Organisaatiot, SSO ja SCIM

Kaikki Bona Fidessä kuuluu organisaatiolle (työtilalle): mallit, kirjekuoret, allekirjoituslinkit, webhook-päätepisteet, API-avaimet ja paketti. Jokainen rekisteröityminen saa henkilökohtaisen organisaation, ja ihmiset voivat olla useamman organisaation jäseniä. API-avaimet toimivat sen yhden organisaation puolesta, jonka omistuksessa ne ovat.

Hallintapaneelin istunnot toimivat jäsenen aktiivisessa organisaatiossa; integraatio, joka kutsuu API:a istuntoevästeellä, voi valita jonkin toisen käyttäjän organisaatioista otsakkeella x-organization-id.

Roolit ja käyttöoikeudet

Jäsenillä on yksi rooli. Jokainen rooli on kiinteä joukko käyttöoikeuksia, ja jokainen päätepiste tarkistaa jonkin käyttöoikeuden:

Rooli	Käyttöoikeudet
`owner`	Kaikki
`admin`	Kaikki paitsi `billing:manage`
`sender`	`envelope:read`, `envelope:send`, `envelope:void`, `template:read`
`template_manager`	`template:read`, `template:write`, `template:publish`, `envelope:read`
`auditor`	`envelope:read`, `template:read`, `audit:read`
`billing`	`billing:manage`

Käyttöoikeuksien täydellinen luettelo on envelope:read, envelope:send, envelope:void, template:read, template:write, template:publish, org:manage, member:manage, sso:manage, apikey:manage, billing:manage ja audit:read. API-avaimilla on näiden osajoukko käyttöoikeusalueina.

Jäseniä, kutsuja, tiimejä ja organisaation brändäystä hallitaan hallintapaneelissa. Organisaation logot ladataan kutsulla POST /v1/organization/logo (PNG, JPEG, SVG tai WebP, enintään 512 kt) hallintapaneelin istunnosta.

Kertakirjautuminen

Omistajat ja ylläpitäjät yhdistävät identiteetintarjoajansa itse kohdassa Asetukset › Suojaus › SSO joko SAML 2.0:lla tai OIDC:llä:

Rekisteröi yhteys identiteetintarjoajasi metatiedoilla (hallintapaneeli voi hakea SAML-metatietojen URL-osoitteen puolestasi).
Vahvista sähköpostin verkkotunnuksesi DNS:n TXT-tietueella (tunnus alkaa merkkijonolla bona-fide-verify).
Valitse asetukset: just-in-time-käyttäjien luonti (ensimmäinen kirjautuminen identiteetintarjoajan kautta luo jäsenen), uusien jäsenten oletusrooli ja pakotus: jäsenten, joiden sähköposti on vahvistetussa verkkotunnuksessa, on kirjauduttava identiteetintarjoajan kautta; omistajat säilyttävät hätäkirjautumisen.
Suorita testikirjautuminen yhteyssivulta ennen pakotuksen käyttöönottoa.

Yhteyden kunto (viimeisin kirjautuminen, kirjautumiset viimeisten 30 päivän aikana, varmenteen vanheneminen) ja kirjausketju jokaisesta SSO- ja SCIM-muutoksesta (GET /v1/sso/audit) näytetään samoilla sivuilla.

Kirjautumissivu kysyy kutsulla GET /v1/sso/discover?email=…, käyttääkö osoite yrityksen SSO:ta; se on julkinen ja nopeusrajoitettu. Kun SSO on pakotettu, kirjautuminen salasanalla, sähköpostikoodilla ja taikalinkillä hylätään kyseisen verkkotunnuksen osalta.

SCIM-hakemistosynkronointi

SCIM 2.0:n avulla identiteetintarjoajasi luo, päivittää ja poistaa käytöstä jäseniä automaattisesti. Luo kohdassa Asetukset › Suojaus › SCIM bearer-tunnus (näytetään kerran) ja anna identiteetintarjoajallesi SCIM-perus-URL ja tunnus. Perus-URL on https://api.bonafidesign.com/api/auth/scim/v2. Uuden tunnuksen luominen korvaa edellisen; sen peruuttaminen lopettaa käyttäjien luonnin.