संगठन, SSO और SCIM

Bona Fide में सब कुछ किसी संगठन (एक वर्कस्पेस) का होता है: टेम्पलेट, लिफ़ाफ़े, हस्ताक्षर लिंक, वेबहुक एंडपॉइंट, API कुंजियाँ और प्लान। हर साइन-अप को एक व्यक्तिगत संगठन मिलता है, और लोग कई संगठनों के सदस्य हो सकते हैं। API कुंजियाँ उसी एक संगठन की ओर से काम करती हैं, जिसकी वे हैं।

डैशबोर्ड सेशन सदस्य के सक्रिय संगठन पर काम करते हैं; सेशन कुकी के साथ API को कॉल करने वाला इंटीग्रेशन x-organization-id हेडर से उपयोगकर्ता का कोई दूसरा संगठन चुन सकता है।

भूमिकाएँ और अनुमतियाँ

हर सदस्य की एक भूमिका होती है। हर भूमिका अनुमतियों का एक तय सेट है, और हर एंडपॉइंट किसी अनुमति की जाँच करता है:

भूमिका	अनुमतियाँ
`owner`	सब कुछ
`admin`	`billing:manage` को छोड़कर सब कुछ
`sender`	`envelope:read`, `envelope:send`, `envelope:void`, `template:read`
`template_manager`	`template:read`, `template:write`, `template:publish`, `envelope:read`
`auditor`	`envelope:read`, `template:read`, `audit:read`
`billing`	`billing:manage`

अनुमतियों की पूरी सूची है: envelope:read, envelope:send, envelope:void, template:read, template:write, template:publish, org:manage, member:manage, sso:manage, apikey:manage, billing:manage और audit:read। API कुंजियों के पास इनका एक उपसमूह स्कोप के रूप में होता है।

सदस्य, आमंत्रण, टीमें और संगठन की ब्रांडिंग डैशबोर्ड में प्रबंधित होती हैं। संगठन के लोगो डैशबोर्ड सेशन से POST /v1/organization/logo (PNG, JPEG, SVG या WebP, अधिकतम 512 KB) के ज़रिए अपलोड किए जाते हैं।

सिंगल साइन-ऑन

ओनर और एडमिन अपने आइडेंटिटी प्रोवाइडर को ख़ुद सेटिंग्स › सुरक्षा › SSO में SAML 2.0 या OIDC के साथ कनेक्ट करते हैं:

अपने IdP के मेटाडेटा के साथ कनेक्शन रजिस्टर करें (डैशबोर्ड आपके लिए SAML मेटाडेटा URL से डेटा ला सकता है)।
DNS TXT रिकॉर्ड से अपने ईमेल डोमेन को सत्यापित करें (टोकन bona-fide-verify से शुरू होता है)।
सेटिंग्स चुनें: जस्ट-इन-टाइम प्रोविज़निंग (IdP से पहला लॉगिन सदस्य बना देता है), नए सदस्यों की डिफ़ॉल्ट भूमिका, और अनिवार्यता: सत्यापित डोमेन पर ईमेल वाले सदस्यों को IdP के ज़रिए ही साइन इन करना होगा; ओनर के पास आपात स्थिति (break-glass) वाला लॉगिन रहता है।
अनिवार्य करने से पहले कनेक्शन पेज से एक टेस्ट लॉगिन चलाएँ।

कनेक्शन की स्थिति (आख़िरी लॉगिन, पिछले 30 दिनों में लॉगिन, प्रमाणपत्र की समय-सीमा) और हर SSO व SCIM बदलाव का ऑडिट ट्रेल (GET /v1/sso/audit) इन्हीं पेजों पर दिखते हैं।

साइन-इन पेज GET /v1/sso/discover?email=… से पूछता है कि कोई पता कंपनी SSO इस्तेमाल करता है या नहीं; यह सार्वजनिक है और इस पर रेट लिमिट लागू है। जब SSO अनिवार्य होता है, तो उस डोमेन के लिए पासवर्ड, ईमेल कोड और मैजिक लिंक से साइन-इन अस्वीकार किए जाते हैं।

SCIM डायरेक्टरी सिंक

SCIM 2.0 के साथ आपका IdP सदस्यों को अपने आप बनाता, अपडेट करता और निष्क्रिय करता है। सेटिंग्स › सुरक्षा › SCIM में एक बेयरर टोकन बनाएँ (सिर्फ़ एक बार दिखाया जाता है) और अपने IdP को SCIM बेस URL और टोकन दें। बेस URL https://api.bonafidesign.com/api/auth/scim/v2 है। नया टोकन बनाने पर पिछला टोकन बदल जाता है; उसे रद्द करने पर प्रोविज़निंग बंद हो जाती है।