Organisationer, SSO og SCIM

Alt i Bona Fide tilhører en organisation (et workspace): skabeloner, kuverter, underskriftslinks, webhook-slutpunkter, API-nøgler og planen. Hver tilmelding får en personlig organisation, og brugere kan være medlemmer af flere. API-nøgler handler på vegne af den ene organisation, der ejer dem.

Dashboardsessioner handler på medlemmets aktive organisation; en integration, der kalder API’et med en sessionscookie, kan vælge en anden af brugerens organisationer med headeren x-organization-id.

Roller og tilladelser

Medlemmer har én rolle. Hver rolle er et fast sæt tilladelser, og hvert slutpunkt tjekker en tilladelse:

Rolle	Tilladelser
`owner`	Alt
`admin`	Alt undtagen `billing:manage`
`sender`	`envelope:read`, `envelope:send`, `envelope:void`, `template:read`
`template_manager`	`template:read`, `template:write`, `template:publish`, `envelope:read`
`auditor`	`envelope:read`, `template:read`, `audit:read`
`billing`	`billing:manage`

Den fulde liste over tilladelser er envelope:read, envelope:send, envelope:void, template:read, template:write, template:publish, org:manage, member:manage, sso:manage, apikey:manage, billing:manage og audit:read. API-nøgler har en delmængde af dem som tilladelsesomfang.

Medlemmer, invitationer, teams og organisationens branding administreres i dashboardet. Organisationens logo uploades med POST /v1/organization/logo (PNG, JPEG, SVG eller WebP, op til 512 KB) fra en dashboardsession.

Single sign-on

Ejere og administratorer forbinder selv deres identitetsudbyder under Indstillinger › Sikkerhed › SSO med SAML 2.0 eller OIDC:

Registrer forbindelsen med din IdP’s metadata (dashboardet kan hente en SAML-metadata-URL for dig).
Verificér dit e-maildomæne med en DNS-post af typen TXT (tokenet begynder med bona-fide-verify).
Vælg indstillingerne: just-in-time-provisionering (det første login via IdP’en opretter medlemmet), nye medlemmers standardrolle og håndhævelse: medlemmer med en e-mail i det verificerede domæne skal logge ind via IdP’en; ejere beholder et nødlogin.
Kør et testlogin fra forbindelsens side, før du håndhæver den.

Forbindelsens tilstand (seneste login, logins de seneste 30 dage, certifikatets udløb) og et revisionsspor over hver ændring af SSO og SCIM (GET /v1/sso/audit) vises på de samme sider.

Loginsiden spørger GET /v1/sso/discover?email=…, om en adresse bruger virksomheds-SSO; kaldet er offentligt og hastighedsbegrænset. Når SSO håndhæves, afvises login med adgangskode, e-mailkode og magisk link for det domæne.

Katalogsynkronisering med SCIM

Med SCIM 2.0 opretter, opdaterer og deaktiverer din IdP medlemmer automatisk. Under Indstillinger › Sikkerhed › SCIM opretter du et bearer-token (vises én gang) og giver din IdP SCIM-basis-URL’en og tokenet. Basis-URL’en er https://api.bonafidesign.com/api/auth/scim/v2. Et nyt token erstatter det forrige; hvis du tilbagekalder det, stopper provisioneringen.