Organisasi, SSO & SCIM

Semua yang ada di Bona Fide dimiliki oleh sebuah organisasi (workspace): template, amplop, tautan penandatanganan, endpoint webhook, kunci API, dan paket. Setiap pendaftaran mendapat organisasi pribadi, dan seseorang dapat menjadi anggota beberapa organisasi. Kunci API bertindak atas nama satu organisasi yang memilikinya.

Sesi dasbor bertindak pada organisasi aktif anggota; integrasi yang memanggil API dengan cookie sesi dapat memilih organisasi lain milik pengguna tersebut dengan header x-organization-id.

Peran dan izin

Setiap anggota memiliki satu peran. Setiap peran adalah kumpulan izin yang tetap, dan setiap endpoint memeriksa sebuah izin:

Peran	Izin
`owner`	Semuanya
`admin`	Semuanya kecuali `billing:manage`
`sender`	`envelope:read`, `envelope:send`, `envelope:void`, `template:read`
`template_manager`	`template:read`, `template:write`, `template:publish`, `envelope:read`
`auditor`	`envelope:read`, `template:read`, `audit:read`
`billing`	`billing:manage`

Daftar lengkap izin adalah envelope:read, envelope:send, envelope:void, template:read, template:write, template:publish, org:manage, member:manage, sso:manage, apikey:manage, billing:manage, dan audit:read. Kunci API membawa sebagian dari izin ini sebagai scope.

Anggota, undangan, tim, dan branding organisasi dikelola di dasbor. Logo organisasi diunggah dengan POST /v1/organization/logo (PNG, JPEG, SVG, atau WebP, hingga 512 KB) dari sesi dasbor.

Single sign-on

Pemilik dan admin menghubungkan penyedia identitas mereka sendiri di Pengaturan › Keamanan › SSO, dengan SAML 2.0 atau OIDC:

Daftarkan koneksi dengan metadata IdP Anda (dasbor dapat mengambil URL metadata SAML untuk Anda).
Verifikasi domain email Anda dengan record DNS TXT (tokennya diawali bona-fide-verify).
Pilih pengaturannya: penyediaan just-in-time (login IdP pertama membuat anggota), peran default anggota baru, dan pewajiban: anggota dengan email di domain yang terverifikasi harus masuk melalui IdP; pemilik tetap memiliki login darurat.
Jalankan login uji dari halaman koneksi sebelum mewajibkannya.

Kesehatan koneksi (login terakhir, login dalam 30 hari terakhir, masa berlaku sertifikat) dan jejak audit setiap perubahan SSO dan SCIM (GET /v1/sso/audit) ditampilkan di halaman yang sama.

Halaman masuk menanyakan GET /v1/sso/discover?email=… apakah sebuah alamat menggunakan SSO perusahaan; endpoint ini publik dan dibatasi lajunya. Saat SSO diwajibkan, masuk dengan kata sandi, kode email, dan magic link ditolak untuk domain tersebut.

Sinkronisasi direktori SCIM

Dengan SCIM 2.0, IdP Anda membuat, memperbarui, dan menonaktifkan anggota secara otomatis. Di Pengaturan › Keamanan › SCIM, buat bearer token (ditampilkan sekali) lalu berikan URL dasar SCIM dan token tersebut ke IdP Anda. URL dasarnya adalah https://api.bonafidesign.com/api/auth/scim/v2. Membuat token baru menggantikan token sebelumnya; mencabutnya menghentikan penyediaan.