Organisations, SSO et SCIM

Tout, dans Bona Fide, appartient à une organisation (un espace de travail) : modèles, enveloppes, liens de signature, points de terminaison de webhook, clés d’API et forfait. Chaque inscription crée une organisation personnelle, et une même personne peut être membre de plusieurs organisations. Les clés d’API agissent pour la seule organisation à laquelle elles appartiennent.

Les sessions du tableau de bord agissent sur l’organisation active du membre; une intégration qui appelle l’API avec un témoin de session peut choisir une autre des organisations de l’utilisateur au moyen de l’en-tête x-organization-id.

Rôles et autorisations

Chaque membre a un seul rôle. Chaque rôle correspond à un ensemble fixe d’autorisations, et chaque point de terminaison vérifie une autorisation :

Rôle	Autorisations
`owner`	Toutes
`admin`	Toutes, sauf `billing:manage`
`sender`	`envelope:read`, `envelope:send`, `envelope:void`, `template:read`
`template_manager`	`template:read`, `template:write`, `template:publish`, `envelope:read`
`auditor`	`envelope:read`, `template:read`, `audit:read`
`billing`	`billing:manage`

La liste complète des autorisations est envelope:read, envelope:send, envelope:void, template:read, template:write, template:publish, org:manage, member:manage, sso:manage, apikey:manage, billing:manage et audit:read. Les clés d’API en portent un sous-ensemble sous forme de portées.

Les membres, les invitations, les équipes et l’image de marque de l’organisation se gèrent dans le tableau de bord. Les logos d’organisation se téléversent avec POST /v1/organization/logo (PNG, JPEG, SVG ou WebP, jusqu’à 512 Ko) à partir d’une session du tableau de bord.

Authentification unique

Les propriétaires et les administrateurs connectent eux-mêmes leur fournisseur d’identité dans Paramètres › Sécurité › SSO, en SAML 2.0 ou en OIDC :

Enregistrez la connexion avec les métadonnées de votre fournisseur d’identité (le tableau de bord peut récupérer pour vous une URL de métadonnées SAML).
Validez votre domaine de courriel au moyen d’un enregistrement DNS TXT (le jeton commence par bona-fide-verify).
Choisissez les paramètres : provisionnement juste-à-temps (la première connexion par le fournisseur d’identité crée le membre), le rôle par défaut des nouveaux membres et l’application obligatoire : les membres dont l’adresse courriel appartient au domaine validé doivent se connecter par le fournisseur d’identité; les propriétaires conservent un accès d’urgence.
Effectuez une connexion de test à partir de la page de la connexion avant de rendre le SSO obligatoire.

L’état de la connexion (dernière connexion, connexions des 30 derniers jours, expiration du certificat) et une piste d’audit de chaque modification SSO et SCIM (GET /v1/sso/audit) s’affichent sur les mêmes pages.

La page de connexion interroge GET /v1/sso/discover?email=… pour savoir si une adresse utilise le SSO de l’entreprise; ce point de terminaison est public et soumis à une limite de débit. Quand le SSO est obligatoire, la connexion par mot de passe, par code envoyé par courriel et par lien magique est refusée pour ce domaine.

Synchronisation d’annuaire SCIM

Avec SCIM 2.0, votre fournisseur d’identité crée, met à jour et désactive automatiquement les membres. Dans Paramètres › Sécurité › SCIM, créez un jeton du porteur (affiché une seule fois) et fournissez à votre fournisseur d’identité l’URL de base SCIM et le jeton. L’URL de base est https://api.bonafidesign.com/api/auth/scim/v2. La création d’un nouveau jeton remplace le précédent; sa révocation arrête le provisionnement.