Odoo-portalen geven klanten en partners toegang tot relevante documenten, transacties en services. Dat roept een vraag over identiteitsontwerp op: moeten externe gebruikers dezelfde werknemersdirectory en hetzelfde toegangsmodel delen?
Soms is een gastaccount voor een zakelijke relatie in een workforce-tenant passend. Op grotere schaal, of wanneer een merkgebonden aanmelding voor klanten en selfservice-registratie vereist zijn, biedt Microsoft Entra External ID een speciaal identiteits- en toegangsmodel voor klanten.
Door dat model met Odoo te verbinden, kan een duidelijkere scheiding ontstaan tussen interne gebruikers en portalgebruikers. Die scheiding vereist nog steeds expliciete toelating, accountaanmaak en Odoo-autorisatieregels.
Workforce- en externe tenants zijn ontworpen voor verschillende doelgroepen
Microsoft definieert een workforce-tenant als de omgeving voor medewerkers, interne bedrijfsapplicaties en organisatorische resources. Daarin kunnen ook uitgenodigde zakenpartners en gasten voorkomen. Een externe tenant is een afzonderlijke configuratie voor applicaties die aan consumenten en zakelijke klanten worden aangeboden. Microsoft beschrijft het onderscheid in zijn tenant configuration guidance.
Een externe tenant bevat een eigen klantendirectory en eigen applicatieregistraties. External ID voegt selfservice-registratie, aanmelding, wachtwoordherstel, accountbeheer en federatie met identity providers toe. De External ID overview legt het speciale model uit.
Deze scheiding kan een organisatie helpen voorkomen dat een klant als medewerker wordt behandeld, alleen maar omdat beiden toegang nodig hebben tot een Odoo-service.
Bepaal de doelgroep vóór je sign-in configureert
Er zijn minstens drie verschillende Odoo-doelgroepen om te overwegen:
Medewerkers en interne gebruikers
Deze gebruikers horen normaal gesproken thuis in de workforce-tenant van de organisatie. Als zij toegang krijgen tot Odoo, hebben zij doorgaans interne Odoo-gebruikersaccounts nodig met zorgvuldig toegewezen toegangsrechten.
Mensen van goedgekeurde partnerorganisaties
Sommige bedrijven willen gebruikers van een gedefinieerde lijst met klant- of partner-Entra-tenants. Een multi-tenant workforce-verbinding met een exacte allow-list van tenants kan passend zijn wanneer elke organisatie bekend is en toegang contractueel is goedgekeurd.
Tenantvalidatie is cruciaal. Alleen een e-maildomein vergelijken is niet genoeg, omdat domeinen en e-mailadressen kunnen veranderen. Valideer de tenant van het token en onveranderlijke subject- of object-ID's volgens het verbindingsontwerp.
Klanten en externe gebruikers
Voor klantgerichte applicaties kan een External ID-tenant een aparte directory en aanmeldervaring bieden. Odoo-accounts die voor deze doelgroep worden aangemaakt, moeten normaal gesproken portalgebruikers zijn, geen interne gebruikers.
Deze modellen moeten als afzonderlijke verbindingen worden geconfigureerd wanneer hun toelatings- en Odoo-accountregels verschillen. Eén brede verbinding is moeilijker te beoordelen en eenvoudiger verkeerd te configureren.
External ID ondersteunt een aanmeldtraject voor klanten
External ID-user flows definiëren authenticatiemethoden voor klanten en informatie die tijdens aanmelding wordt verzameld. Een flow wordt gekoppeld aan geregistreerde applicaties om aanmelding en sign-in te activeren. Microsoft documenteert dit in adding an application to an External ID user flow.
External ID kan lokale accounts en federatie met identity providers ondersteunen, waaronder Microsoft Entra ID en aangepaste OpenID Connect-providers. Ingebouwde en aangepaste attributen kunnen tijdens aanmelding worden verzameld, zoals beschreven in Microsoft's customer attribute guidance.
Verzamel alleen informatie die Odoo echt nodig heeft, en documenteer het doel, de bewaartermijn en de privacybehandeling van elk attribuut.
Standaardmachtigingen helpen de scheiding te bewaren
Microsoft stelt dat gebruikers van een externe tenant beginnen met beperkte standaardmachtigingen. Zij hebben doorgaans toegang tot applicaties en kunnen hun eigen profiel beheren, maar krijgen geen brede beheerdersrechten voor de directory. Zie default permissions in external tenants.
Die directorygrens configureert Odoo-portalrechten niet automatisch. Odoo bepaalt nog steeds via eigen toegangsrechten en recordregels welke records een portalgebruiker kan zien. Test de portalervaring met representatieve klantrecords en met meer dan één bedrijf of account om te zorgen dat gegevens correct geïsoleerd zijn.
Promoveer een nieuw aangemaakte externe gebruiker niet tot interne Odoo-gebruiker, tenzij er een afzonderlijk, goedgekeurd bedrijfsproces is.
Gebruik een moderne, gevalideerde OpenID Connect-flow
Microsoft ondersteunt de OAuth 2.0 authorization code flow met Proof Key for Code Exchange en OpenID Connect voor servergebaseerde webapplicaties. De authorization code flow documentation beschrijft die ondersteunde combinatie.
OIDC breidt OAuth 2.0 uit voor authenticatie. Microsoft publiceert discovery-metadata, eindpuntdetails en openbare signing keys. Het adviseert ook om het teruggegeven token te valideren en een nonce te controleren om replay-risico te verkleinen. Zie OpenID Connect on the Microsoft identity platform.
Een veilige integratie moet de verwachte issuer, audience, signature, tenantcontext en nonce valideren. PKCE vervangt geen tokenvalidatie, exacte callbackconfiguratie, TLS of bescherming van het clientgeheim.
Basisaanmelding kan standaard OIDC-scopes aanvragen, zoals openid, profile en email. Microsoft geeft aan dat deze scopes worden gehost op Microsoft Graph en adviseert alleen de machtigingen aan te vragen die de applicatie nodig heeft. Zie Microsoft identity platform scopes. Een precieze productclaim is daarom "geen Microsoft Graph API-machtigingen met hoge privileges voor standaardaanmelding", in plaats van een algemene claim dat Graph niet betrokken is.
Bepaal hoe externe gebruikers Odoo bereiken
Voordat je de eerste aanmelding activeert, bepaal je:
- Of zelfregistratie openstaat of dat goedkeuring vereist is.
- Welke tenants of identity providers worden toegelaten.
- Of een bestaand Odoo-portalaccount gekoppeld kan worden.
- Welke onveranderlijke Microsoft-identificatiecode wordt opgeslagen na koppeling.
- Aan welke Odoo-bedrijfs- en partnerrecord de gebruiker is gekoppeld.
- Welke portalgroepen en recordregels van toepassing zijn.
- Wat er gebeurt wanneer toegang wordt ingetrokken.
- Hoe een actieve Odoo-sessie wordt ingetrokken.
Automatische accountcreatie kan de administratie verminderen, maar mag alleen plaatsvinden nadat de identiteit aan de toelatingsregels van de koppeling voldoet. Een succesvolle Microsoft-authenticatie bewijst dat de geaccepteerde identiteit wordt beheerd. Op zichzelf bewijst dit niet dat de persoon specifieke Odoo-records van een bepaalde klant zou moeten zien.
Plan voor klantondersteuning en herstel
Externe gebruikers hebben mogelijk geen interne helpdesk. Publiceer een ondersteuningsroute en geef aan wie het identiteitbeheer voert. Test scenario's voor wachtwoordherstel, herstel, tenantverwijdering en gewijzigd e-mailadres. Houd diagnostische gebeurtenissen bruikbaar maar gemaskeerd.
Als je directe behoefte toegang voor werknemers is, lees dan waarom je je Odoo-instantie moet beveiligen met Microsoft SSO. Voor interne rechten, zie Odoo-toegang centraliseren met Entra-groepen en app-rollen.
Externe doelgroepen verbinden met Odoo 19
Onze Microsoft Entra SSO voor Odoo-module ondersteunt aparte verbindingen voor werknemers, goedgekeurde organisaties en Microsoft Entra External ID-klantdoelgroepen. External ID-verbindingen maken standaard portalgebruikers aan, terwijl workforce-verbindingen interne gebruikers aanmaken. De begeleide configuratie valideert ontdekkingsinformatie en ondertekeningssleutels, en vereist vervolgens een interactieve test voordat Microsoft-aanmelding wordt ingeschakeld.
De module bepaalt niet wie moet worden toegelaten of welke klantrecords zij zouden moeten zien. Dat blijven zakelijke en Odoo-toegangsbeslissingen. Bekijk de module als je een gecontroleerde koppeling nodig hebt tussen Microsoft-klantidentiteit en een Odoo 19-portal, met doelgroepspecifieke accountafhandeling in plaats van één ongedifferentieerd aanmeldpad.