Zum Inhalt springen
bona fidedocs

Organisationen, SSO & SCIM

Alles in Bona Fide gehört zu einer Organisation (einem Workspace): Vorlagen, Umschläge, Signaturlinks, Webhook-Endpunkte, API-Schlüssel und der Tarif. Jede Registrierung erhält eine persönliche Organisation, und Personen können Mitglied mehrerer Organisationen sein. API-Schlüssel handeln für die eine Organisation, der sie gehören.

Dashboard-Sitzungen handeln in der aktiven Organisation des Mitglieds; eine Integration, die die API mit einem Sitzungs-Cookie aufruft, kann mit dem Header x-organization-id eine andere Organisation des Nutzers wählen.

Rollen und Berechtigungen

Abschnitt betitelt „Rollen und Berechtigungen“

Mitglieder haben eine Rolle. Jede Rolle ist eine feste Menge von Berechtigungen, und jeder Endpunkt prüft eine Berechtigung:

Rolle Berechtigungen
owner Alles
admin Alles außer billing:manage
sender envelope:read, envelope:send, envelope:void, template:read
template_manager template:read, template:write, template:publish, envelope:read
auditor envelope:read, template:read, audit:read
billing billing:manage

Die vollständige Liste der Berechtigungen lautet envelope:read, envelope:send, envelope:void, template:read, template:write, template:publish, org:manage, member:manage, sso:manage, apikey:manage, billing:manage und audit:read. API-Schlüssel tragen eine Teilmenge davon als Scopes.

Mitglieder, Einladungen, Teams und das Branding der Organisation werden im Dashboard verwaltet. Organisationslogos werden mit POST /v1/organization/logo (PNG, JPEG, SVG oder WebP, bis 512 KB) aus einer Dashboard-Sitzung hochgeladen.

Single Sign-on

Abschnitt betitelt „Single Sign-on“

Inhaber und Admins verbinden ihren Identitätsanbieter selbst unter Einstellungen › Sicherheit › SSO, mit SAML 2.0 oder OIDC:

  1. Registrieren Sie die Verbindung mit den Metadaten Ihres IdP (das Dashboard kann eine SAML-Metadaten-URL für Sie abrufen).
  2. Verifizieren Sie Ihre E-Mail-Domain mit einem DNS-TXT-Eintrag (das Token beginnt mit bona-fide-verify).
  3. Wählen Sie die Einstellungen: Just-in-time-Provisionierung (die erste IdP-Anmeldung legt das Mitglied an), die Standardrolle neuer Mitglieder und die Erzwingung: Mitglieder mit einer E-Mail-Adresse der verifizierten Domain müssen sich über den IdP anmelden; Inhaber behalten einen Notfallzugang.
  4. Führen Sie auf der Verbindungsseite eine Testanmeldung durch, bevor Sie SSO erzwingen.

Der Zustand der Verbindung (letzte Anmeldung, Anmeldungen der letzten 30 Tage, Ablauf des Zertifikats) und ein Audit-Trail aller SSO- und SCIM-Änderungen (GET /v1/sso/audit) werden auf denselben Seiten angezeigt.

Die Anmeldeseite fragt mit GET /v1/sso/discover?email=… ab, ob eine Adresse Unternehmens-SSO verwendet; der Endpunkt ist öffentlich und rate-limitiert. Wenn SSO erzwungen wird, werden Anmeldungen mit Passwort, E-Mail-Code und Magic Link für diese Domain abgelehnt.

SCIM-Verzeichnissynchronisierung

Abschnitt betitelt „SCIM-Verzeichnissynchronisierung“

Mit SCIM 2.0 legt Ihr IdP Mitglieder automatisch an, aktualisiert und deaktiviert sie. Erstellen Sie unter Einstellungen › Sicherheit › SCIM ein Bearer-Token (wird einmal angezeigt) und geben Sie Ihrem IdP die SCIM-Basis-URL und das Token. Die Basis-URL lautet https://api.bonafidesign.com/api/auth/scim/v2. Ein neues Token ersetzt das vorherige; wird es widerrufen, endet die Provisionierung.