Zwei-Faktor-Anmeldung und SSO in Odoo

Wann welches Verfahren passt

Odoo 20.0 kennt zwei getrennte Bausteine: Die Zwei-Faktor-Anmeldung (2FA) ergänzt das Odoo-Passwort um einen zweiten Faktor; die Dokumentation beschreibt den Code aus einer Authenticator-App, die Erzwingung nennt im Hilfetext auch 2FA per E-Mail. Die Anmeldung über einen externen Anbieter (OAuth für Google oder Microsoft Azure, oder LDAP) lässt Benutzer sich laut den Anleitungen mit dem Konto beim Anbieter anmelden; die Dokumentation beschreibt dafür Anleitungen für Google, Microsoft Azure, Facebook und LDAP. Wie Sie Benutzer und Rechte anlegen, steht in Benutzer anlegen und Zugriffsgruppen.

Schritt für Schritt: 2FA einrichten

Schritt 1: Authenticator wählen

Erforderlich ist eine App oder ein Passwortmanager, der zeitbasierte Codes (TOTP) erzeugt. Die Dokumentation nennt Handy-Apps und Passwortmanager als Beispiele und spricht ausdrücklich keine Empfehlung aus.

Schritt 2: 2FA für das eigene Konto aktivieren (jeder interne Benutzer)

Portalbenutzer rufen im Portal Verbindung und Sicherheit (Connection & Security) auf und wählen dort den Link zum Aktivieren der Zwei-Faktor-Authentifizierung (Odoo 20.0). Interne Benutzer wählen oben rechts das Profilbild und Präferenzen (My Preferences), dann den Reiter Sicherheit und 2FA aktivieren. Bestätigen Sie das Odoo-Passwort, scannen Sie den QR-Code mit der Authenticator-App (alternativ den Schlüssel von Hand eingeben, falls Scannen nicht möglich ist) und tragen Sie den angezeigten Code ein. Ein Benutzer kann 2FA nur für sein eigenes Konto aktivieren (Community-Quellcode 20.0).

Schritt 3: Test der Anmeldung

Melden Sie sich ab und wieder an: Nach Benutzername und Passwort fragt Odoo den Authentifizierungscode ab.

Schritt 4: 2FA erzwingen (Administrator)

Öffnen Sie Einstellungen ‣ Berechtigungen, setzen Sie Zwei-Faktor-Authentifizierung erzwingen und wählen Sie Nur Mitarbeiter oder Alle Benutzer. Alle Benutzer schließt Portalbenutzer ein. Speichern Sie. Die Dokumentation beschreibt die Erzwingung ohne Methode; der Hilfetext der Einstellung im Community-Quellcode 20.0 sagt, sie gelte als 2FA per E-Mail für Benutzer, die keine andere Methode aktiviert haben. Testen Sie vorher, was Ihre Benutzer sehen. Prüfen Sie vorher, dass jeder Administrator seine Wiederherstellung kennt (Abschnitt unten).

Schritt 5: Sitzungs- und Inaktivitätsgrenzen (optional)

Ist das Modul Auth Timeout installiert (manche Lokalisierungen installieren es laut Dokumentation automatisch), erscheint an Benutzergruppen der Reiter Timeouts. Dort legen Sie Inaktivitäts- und Sitzungsgrenzen fest; wahlweise verlangt Odoo beim erneuten Anmelden wieder 2FA. Häufige erneute Anmeldungen können laut Dokumentation von solchen Grenzen kommen.

Schritt für Schritt: Anmeldung über Google

Nach der Dokumentation brauchen Sie ein Google-Projekt mit OAuth-Zustimmungsbildschirm (Intern geht nur mit einem Google-Workspace-Konto; persönliche Konten sind Extern, was eine Freigabe durch Google erfordern kann) und eine OAuth-Client-ID vom Typ Web-Anwendung mit der Weiterleitungs-URI https:///auth_oauth/signin. In Odoo aktivieren Sie unter Einstellungen ‣ Integrationen die OAuth-Authentifizierung und die Google-Authentifizierung und tragen die Client-ID ein. Benutzer verknüpfen ihr Google-Konto beim ersten Mal über die Schaltfläche zur Anmeldung mit Google; bestehende Benutzer müssen laut Dokumentation zuvor ihr Passwort zurücksetzen, um zur entsprechenden Seite zu gelangen.

Schritt für Schritt: Anmeldung über Microsoft Azure

1. Entwicklermodus aktivieren, dann Einstellungen ‣ Technisch ‣ Systemparameter: Schlüssel auth_oauth.authorization_header mit Wert 1 anlegen.
2. Im Azure-Portal (Microsoft Entra ID, Administratorrechte nötig) eine App-Registrierung anlegen. Für Mitarbeiter einer Organisation wählt die Anleitung „nur Konten in diesem Organisationsverzeichnis“ (Einzelmandant); als Weiterleitung Plattform Web mit https:///auth_oauth/signin.
3. Unter Authentifizierung Zugriffstoken und ID-Token aktivieren; die delegierte Berechtigung User.Read in Microsoft Graph muss vorhanden sein.
4. Anwendungs-(Client-)ID und den OAuth-2.0-Autorisierungsendpunkt (v2) kopieren.
5. In Odoo unter Einstellungen ‣ Integrationen die OAuth-Authentifizierung aktivieren, OAuth-Anbieter ‣ Neu: Name, Client-ID, Autorisierungs-URL, UserInfo-URL https://graph.microsoft.com/oidc/userinfo und den Bereich openid profile email eintragen, Erlaubt aktivieren und einen Beschriftungstext für die Schaltfläche vergeben.

Neue Benutzer klicken in der Einladung auf Microsoft Azure; bestehende rufen die Passwort-zurücksetzen-Seite auf und wählen dort den Anbieter. Sie sollen dabei kein neues Passwort vergeben.

Schritt für Schritt: Anmeldung über LDAP

Unter Einstellungen ‣ Integrationen LDAP-Authentifizierung aktivieren und speichern, dann LDAP-Server ‣ Neu: Unternehmen, Adresse und Port, optional TLS (nur, wenn der Server StartTLS bietet), Konto für die Abfrage (bei leeren Feldern fragt der Server anonym ab), LDAP-Basis und Filter (uid=%s), optional Benutzer anlegen mit Benutzervorlage (ohne Vorlage verwendet Odoo das Profil des Administrators). Die Dokumentation beschreibt eine Zusatzeinstellung auth_ldap.disable_chase_ref für Microsoft Active Directory bei Anmeldeproblemen trotz gültiger Daten.

Wiederherstellung planen

Fall	Vorgehen nach Dokumentation 20.0
Benutzer verliert den Authenticator	Administrator deaktiviert 2FA am Konto, Benutzer richtet 2FA neu ein; ohne Deaktivierung kann er sich laut Dokumentation nicht anmelden
Der einzige Administrator verliert den Authenticator	die Dokumentation beschreibt dafür kein eigenes Verfahren; planen Sie mindestens ein zweites Administratorkonto ein (redaktionelle Empfehlung)
Verdächtiges Gerät im Konto	Präferenzen, Reiter Sicherheit: Geräteliste, mit Abmelden das Gerät entfernen (Passwortbestätigung)
Passwort vergessen	auf der Anmeldeseite Passwort zurücksetzen, falls aktiviert, oder Administrator sendet Anweisungen zum Zurücksetzen
Inhaber einer bei Odoo.com gehosteten Datenbank	keine OAuth-Anmeldung für Inhaber oder Administrator; sonst lässt sich die Datenbank nicht mehr über das Odoo.com-Portal duplizieren, umbenennen oder verwalten

Wie ein Administrator 2FA eines anderen Benutzers in der Oberfläche deaktiviert, beschreibt die Dokumentation nicht; im Community-Quellcode 20.0 ist die Aktion vorhanden. Üben Sie den Ablauf in einer Testdatenbank, bevor Sie 2FA erzwingen.

So prüfen Sie das Ergebnis

• Ein Testbenutzer meldet sich nach Aktivierung ab und mit Passwort und Code wieder an.
• Melden Sie sich nach dem Erzwingen mit einem Testbenutzer an, der 2FA noch nicht eingerichtet hat, und notieren Sie, was Odoo anzeigt, bevor Sie die Belegschaft informieren; die Dokumentation beschreibt diesen Ablauf nicht.
• Bei OAuth: Ein Testbenutzer (kein Administrator) meldet sich über den Anbieter an.
• Integrationen mit Passwort, die vorher funktionierten, schlagen nach 2FA möglicherweise fehl: Im Community-Quellcode 20.0 verlangt Odoo bei aktivierter 2FA für RPC einen API-Schlüssel, siehe API-Schlüssel und Zugriff für Schnittstellen.

Wann Sie Hilfe holen sollten

Fragen zu Datenschutz und Auftragsverarbeitung beim Anbieter der Anmeldung (Google, Microsoft) klären Sie mit Ihrer Datenschutzberatung; dieser Artikel behandelt sie nicht. Bei Änderungen an Zugriffsrechten empfiehlt die Dokumentation von Odoo, vorher einen Odoo Business Analyst oder den Support zu fragen, weil Fehler dazu führen können, dass niemand mehr Rechte ändern kann.