönetici hesapları --- Yöneticiler günlük işler için standart hesaplarını, yönetim görevleri için ise ayrı bir ayrıcalıklı hesap kullanırlar
• Tam zamanında (JIT) erişim --- Onay iş akışıyla birlikte, istek üzerine belirli bir süre için yönetim erişimi verilir
• Oturum kaydı --- Yönetim oturumları denetim amacıyla günlüğe kaydedilir ve kaydedilir
• Son dakika prosedürleri --- Normal ayrıcalıklı erişim iş akışının kullanılamadığı durumlar için acil durum erişim prosedürleri

---

Odoo'ya Özel IAM Güvenlik Güçlendirmesi

Odoo dağıtımları, standart RBAC ve SSO'nun ötesinde, platforma özel güçlendirmeden yararlanır:

XML-RPC ve JSON-RPC Erişimi

Odoo, harici entegrasyonlar için XML-RPC ve JSON-RPC API'lerini kullanıma sunuyor. Bu API'ler web kullanıcı arayüzü kimlik doğrulamasını atlar ve ayrıca güvenlik altına alınmaları gerekir:

• Güvenlik duvarı kurallarını veya ters proxy yapılandırmasını kullanarak API erişimini IP'ye göre kısıtlayın
• Entegrasyon kimlik doğrulaması için kullanıcı kimlik bilgileri yerine API anahtarlarını kullanın
• Kimlik bilgisi doldurmayı ve kaba kuvvet saldırılarını önlemek için API uç noktalarını oran sınırı
• API kimlik doğrulama hatalarını izleyin ve anormal kalıplar konusunda uyarı verin
• Kullanılmayan API protokollerini devre dışı bırakın --- Yalnızca JSON-RPC kullanıyorsanız XML-RPC'yi devre dışı bırakın

Veritabanı Yöneticisi Güvenliği

Odoo'nun veritabanı yöneticisi (/web/database/manager), veritabanlarının oluşturulmasına, çoğaltılmasına, silinmesine ve geri yüklenmesine olanak tanır. Üretimde:

• Güçlü bir veritabanı yöneticisi parolası belirleyin (veya --no-database-list ile parolayı tamamen devre dışı bırakın)
• **Ters proxy kuralları aracılığıyla veritabanı yöneticisi URL'sine erişimi kısıtlayın
• Tam veritabanını belirtmek için --database bayrağını kullanın, böylece veritabanı numaralandırması engellenir

Oturum Güvenliği

• Boş oturumların otomatik olarak sona ermesi için session_timeout öğesini yapılandırın (önerilen: standart kullanıcılar için 30-60 dakika, ayrıcalıklı kullanıcılar için 15 dakika)
• Oturum çerezlerinde secure ve httpOnly işaretlerini etkinleştirin
• **Kimlik bilgisi paylaşımını önlemek ve güvenliğin ihlal edildiğini tespit etmek için eşzamanlı oturum sınırlarını uygulayın

---

Sıkça Sorulan Sorular

Odoo Community Edition ile SSO'yu kullanabilir miyim?

Odoo Community Edition, Google ve GitHub gibi sağlayıcılarla temel SSO'yu etkinleştiren auth_oauth modülü aracılığıyla OAuth2 kimlik doğrulamasını destekler. SAML, SCIM sağlama ve gelişmiş öznitelik eşleme ile kurumsal düzeyde SSO için Odoo Enterprise Edition ek modüller sağlar. Alternatif olarak, proxy'nin SSO'yu yönettiği ve kimliği doğrulanmış kimliği başlıklar aracılığıyla Odoo'ya aktardığı Authentik veya Keycloak aracılığıyla ters proxy kimlik doğrulamasını kullanarak Community Edition'da benzer işlevselliğe ulaşabilirsiniz.

Kimlik sağlayıcı çökerse ne olur?

IdP kullanılamıyorsa kullanıcılar SSO aracılığıyla kimlik doğrulaması yapamaz. Bu nedenle cam kırma prosedürleri kritik öneme sahiptir. Odoo'da, fiziksel kasa veya donanım güvenlik modülünde saklanan güçlü, benzersiz bir parolayla en az bir yerel yönetici hesabı bulundurun. Bu hesap SSO'yu atlar ve yöneticilerin IdP kesintileri sırasında sisteme erişmesine olanak tanır. Yüksek kullanılabilirliğe sahip dağıtımlar için, IdP kümelemesini veya otomatik yük devretme özelliğine sahip ikincil bir IdP'yi yapılandırın.

Mevcut Odoo kullanıcılarını SSO'ya nasıl taşıyabilirim?

Geçiş süreci, mevcut Odoo kullanıcı hesaplarının, genellikle e-posta adresine göre IdP kimlikleriyle eşleştirilmesini içerir. IdP'de kullanıcılar oluşturun, Odoo'da SSO'yu yapılandırın ve mevcut kullanıcı kayıtlarını OAuth sağlayıcılarına bağlanacak şekilde güncelleyin. Kullanıcılar bir sonraki girişlerinde SSO aracılığıyla kimlik doğrulaması yapacaklardır. Hem yerel hem de SSO kimlik doğrulamasının mevcut olduğu bir geçiş dönemi planlayın, ardından tüm kullanıcılar başarıyla geçiş yaptıktan sonra yerel kimlik doğrulamayı devre dışı bırakın.

MFA'yı IdP düzeyinde mi yoksa doğrudan Odoo'da mı uygulamalıyım?

MFA'yı IdP düzeyinde zorunlu kılın. Bu, tüm bağlı uygulamalarda (yalnızca Odoo'da değil) tutarlı MFA sağlar, MFA politika yönetimini merkezileştirir ve koşullu MFA ve risk tabanlı kimlik doğrulama gibi gelişmiş özellikleri etkinleştirir. Odoo'nun yerleşik TOTP'si yalnızca IdP olmadan bağımsız bir dağıtım olarak uygundur.

Harici ortakların ve satıcıların erişimini nasıl yönetirim?

Odoo'da, görünürlüğü yalnızca ortağın kendi verileriyle sınırlayan kısıtlı kayıt kurallarına sahip özel bir "Portal" veya "Harici Kullanıcı" grubu oluşturun. Harici kullanıcı kimlik doğrulamasını çalışan kimlik doğrulamasından ayrı olarak yönetmek için IdP'nin harici kimlik özelliklerini (Authentik'in "Kaynaklar"ı veya Okta'nın "Müşteri Kimliği") kullanın. Harici kullanıcılar için daha sıkı MFA gereksinimleri ve oturum zaman aşımları uygulayın. Herhangi bir erişim izni vermeden önce satıcı güvenlik değerlendirmeleri gerçekleştirin.

---

Sırada Ne Var

Kimlik ve erişim yönetimi, sıfır güven güvenlik mimarisinin temel taşıdır. Kimlik doğrulamayı merkezi bir kimlik sağlayıcı aracılığıyla birleştirerek başlayın, tüm kullanıcılar için MFA'yı zorunlu kılın, Odoo'da varsayılan rollerin ötesinde ayrıntılı RBAC'yi yapılandırın ve üç ayda bir erişim incelemeleri uygulayın. Her adım, kimlik bilgilerine dayalı saldırı riskinizi önemli ölçüde azaltır.

ECOSIRE, Authentik ile SSO entegrasyonu, rol tabanlı erişim tasarımı ve güvenliğin güçlendirilmesi de dahil olmak üzere her Odoo ERP dağıtımında kurumsal düzeyde IAM uygular. OpenClaw AI platformumuz, kimliğe duyarlı güvenliği yapay zeka destekli uygulamalara kadar genişletiyor. İşletmeniz için güvenli bir kimlik temeli oluşturmak için ekibimizle iletişime geçin.

---

ECOSIRE tarafından yayınlandı --- işletmelerin Odoo ERP, Shopify eCommerce ve OpenClaw AI genelinde yapay zeka destekli çözümlerle ölçeklenmesine yardımcı oluyor.