조직, SSO 및 SCIM

Bona Fide의 모든 것은 조직(워크스페이스)에 속합니다. 템플릿, 봉투, 서명 링크, 웹훅 엔드포인트, API 키, 플랜이 모두 해당됩니다. 가입하면 개인 조직이 하나 생기며, 한 사람이 여러 조직의 구성원이 될 수 있습니다. API 키는 그 키를 소유한 하나의 조직을 대신해 작동합니다.

대시보드 세션은 구성원이 현재 선택한 조직에 대해 작동합니다. 세션 쿠키로 API를 호출하는 연동에서는 x-organization-id 헤더로 사용자의 다른 조직을 선택할 수 있습니다.

역할과 권한

구성원에게는 하나의 역할이 있습니다. 각 역할은 고정된 권한 집합이며, 모든 엔드포인트가 권한을 확인합니다.

역할	권한
`owner`	모든 권한
`admin`	`billing:manage`를 제외한 모든 권한
`sender`	`envelope:read`, `envelope:send`, `envelope:void`, `template:read`
`template_manager`	`template:read`, `template:write`, `template:publish`, `envelope:read`
`auditor`	`envelope:read`, `template:read`, `audit:read`
`billing`	`billing:manage`

전체 권한 목록은 envelope:read, envelope:send, envelope:void, template:read, template:write, template:publish, org:manage, member:manage, sso:manage, apikey:manage, billing:manage, audit:read입니다. API 키는 이 중 일부를 스코프로 가집니다.

구성원, 초대, 팀, 조직 브랜딩은 대시보드에서 관리합니다. 조직 로고는 대시보드 세션에서 POST /v1/organization/logo(PNG, JPEG, SVG 또는 WebP, 최대 512 KB)로 업로드합니다.

싱글 사인온

소유자와 관리자는 설정 › 보안 › SSO에서 SAML 2.0 또는 OIDC로 ID 공급자를 직접 연결합니다.

IdP의 메타데이터로 연결을 등록합니다(대시보드에서 SAML 메타데이터 URL을 대신 가져올 수 있습니다).
DNS TXT 레코드로 이메일 도메인을 인증합니다(토큰은 bona-fide-verify로 시작합니다).
설정을 선택합니다: JIT(Just-In-Time) 프로비저닝(IdP 첫 로그인 시 구성원 생성), 새 구성원의 기본 역할, 그리고 강제 적용(인증된 도메인의 이메일을 가진 구성원은 IdP를 통해서만 로그인해야 하며, 소유자는 비상용 로그인을 유지합니다).
강제 적용하기 전에 연결 페이지에서 테스트 로그인을 실행합니다.

연결 상태(마지막 로그인, 최근 30일간 로그인 수, 인증서 만료일)와 모든 SSO 및 SCIM 변경의 감사 추적 (GET /v1/sso/audit)도 같은 페이지에 표시됩니다.

로그인 페이지는 GET /v1/sso/discover?email=…로 해당 주소가 회사 SSO를 사용하는지 확인합니다. 이 엔드포인트는 공개되어 있으며 속도 제한이 적용됩니다. SSO가 강제 적용되면 해당 도메인에서는 비밀번호, 이메일 코드, 매직 링크 로그인이 거부됩니다.

SCIM 디렉터리 동기화

SCIM 2.0을 사용하면 IdP가 구성원을 자동으로 생성, 업데이트, 비활성화합니다. 설정 › 보안 › SCIM에서 Bearer 토큰을 만들고(한 번만 표시됨) IdP에 SCIM 기본 URL과 토큰을 입력하세요. 기본 URL은 https://api.bonafidesign.com/api/auth/scim/v2입니다. 새 토큰을 만들면 이전 토큰이 대체되며, 토큰을 폐기하면 프로비저닝이 중지됩니다.