Korisničko ime i lozinka odgovaraju samo na dio pitanja o pristupu. Tvrtka možda također treba znati je li korisnik dovršio MFA, je li uređaj upravljan i dolazi li zahtjev s očekivane lokacije.
Microsoft Entra Conditional Access unosi te signale u odluku o pravilima. Kada Odoo koristi Microsoft Entra kao svoj identitetski davatelj, Conditional Access može procijeniti Microsoft prijavu prije nego što se korisnik vrati u Odoo.
To može učiniti Odoo autentifikaciju dosljednijom s Microsoftom upravljanim okruženjem. Također može zaključati legitimne korisnike ako se uvede bez opreza. Cilj je odmjerena politika koja odgovara Odoo publici i podacima.
Što Conditional Access zapravo radi
Microsoft opisuje Conditional Access kao svoj Zero Trust mehanizam za pravila. Pravila rade poput if-then izjava: kada su definirani uvjeti ispunjeni, Entra primjenjuje konfiguriranu odluku o pristupu. Službeni pregled Conditional Accessa navodi uobičajene signale, uključujući korisnike i grupe, IP lokaciju, uređaje, aplikacije te stvarni ili izračunati rizik.
Kontrole odobravanja mogu zahtijevati:
- Višefaktorsku autentifikaciju.
- Definiranu jačinu autentifikacije.
- Uređaj označen kao usklađen.
- Microsoft Entra hybrid joined uređaj.
- Odobrenu klijentsku aplikaciju ili politiku zaštite aplikacije.
- Promjenu lozinke ili prihvaćanje uvjeta korištenja.
Pravila također mogu blokirati pristup. Na istu prijavu može se primijeniti više pravila, a Microsoft objašnjava da svi primjenjivi zahtjevi pravila moraju biti zadovoljeni. Pogledajte kako se evaluiraju pravila Conditional Accessa.
Praktični obrasci pravila za Odoo
Zahtijevajte MFA za povlaštene Odoo korisnike
Odoo administratori, financijsko osoblje i korisnici koji mogu izvoziti osjetljive zapise logični su kandidati za jaču autentifikaciju. Microsoft Entra MFA zahtijeva dvije ili više metoda provjere iz različitih kategorija faktora, kako je opisano u Microsoftovoj MFA dokumentaciji.
Nemojte pretpostaviti da svaka MFA metoda pruža istu zaštitu. Microsoft preporučuje opcije otporne na phishing, kao što su passkeys, FIDO2 sigurnosni ključevi, Windows Hello for Business i autentifikacija temeljena na certifikatima u svom pregledu autentifikacije.
Praktičan redoslijed može biti zahtijevati MFA za sve korisnike u organizaciji, a zatim za povlaštene grupe zahtijevati jačinu autentifikacije otpornu na phishing. Ispravan slijed ovisi o dostupnim uređajima, spremnosti za enrolment i kapacitetu podrške.
Zahtijevajte odgovarajući uređaj
Conditional Access može zahtijevati usklađen ili hybrid joined uređaj. To može biti korisno kada Odoo izlaže financijske, kadrovske ili operativne podatke koje ne bi trebalo preuzimati s neupravljanog krajnjeg uređaja.
Testirajte ovu odluku s stvarnim korisnicima. Izvođači, zajedničke radne stanice i mobilni korisnici možda neće odgovarati politici za zaposlenička prijenosna računala. Usklađenost uređaja također ovisi o relevantnoj Microsoft konfiguraciji i licenci.
Koristite lokaciju kao jedan signal, a ne kao dokaz identiteta
Conditional Access može blokirati ili dopustiti pristup na temelju definiranih lokacija i IP raspona. To može pomoći smanjiti izloženost tamo gdje organizacija posluje u ograničenoj geografskoj regiji ili ima poznate korporativne izlazne adrese.
Lokacija nije dokaz identiteta. Zaposlenici putuju, mobilne veze se mijenjaju, a napadači mogu koristiti infrastrukturu u dopuštenoj regiji. Kombinirajte to sa snažnom autentifikacijom i kontrolama uređaja.
Primijenite pravilnik temeljen na riziku gdje je licencirano
Microsoft Entra ID Protection može pridonijeti korisničkom i prijavnom riziku za Conditional Access. Microsoft navodi da pravilnik temeljen na riziku zahtijeva Entra ID P2. To može podržati stroži odgovor na rizičnu prijavu, ali ta značajka nije dio svake Entra licence.
Conditional Access procjenjuje signale dostupne tijekom izdavanja tokena. Ne pregledava svaku radnju koju korisnik kasnije poduzme unutar Odooa.
Conditional Access i granica Odoo sesije
Conditional Access djeluje tijekom Microsoft autentifikacije i izdavanja tokena. Nakon što Odoo potvrdi rezultat i uspostavi vlastitu sesiju, i dalje je važno ponašanje Odoo sesije.
Na primjer, uklanjanje korisnika iz ciljane grupe ne mijenja retroaktivno token koji je već izdan. Microsoftova dokumentacija o pravilima navodi da novododani član uloge ili grupe podliježe pravilu kada se izda novi token. Na isti način, integracija koja sinkronizira Odoo grupe pri prijavi ne mora odmah opozvati aktivnu Odoo sesiju.
Vaš dizajn stoga treba obuhvatiti:
- trajanje Odoo sesije i ponašanje pri odjavi.
- koliko brzo se ažuriraju Odoo mapiranja pristupa.
- postupke hitnog opoziva.
- učinak onemogućavanja Microsoft računa.
- je li prikladna samo Microsoft interaktivna prijava.
- kako administratori ponovno dobivaju pristup tijekom prekida rada davatelja identiteta.
Planirajte uvođenje prije provedbe pravila
Microsoftov vodič za uvođenje Conditional Accessa preporučuje planiranje, korištenje testnog korisnika, komunikaciju promjena i osiguravanje da se korisnici mogu registrirati za MFA prije provedbe.
Za implementaciju Odooa, praktičan redoslijed je:
- Registrirajte Odoo vezu i provjerite njezin povratni poziv, informacije za otkrivanje i potpisne ključeve.
- Testirajte Microsoft prijavu s računom koji nije administrator.
- Potvrdite usklađivanje Odoo računa i rezultate pristupne grupe.
- Ciljajte malu pilot-grupu s namijenjenom politikom Conditional Access.
- Pregledajte zapise prijave i povratne informacije podrške.
- Postupno proširite publiku.
- Omogućite interaktivnu prijavu samo putem Microsofta tek nakon što je hitni pristup dokumentiran i testiran.
Izbjegavajte široka izuzeća. Upotrijebite najmanje potrebno izuzeće, zabilježite njegovog vlasnika i postavite datum pregleda.
Razumite granicu licenciranja
Conditional Access zahtijeva Microsoft Entra ID P1. Microsoft 365 Business Premium također uključuje mogućnosti Conditional Access. Conditional Access temeljen na riziku zahtijeva Entra ID P2. Druge kontrole mogu ovisiti o zasebnim proizvodima, uključujući Microsoft Intune ili Defender for Cloud Apps. Trenutačni detalji održavaju se u zahtjevima za licencu za Conditional Access.
Organizacije bez P1 ili P2 mogu koristiti Microsoftove zadane sigurnosne postavke kao osnovnu sigurnosnu razinu, ali Microsoft savjetuje da zadane sigurnosne postavke i Conditional Access nisu namijenjeni za zajedničko korištenje. Ne gradite Odoo plan pristupa na nekoj značajci dok licenca i konfiguracija klijenta nisu potvrđene.
Povežite politiku s Odoo autorizacijom
Conditional Access određuje hoće li Microsoft dovršiti prijavu. Odoo grupe određuju što se događa nakon što se korisnik prijavi u Odoo. Pažljivo povezivanje tih slojeva može stvoriti jasniji model: Entra kontrolira uvjete provjere autentičnosti, dok odobrene grupe ili uloge aplikacije mapiraju na određeni Odoo pristup.
Pročitajte centraliziranje Odoo pristupa pomoću grupa i uloga aplikacije Microsoft Entra za stranu autorizacije. Ako još uvijek odlučujete isplati li se SSO, počnite s zašto biste trebali zaštititi svoju Odoo instancu Microsoft SSO-om.
Primijenite Microsoft kontrole prijave na Odoo 19
Naš Microsoft Entra SSO za Odoo modul pruža vođenu Odoo 19 vezu s Microsoft Entra ID ili External ID. Validira Microsoft informacije za otkrivanje i potpisne ključeve, podržava interaktivni test prijave i može zahtijevati Microsoft prijavu za interaktivne korisnike nakon što je veza potvrđena.
Modul omogućuje vezu. Ne stvara automatski ispravnu politiku Conditional Access niti uklanja potrebu za testiranjem Odoo sesija i dopuštenja. Pregledajte modul ako želite kontroliranu točku integracije kroz koju vaše postojeće Entra politike mogu upravljati Odoo prijavom.