Hệ thống xác thực Odoo 19
Tổng quan các lựa chọn đăng nhập, bảo vệ tài khoản và kiểm soát phiên làm việc trong Odoo
Bộ tài liệu auth trong Odoo 19 bao phủ từ đăng nhập bằng mật khẩu truyền thống đến LDAP, OAuth2, Passkey, xác thực hai yếu tố, chính sách mật khẩu, đăng ký tài khoản và timeout phiên làm việc.
Mục tiêu là giúp doanh nghiệp chọn đúng mức bảo mật cho từng nhóm người dùng: nhân viên nội bộ, quản trị viên, khách hàng portal và đối tác.
Các nhóm tính năng chính
Điểm chính
• LDAP / Active Directory: Đồng bộ xác thực với hệ thống danh tính tập trung của doanh nghiệp.
• OAuth2: Đăng nhập bằng tài khoản Google, Microsoft, GitHub hoặc nhà cung cấp bên ngoài.
• Passkey: Đăng nhập không mật khẩu bằng WebAuthn, Face ID, Touch ID hoặc khóa bảo mật.
• 2FA TOTP và 2FA qua Email: Thêm lớp bảo mật thứ hai cho tài khoản nội bộ hoặc portal.
• Password Policy: Kiểm soát độ dài tối thiểu, hiển thị yêu cầu mật khẩu và chặn mật khẩu yếu.
• Signup: Cho phép đăng ký công khai hoặc theo lời mời, đồng thời hỗ trợ reset mật khẩu bằng email.
• Timeout: Yêu cầu xác thực lại khi quá thời gian hoặc khi không hoạt động.
Chọn phương thức phù hợp
Gợi ý theo tình huống sử dụng
| Tình huống | Giải pháp phù hợp | Lý do |
|---|---|---|
| Doanh nghiệp đã có Active Directory | LDAP | Tận dụng tài khoản hiện có và quản lý tập trung. |
| Công ty dùng Google Workspace hoặc Microsoft 365 | OAuth2 | Đăng nhập thuận tiện, giảm quản lý mật khẩu riêng. |
| Nhóm quản lý hoặc tài khoản nhạy cảm | Passkey hoặc 2FA TOTP | Tăng bảo mật và giảm rủi ro phishing. |
| Portal cho khách hàng, đối tác | Passkey Portal, TOTP Portal, Password Policy Portal | Cân bằng trải nghiệm đăng nhập và bảo vệ tài khoản bên ngoài. |
| Cổng đăng ký người dùng mới | Signup + Password Policy Signup | Kiểm soát từ bước tạo tài khoản ban đầu. |
| Môi trường cần khóa phiên nhanh | Auth Timeout | Giảm rủi ro khi người dùng bỏ quên phiên đăng nhập. |
Quy trình triển khai cơ bản
Các bước thực hiện
1. Xác định nhóm người dùng cần bảo vệ: nhân viên nội bộ, quản trị viên, khách hàng portal hay người dùng mới đăng ký.
2. Chọn phương thức đăng nhập chính: LDAP nếu có hạ tầng directory, OAuth2 nếu dùng nhà cung cấp bên ngoài, Passkey nếu muốn passwordless.
3. Bật lớp bảo mật bổ sung khi cần: 2FA TOTP, 2FA qua email hoặc session timeout.
4. Áp dụng password policy cho cả backend, portal và trang signup để tránh tạo mật khẩu yếu.
5. Kiểm thử từng luồng đăng nhập, reset mật khẩu, mời người dùng và xác thực lại sau timeout.
6. Đào tạo người dùng về phishing, trusted device, mã xác thực và cách xử lý khi mất thiết bị.
Best practices bảo mật
Điểm chính
• Luôn dùng HTTPS cho OAuth2, Passkey và mọi luồng xác thực có thông tin nhạy cảm.
• Bắt buộc 2FA hoặc Passkey cho tài khoản quản trị và nhóm có dữ liệu quan trọng.
• Giới hạn thiết bị tin cậy cho máy cá nhân, không dùng trên máy công cộng.
• Đặt password policy đủ mạnh nhưng không quá khắt khe để giảm tỷ lệ người dùng bị chặn không cần thiết.
• Kết hợp session timeout với inactivity timeout cho khu vực có dữ liệu tài chính hoặc dữ liệu khách hàng.
• Thường xuyên kiểm tra email thông báo bảo mật, đăng nhập từ thiết bị mới và yêu cầu reset bất thường.