ERP 将您的价格、薪资、客户名单和银行信息集中存放在一处。这使它非常有用，但也意味着访问设置一旦草率，就可能泄露敏感数据，或让某个人独自完成本应由第二人复核的操作。Odoo 19 为此提供了一套分层控制机制。善加利用，就能让每个人完成本职工作，同时不会看到或修改超出其职责范围的内容。
关于资料来源：本指南依据 Odoo 19.0 版官方文档编写。菜单名称和选项可能因版本、版本类型和已安装的应用而变化，因此在应用到正式系统之前，请先在测试数据库或复制的数据库中确认每一步。
首先了解用户类型
Odoo 有三种用户类型。内部用户是在数据库内部工作的员工。门户用户是外部人员（如客户或供应商），通过门户查看与自己相关的记录。公开用户是网站前台的访客。
官方文档还将管理员描述为拥有高级权限（如技术功能和数据导出）的内部用户。请将管理员角色视为只授予少数可信人员的特权，而不是方便所有人的设置。
门户用户的处理方式与内部用户不同。Odoo 不允许为门户用户设置应用访问权限。门户用户会获得预设的记录规则和受限菜单，文档说明门户用户对数据库中的单据只有读取或查看权限。
门户的典型用途包括跟踪和支付订单、下载和支付发票、管理付款方式和订阅，以及更新地址信息。
Odoo 如何分层控制访问
可以把 Odoo 中的访问控制看作一层层叠加的过滤器。用户类型设定了大的边界。用户表单上的应用访问级别决定此人可以使用哪些应用以及使用到什么程度。这些级别背后是组，组承载着模型层面的读取、写入、创建和删除权限。记录规则则进一步限定某个组可以操作哪些具体记录。在此之上，您还可以对特定组隐藏个别字段、限制用户可以打开哪些公司，并加强登录本身的安全性。
创建用户并分配应用访问权限
要添加内部用户，请打开“设置”应用，进入“用户”部分，点击“管理用户”，然后点击“新建”。填写表单，包括电子邮件地址。
在“访问权限”选项卡上，为每个应用选择一个级别。这里只显示数据库中已安装的应用。常见级别有空白（无访问权限）、“用户：仅自己的单据”、“用户：所有单据”和“管理员”，但具体选项因应用而异。
保存用户。Odoo 会向表单上的电子邮件地址发送邀请，此人必须接受邀请才能创建登录账号。在“管理用户”界面上，“内部用户”和“门户用户”筛选器可帮助您分别查看每种类型。
为每位新用户先分配能让其完成工作的最低级别，有明确需要时再增加权限。日后收回权限总是比一开始审慎授权更难。
组、记录规则和字段安全
您在“访问权限”选项卡上选择的级别在后台对应着各个组。要查看这些组，请在“设置”应用的“开发者工具”部分激活开发者模式。之后您可以打开用户的“技术访问权限”选项卡，其中列出已选择的组，以及因其他组隐含而自动添加的组。
在该选项卡上，绿色表示该权限已由其他权限提供，红色表示相互冲突、不能同时生效的权限，斜体表示由所选组隐含的权限。移除某个已选组也可能改变自动添加的组，因此每次更改后都要检查结果。
开启开发者模式后，组列在“设置 > 用户与公司 > 组”下。每个组的表单显示其用户、继承的组、菜单、视图、包含读取、写入、创建和删除选项的模型层面访问权限，以及记录规则。
记录规则是以域（即针对记录的筛选条件）编写的行级过滤器。每条规则可以分别作用于读取、写入、创建和删除。Odoo 正是通过它们实现诸如将销售人员限制为只能访问自己单据的效果。
Odoo 文档提醒，只有管理员才能更改访问权限，草率的更改可能导致数据库中没有任何用户能够修复问题。文档建议在直接编辑组或记录规则之前，请有经验的分析师参与。实际操作中，应优先使用“访问权限”选项卡上的标准级别，只有在标准选项确实无法满足需求时才去改动组和规则。
用户“访问权限”选项卡上的“管理”部分控制谁可以管理系统本身。选择“访问权限”可让此人管理其他用户的访问权限，而“设置”则提供更广泛的配置权限。
超级用户模式可在开发者模式下通过调试菜单使用，仅限拥有“设置”权限的用户，它会完全绕过记录规则和访问权限。仅在紧急情况和故障排查时使用，切勿用于日常工作，并在完成后立即退出超级用户会话。
有时某人需要使用一条记录，但不应看到其中某个字段，例如成本或薪资数字。在 Odoo Studio 中，字段属性包括“允许组可见”、“禁止组可见”和“只读”，因此您可以限制谁能查看或编辑特定字段。
Studio 还可以配置审批规则和调整安全规则。Studio 属于 Odoo Enterprise，Community 中不提供；文档还指出安装 Studio 可能影响您的订阅方案，因此开始前请先确认这一点。
在 Odoo Community 中，由组、模型访问权限和记录规则构成的核心安全框架依然存在。由于没有 Studio，字段级更改和自定义规则通常由开发人员通过自定义模块完成。
多公司访问
一个 Odoo 数据库可以容纳多家公司。在用户表单上，“访问权限”选项卡的“多公司”区域用于设置用户可以工作的“允许的公司”，以及登录时进入的“默认公司”。
用户通过右上角页眉中的公司选择器在其允许的公司之间切换，也可以同时勾选多家公司以跨公司工作。
记录上的“公司”字段控制其可见范围。“公司”字段为空时，记录对所有公司可用；指定某家公司时，记录仅对登录该公司的用户可见。报价单、发票和供应商账单等单据只有在您登录其所属公司时才会显示。新建的产品和联系人默认共享，除非您为其指定公司。
文档提醒，错误的多公司设置可能导致行为不一致，因此只应由有经验的管理员进行更改。对于集团架构，请尽早确定哪些数据共享、哪些数据归属特定公司，并在上线前测试公司间流程。
双重认证和密码策略
每位用户都可以在“我的偏好”的“安全”选项卡上点击“启用双重认证”来开启双重认证。确认密码后，用户使用身份验证器应用扫描二维码并输入验证码。
管理员可以在“设置”应用的“权限”部分勾选“强制双重认证”，并选择“仅员工”或“所有用户”来强制执行双重认证。“所有用户”也包括门户用户。
如果用户无法再使用其身份验证器，管理员必须先停用该账号的双重认证，用户才能再次登录。请将这一恢复步骤写入您的支持流程，确保在进行适当身份核验后再处理。
关于密码，请安装“密码策略”模块，并在“设置”的“权限”部分设置“最小密码长度”。您还可以通过同一部分的“密码重置”选项，决定用户是否可以在登录页面自行重置密码。
安装会话超时模块后，组表单中会增加“超时”选项卡。您可以在其中设置闲置锁屏和会话注销，并可选择与双重认证结合使用。
可追溯性：沟通栏和会计审计跟踪
几乎每条记录上的沟通栏都提供持续的历史记录。记录发生更改时，Odoo 会记录一条包含更改详情和时间戳的备注，通过导入或系统动作所做的更改则记在 OdooBot 名下。日志备注仅对内部用户可见。
在会计方面，审计跟踪会记录影响账簿的字段更改，包括日期和时间、用户、更改类型以及更改前后的值。可在“会计 > 审核 > 审计跟踪”中查看。
会计设置“报表”部分中的可选设置“限制性审计跟踪”可防止被跟踪的记录被删除。这些记录只能取消或归档，从而保持历史记录完整。
职责分离示例
职责分离意味着任何一个人都不能从头到尾独自掌控整个敏感流程。Odoo 的应用访问级别、组和审批规则可让您将这些步骤分配给不同的人。
- 创建供应商及供应商银行信息的人，不应与登记和发送付款的人是同一人。
- 采购人员创建申请和订单，而超过约定限额的订单由拥有更高权限的经理审批。
- 仓库人员确认收货和发货，而库存调整由仓库团队以外的人员审批。
- 薪资编制和薪资审批由不同的人负责，并对不需要的用户隐藏薪资字段。
- 只有少数 IT 或管理组成员拥有“访问权限”管理级别，且任何人都不能审批自己的权限变更。
在无法完全分离职责的小型公司中，可以通过复核来弥补：利用沟通栏历史和会计审计跟踪，定期检查敏感更改。
最佳实践和定期审查
- 只授予必要的最低权限，并记录每位用户拥有每个级别的原因。
- 将管理员控制在一份简短的具名名单内，避免共用登录账号。
- 强制执行双重认证和最小密码长度。
- 员工离职时及时归档其用户，并撤销不再需要门户访问权限的联系人的访问权限。
- 在应用到正式环境之前，先在复制的数据库中用测试用户测试每项权限变更。
- 按固定周期（例如每季度）以及每次组织调整后，审查用户、组和允许的公司。
要归档用户，请在“管理用户”中选中该用户，打开动作菜单并选择“归档”。要撤销门户访问权限，请打开该联系人，从动作菜单中选择“授予门户访问权限”，然后点击“撤销访问权限”。
定期审查应将每位活跃用户与其当前岗位进行比对，检查谁拥有管理员或“访问权限”级别，确认允许的公司，并查看沟通栏和审计跟踪中近期的敏感更改。请为每次审查保留简短记录，以便向审计人员出示。
1CBMS 如何为您提供帮助
1CBMS 为埃及和伊拉克的企业设计并实施 Odoo 19 访问模型。我们将您的组织架构和审批政策映射到用户、组、记录规则和多公司设置，配置双重认证和密码规则，将职责分离融入日常工作流程，在预发布数据库中全面测试，并培训您的团队定期开展访问审查。欢迎通过 www.1cbms.com 联系我们，审查或加固您的 Odoo 数据库。