Salta ai contenuti
bona fidedocs

Organizzazioni, SSO e SCIM

In Bona Fide tutto appartiene a un’organizzazione (un workspace): modelli, buste, link di firma, endpoint webhook, chiavi API e il piano. Ogni registrazione riceve un’organizzazione personale e le persone possono essere membri di più organizzazioni. Le chiavi API agiscono per l’unica organizzazione a cui appartengono.

Le sessioni della dashboard agiscono sull’organizzazione attiva del membro; un’integrazione che chiama l’API con un cookie di sessione può scegliere un’altra delle organizzazioni dell’utente con l’header x-organization-id.

Ruoli e autorizzazioni

Sezione intitolata “Ruoli e autorizzazioni”

Ogni membro ha un solo ruolo. Ogni ruolo è un insieme fisso di autorizzazioni e ogni endpoint verifica un’autorizzazione:

Ruolo Autorizzazioni
owner Tutto
admin Tutto tranne billing:manage
sender envelope:read, envelope:send, envelope:void, template:read
template_manager template:read, template:write, template:publish, envelope:read
auditor envelope:read, template:read, audit:read
billing billing:manage

L’elenco completo delle autorizzazioni è envelope:read, envelope:send, envelope:void, template:read, template:write, template:publish, org:manage, member:manage, sso:manage, apikey:manage, billing:manage e audit:read. Le chiavi API ne hanno un sottoinsieme come ambiti.

Membri, inviti, team e branding dell’organizzazione si gestiscono nella dashboard. I loghi dell’organizzazione si caricano con POST /v1/organization/logo (PNG, JPEG, SVG o WebP, fino a 512 KB) da una sessione della dashboard.

Single sign-on

Sezione intitolata “Single sign-on”

Proprietari e amministratori collegano autonomamente il proprio identity provider in Impostazioni › Sicurezza › SSO, con SAML 2.0 oppure OIDC:

  1. Registri la connessione con i metadati del Suo IdP (la dashboard può recuperare per Lei un URL di metadati SAML).
  2. Verifichi il Suo dominio e-mail con un record DNS TXT (il token inizia con bona-fide-verify).
  3. Scelga le impostazioni: provisioning just-in-time (il primo accesso tramite l’IdP crea il membro), il ruolo predefinito dei nuovi membri e l’imposizione: i membri con un indirizzo e-mail del dominio verificato devono accedere tramite l’IdP; i proprietari mantengono un accesso di emergenza.
  4. Esegua un accesso di prova dalla pagina della connessione prima di imporla.

Lo stato della connessione (ultimo accesso, accessi negli ultimi 30 giorni, scadenza del certificato) e un audit trail di ogni modifica a SSO e SCIM (GET /v1/sso/audit) sono mostrati nelle stesse pagine.

La pagina di accesso interroga GET /v1/sso/discover?email=… per sapere se un indirizzo usa l’SSO aziendale; l’endpoint è pubblico e soggetto a limiti di frequenza. Quando l’SSO è imposto, per quel dominio vengono rifiutati l’accesso con password, con codice via e-mail e con magic link.

Sincronizzazione della directory SCIM

Sezione intitolata “Sincronizzazione della directory SCIM”

Con SCIM 2.0 il Suo IdP crea, aggiorna e disattiva automaticamente i membri. In Impostazioni › Sicurezza › SCIM crei un bearer token (mostrato una sola volta) e fornisca al Suo IdP l’URL di base SCIM e il token. L’URL di base è https://api.bonafidesign.com/api/auth/scim/v2. La creazione di un nuovo token sostituisce quello precedente; la revoca interrompe il provisioning.