組織、SSO、SCIM

Bona Fide のすべてのリソースは組織（ワークスペース）に属します。テンプレート、エンベロープ、署名リンク、Webhook エンドポイント、API キー、プランが含まれます。新規登録すると個人用の組織が作成され、1 人が複数の組織のメンバーになることもできます。 API キーは、そのキーを所有する 1 つの組織の代理として動作します。

ダッシュボードセッションは、メンバーが現在選択している組織に対して動作します。セッション Cookie を使って API を呼び出す連携では、 x-organization-id ヘッダーを使ってユーザーの別の組織を選択できます。

ロールと権限

メンバーには 1 つのロールが割り当てられます。各ロールは固定の権限セットで、すべてのエンドポイントが権限をチェックします。

ロール	権限
`owner`	すべて
`admin`	`billing:manage` 以外のすべて
`sender`	`envelope:read`、`envelope:send`、`envelope:void`、`template:read`
`template_manager`	`template:read`、`template:write`、`template:publish`、`envelope:read`
`auditor`	`envelope:read`、`template:read`、`audit:read`
`billing`	`billing:manage`

権限の一覧は envelope:read、envelope:send、envelope:void、template:read、 template:write、template:publish、org:manage、member:manage、sso:manage、apikey:manage、 billing:manage、audit:read です。API キーは、これらのサブセットをスコープとして持ちます。

メンバー、招待、チーム、組織のブランディングはダッシュボードで管理します。組織のロゴは、ダッシュボードセッションから POST /v1/organization/logo（PNG、JPEG、SVG、WebP、最大 512 KB）でアップロードします。

シングルサインオン

オーナーと管理者は、設定 › セキュリティ › SSO で、 SAML 2.0 または OIDC を使って自分で ID プロバイダーを接続できます。

IdP のメタデータを使って接続を登録します（SAML メタデータの URL はダッシュボードで取得できます）。
DNS の TXT レコードでメールドメインを確認します（トークンは bona-fide-verify で始まります）。
設定を選択します：ジャストインタイムプロビジョニング（IdP での初回ログイン時にメンバーを作成）、新しいメンバーのデフォルトのロール、および強制（確認済みドメインのメールアドレスを持つメンバーは IdP 経由でログインする必要があります。オーナーは緊急時のログイン手段を保持します）。
強制する前に、接続ページからテストログインを実行します。

接続の状態（最終ログイン、過去 30 日間のログイン数、証明書の有効期限）と、SSO および SCIM のすべての変更の監査証跡（GET /v1/sso/audit）も同じページに表示されます。

ログインページは GET /v1/sso/discover?email=… を呼び出して、そのアドレスが会社の SSO を使用しているかを確認します。このエンドポイントは公開されており、レート制限があります。SSO が強制されている場合、そのドメインではパスワード、メールのコード、マジックリンクによるログインが拒否されます。

SCIM によるディレクトリ同期

SCIM 2.0 を使うと、IdP がメンバーの作成、更新、無効化を自動的に行います。設定 › セキュリティ › SCIM で Bearer トークンを作成し（表示は一度だけ）、 SCIM のベース URL とトークンを IdP に設定します。ベース URL は https://api.bonafidesign.com/api/auth/scim/v2 です。新しいトークンを作成すると以前のトークンは置き換えられます。トークンを失効させるとプロビジョニングは停止します。