身份和访问管理：Odoo 中的 SSO、MFA 和基于角色的访问

身份是新的边界。当您的员工从家庭办公室、分支机构和移动设备访问 Odoo ERP 时，传统的网络边界变得毫无意义。保持不变的是身份：每个访问请求都来自特定用户，在特定时间，在特定设备上，请求访问特定资源。有效管理这些身份信号是现代企业安全的基础。

Verizon 的数据泄露调查报告始终将与凭证相关的攻击视为超过 60% 的泄露事件的主要媒介。对于集中财务数据、客户记录、人力资源信息和供应链情报的 Odoo ERP 系统来说，单个泄露的凭证可能会暴露企业的整个运营支柱。

要点

• 通过身份提供商的集中式 SSO 消除了密码蔓延，并提供了单点访问强制和撤销
• 硬件安全密钥 (WebAuthn/FIDO2) 提供最强大的 MFA，但 TOTP 身份验证器应用程序为大多数部署提供安全性和可用性的最佳平衡
• 当正确配置超出默认用户/管理员角色的自定义组时，Odoo 基于组的访问控制系统支持细粒度 RBAC
• 每季度的访问审查可减少过多的特权积累，并在孤立帐户成为攻击媒介之前将其捕获

---

集中身份管理

集中式身份管理将您的所有业务应用程序连接到单个身份提供商 (IdP)，该身份提供商充当用户身份验证以及在许多情况下授权的权威来源。用户不再需要每个应用程序维护自己的用户数据库和密码，而是通过 IdP 进行一次身份验证，并获得对所有授权应用程序的访问权限。

身份提供商选项

|供应商|类型 |最适合 | SSO 协议 | MFA 选项 |定价| |----------|------|----------|-------------|------------||------| | 正品 |开源、自托管 |完全控制、注重隐私的组织 | SAML、OIDC、LDAP、SCIM | TOTP、WebAuthn、短信、Duo |免费（自托管）| | 钥匙斗篷 |开源、自托管 | Java/企业生态系统 | SAML、OIDC、LDAP | TOTP、WebAuthn |免费（自托管）| | 奥克塔 |云SaaS |大型企业，广泛​​的应用程序目录 | SAML、OIDC、SCIM | TOTP、推送、WebAuthn、短信 | $6-15/用户/月 | | Azure AD (Entra ID) |云SaaS | Microsoft 密集型环境 | SAML、OIDC、WS-Fed |身份验证器、FIDO2、短信 | M365 附带 | | Google Workspace |云SaaS | Google 密集的环境 | SAML、OIDC |身份验证器、泰坦钥匙 |包含在工作区 | | 跳云 |云SaaS |中小企业，设备管理| SAML、OIDC、LDAP、RADIUS | TOTP、推送、WebAuthn | $7-24/用户/月 |

对于运行 Odoo ERP 的组织，选择通常归结为 Authentik（最大程度的控制、无许可成本、强大的 OIDC 支持）或 Okta/Azure AD（托管服务、广泛的应用程序市场、零运营开销）。

SSO 协议：SAML 与 OIDC

SAML 2.0（安全断言标记语言） 是已建立的企业 SSO 协议。它使用 IdP 和服务提供商 (SP) 之间交换的基于 XML 的断言。 SAML受到企业应用的广泛支持，并提供丰富的属性映射。

OIDC (OpenID Connect) 是构建在 OAuth2 之上的现代协议。它使用基于 JSON 的令牌 (JWT) 和 RESTful 端点。 OIDC 更易于实施，更适合 API 和 SPA，并且越来越受到新集成的青睐。

为 Odoo 配置 SSO

Odoo 通过其 OAuth2 提供程序配置原生支持 OAuth2/OIDC 身份验证。设置涉及：

1. 在您的身份提供商（Authentik、Okta 等）中创建 OAuth2/OIDC 应用程序，并将重定向 URI 指向您的 Odoo 实例 (https://your-odoo.com/auth_oauth/signin)
2. 在 Odoo 中配置 OAuth 提供程序，在设置 > 常规设置 > OAuth 提供程序下使用客户端 ID、客户端密码、授权 URL、令牌 URL 和用户信息 URL
3. 映射用户属性 --- 确保 IdP 发送电子邮件、姓名以及组映射所需的任何自定义属性
4. 如果您希望在 Odoo 中自动配置新的 SSO 用户，请启用自动帐户创建
5. 禁用直接登录（可选但推荐）以强制通过 SSO 进行所有身份验证

对于高级部署，SCIM（跨域身份管理系统）可以在 IdP 和 Odoo 之间同步用户配置和取消配置，确保被解雇的员工在 IdP 中禁用时立即失去 Odoo 访问权限。

---

多重身份验证 (MFA)

根据 Microsoft 的研究，MFA 在密码之外添加了第二个验证因素，可阻止 99.9% 的自动凭据攻击。对于包含财务和人力资源数据的 Odoo 系统，MFA 不是可选的——它是可用的影响最大的单一安全控制。

MFA 方法比较

推荐的 MFA 策略

对于管理员和特权用户： 需要 WebAuthn/FIDO2 硬件安全密钥（YubiKey 5 系列、Google Titan）。这些都是防网络钓鱼的，因为加密质询与原始域绑定在一起——网络钓鱼站点无法拦截身份验证。

对于标准企业用户： 需要 TOTP 身份验证器应用程序（Google Authenticator、Microsoft Authenticator、Authy）。这些以每个用户零成本提供针对撞库和远程攻击的强大保护。

对于所有用户： 消除基于短信的 OTP。 SIM 交换攻击的执行成本低至 100 美元，并且完全绕过基于 SMS 的 MFA。如果必须支持 SMS 作为后备，请将其与设备信任验证结合起来。

在 Odoo 中实施 MFA

Odoo 17+ 包含内置 TOTP 支持。在“设置”>“权限”>“双因素身份验证”下启用它。对于 WebAuthn 支持和更高级的 MFA 策略（基于位置、设备或风险的条件 MFA），请在身份提供商级别实施 MFA：

• Authentik --- 配置每个应用程序的 MFA 策略。需要 WebAuthn 进行管理访问，TOTP 进行标准访问。支持恢复代码以防止帐户锁定。
• Okta --- 自适应 MFA 根据风险信号调整要求。低风险登录可能只需要推送通知。高风险登录（新设备、异常位置）需要硬件密钥。
• Azure AD --- 条件访问策略根据用户风险、登录风险、设备合规性和应用程序敏感性强制执行 MFA。

IdP 级 MFA 的优势在于，它从单个配置点适用于所有连接的应用程序（Odoo、电子邮件、文件共享等）。

---

Odoo 中基于角色的访问控制

Odoo 通过基于组的访问控制系统实施 RBAC。每个模块都定义访问组，并且将用户分配到确定其权限的组。了解并正确配置该系统对于实施最低权限访问至关重要。

Odoo 访问控制架构

Odoo 的访问控制分为四个级别：

菜单访问。 控制哪些菜单项对用户可见。这是装饰性的——它隐藏了菜单项，但不强制执行数据级别的访问。

对象访问 (ir.model.access)。 控制整个数据库模型上的 CRUD 操作（创建、读取、更新、删除）。按组、按模型定义。

记录规则 (ir.rule)。 控制用户可以访问模型中的哪些记录。这是强制数据隔离的细粒度访问控制。记录规则使用域过滤器（例如 [('department_id', '=', user.department_id)]）。

字段访问。 控制对模型中特定字段的访问。敏感字段（工资、成本价、利润）可以仅限于特定群体。

设计自定义访问组

大多数 Odoo 模块中的默认用户和管理员角色对于安全意识部署来说过于广泛。设计与您的组织结构相匹配的自定义组：

多租户记录规则

对于多公司 Odoo 部署，记录规则必须强制公司之间的数据隔离：

• 每个包含公司敏感数据的模型都必须具有按 company_id 过滤的记录规则
• 跨公司访问应仅明确授予控股公司管理员
• 通过以不同公司的用户身份登录并尝试访问跨公司记录来测试记录规则
• 每季度审核记录规则，以确保新的定制模型包括适当的公司隔离

对于使用 Odoo 作为更广泛的业务平台安全策略 一部分的组织，Odoo 中的 RBAC 应与在所有连接系统中实施的访问控制策略保持一致。

---

访问审查和治理

访问控制不是一劳永逸的配置。如果没有定期审查，随着员工角色的变化、承担额外的职责并保留以前职位的访问权限，权限会随着时间的推移而积累。这种“特权蔓延”会造成过多的访问，从而增加了凭证泄露的影响范围。

季度访问审核流程

1. 生成访问报告 列出所有用户、其分配的组以及上次登录日期
2. 识别异常 --- 非 IT 人员且具有管理员权限的用户、有权访问与其角色无关的模块的用户、90 天以上未登录的帐户
3. 与经理一起审核 --- 每个部门负责人审核并确认其团队的访问分配
4. 撤销多余的权限 --- 删除不再需要的组分配
5. 禁用休眠帐户 --- 停用超过 90 天没有登录活动的帐户
6. 记录决定 --- 记录审核日期、审核者以及对审核证据所做的任何更改

自动访问治理

对于大型部署，可使用以下方法自动执行访问治理：

• SCIM 配置，当员工被聘用、变更角色或在 HR 系统中终止时自动创建和更新 Odoo 用户帐户
• 从 IdP 组到 Odoo 组的组映射，因此身份提供商中的角色更改会自动调整 Odoo 权限
• 访问认证活动 按计划（每季度）或通过事件（角色变更、部门调动）触发
• 孤立帐户检测 当 Odoo 中存在帐户但 IdP 中不存在帐户时发出警报（表明手动创建绕过了治理）

特权访问管理

Odoo 中的管理帐户（设置组、技术功能组、数据库管理器）需要额外的控制：

• 单独的管理员帐户 --- 管理员使用其标准帐户进行日常工作，并使用单独的特权帐户进行管理任务
• 即时 (JIT) 访问 --- 根据请求在特定期限内通过审批工作流授予管理访问权限
• 会话记录 --- 记录和记录管理会话以用于审计目的
• 打破玻璃程序 --- 在正常特权访问工作流程不可用的情况下的紧急访问程序

---

Odoo 特定的 IAM 安全强化

除了标准 RBAC 和 SSO 之外，Odoo 部署还受益于特定于平台的强化：

XML-RPC 和 JSON-RPC 访问

Odoo 公开 XML-RPC 和 JSON-RPC API 用于外部集成。这些 API 绕过 Web UI 身份验证，必须单独保护：

• 使用防火墙规则或反向代理配置通过 IP 限制 API 访问
• 使用 API 密钥 而不是用户凭据进行集成身份验证
• 速率限制 API 端点以防止撞库和暴力攻击
• 监控 API 身份验证失败并对异常模式发出警报
• 禁用未使用的 API 协议 --- 如果仅使用 JSON-RPC，则禁用 XML-RPC

数据库管理器安全

Odoo 的数据库管理器 (/web/database/manager) 允许创建、复制、删除和恢复数据库。生产中：

• 设置强数据库管理器密码（或使用 --no-database-list 完全禁用它）
• 通过反向代理规则限制对数据库管理器 URL 的访问
• 使用 --database 标志指定确切的数据库，防止数据库枚举

会话安全

• **配置session_timeout**自动使空闲会话过期（建议：标准用户30-60分钟，特权用户15分钟）
• 在会话 cookie 上启用 secure 和 httpOnly 标志
• 实施并发会话限制以防止凭证共享并检测泄露

---

常见问题

我可以在 Odoo 社区版中使用 SSO 吗？

Odoo 社区版通过 auth_oauth 模块支持 OAuth2 身份验证，从而支持与 Google 和 GitHub 等提供商的基本 SSO。对于具有 SAML、SCIM 配置和高级属性映射的企业级 SSO，Odoo 企业版提供了附加模块。或者，您可以在 Community Edition 中通过 Authentik 或 Keycloak 使用反向代理身份验证来实现类似的功能，其中代理处理 SSO 并通过标头将经过身份验证的身份传递给 Odoo。

如果身份提供者出现故障会发生什么？

如果 IdP 不可用，用户将无法通过 SSO 进行身份验证。这就是为什么破碎玻璃程序至关重要。在 Odoo 中维护至少一个本地管理帐户，并使用存储在物理保险箱或硬件安全模块中的强而唯一的密码。此帐户绕过 SSO，并允许管理员在 IdP 中断期间访问系统。对于高可用性部署，请配置 IdP 集群或具有自动故障转移功能的辅助 IdP。

如何将现有 Odoo 用户迁移到 SSO？

迁移过程涉及将现有 Odoo 用户帐户与 IdP 身份（通常通过电子邮件地址）进行匹配。在 IdP 中创建用户，在 Odoo 中配置 SSO，并更新现有用户记录以与其 OAuth 提供商链接。用户下次登录时将通过 SSO 进行身份验证。规划一个本地和 SSO 身份验证均可用的过渡期，然后在所有用户成功迁移后禁用本地身份验证。

我应该在 IdP 级别还是直接在 Odoo 中强制执行 MFA？

在 IdP 级别实施 MFA。这可以在所有连接的应用程序（不仅仅是 Odoo）中提供一致的 MFA，集中 MFA 策略管理，并支持条件 MFA 和基于风险的身份验证等高级功能。 Odoo 的内置 TOTP 仅适合作为没有 IdP 的独立部署。

我如何处理外部合作伙伴和供应商的访问？

在 Odoo 中创建专用的“门户”或“外部用户”组，并使用受限制的记录规则，仅限制对合作伙伴自己数据的可见性。使用 IdP 的外部身份功能（Authentik 的“来源”或 Okta 的“客户身份”）来管理与员工身份验证分开的外部用户身份验证。对外部用户应用更严格的 MFA 要求和会话超时。在授予任何访问权限之前进行供应商安全评估。

---

下一步是什么

身份和访问管理是零信任安全架构 的基石。首先通过集中式身份提供商整合身份验证，为所有用户实施 MFA，在 Odoo 中配置默认​​角色之外的精细 RBAC，并实施季度访问审核。每个步骤都可以显着降低您遭受基于凭据的攻击的风险。

ECOSIRE 在每个 Odoo ERP 部署 中实施企业级 IAM，包括与 Authentik 的 SSO 集成、基于角色的访问设计和安全强化。我们的 OpenClaw AI 平台 将身份感知安全性扩展到人工智能驱动的应用程序。 联系我们的团队 为您的企业构建安全的身份基础。

---

由 ECOSIRE 发布 --- 通过 Odoo ERP、Shopify 电子商务 和 OpenClaw AI 等人工智能驱动的解决方案帮助企业扩展规模。