Organisasjoner, SSO og SCIM

Alt i Bona Fide tilhører en organisasjon (et arbeidsområde): maler, konvolutter, signeringslenker, webhook-endepunkter, API-nøkler og planen. Alle som registrerer seg, får en personlig organisasjon, og folk kan være medlem av flere. API-nøkler handler for den ene organisasjonen som eier dem.

Dashbordøkter handler på medlemmets aktive organisasjon; en integrasjon som kaller API-et med en øktcookie, kan velge en annen av brukerens organisasjoner med headeren x-organization-id.

Roller og tillatelser

Medlemmer har én rolle. Hver rolle er et fast sett med tillatelser, og hvert endepunkt kontrollerer en tillatelse:

Rolle	Tillatelser
`owner`	Alt
`admin`	Alt unntatt `billing:manage`
`sender`	`envelope:read`, `envelope:send`, `envelope:void`, `template:read`
`template_manager`	`template:read`, `template:write`, `template:publish`, `envelope:read`
`auditor`	`envelope:read`, `template:read`, `audit:read`
`billing`	`billing:manage`

Den fullstendige listen over tillatelser er envelope:read, envelope:send, envelope:void, template:read, template:write, template:publish, org:manage, member:manage, sso:manage, apikey:manage, billing:manage og audit:read. API-nøkler har et utvalg av disse som tilgangsomfang.

Medlemmer, invitasjoner, team og organisasjonens merkevareprofil administreres i dashbordet. Organisasjonslogoer lastes opp med POST /v1/organization/logo (PNG, JPEG, SVG eller WebP, opptil 512 kB) fra en dashbordøkt.

Enkeltpålogging

Eiere og administratorer kobler til identitetsleverandøren sin selv under Innstillinger › Sikkerhet › SSO, med SAML 2.0 eller OIDC:

Registrer tilkoblingen med metadataene fra identitetsleverandøren (dashbordet kan hente en URL med SAML-metadata for deg).
Verifiser e-postdomenet ditt med en DNS-TXT-post (tokenet begynner med bona-fide-verify).
Velg innstillingene: just-in-time-klargjøring (den første innloggingen via identitetsleverandøren oppretter medlemmet), standardrollen for nye medlemmer og håndheving: medlemmer med e-post på det verifiserte domenet må logge inn via identitetsleverandøren; eiere beholder en nødinnlogging.
Kjør en testinnlogging fra tilkoblingssiden før du håndhever den.

Tilkoblingens helse (siste innlogging, innlogginger de siste 30 dagene, sertifikatets utløp) og et revisjonsspor over alle endringer i SSO og SCIM (GET /v1/sso/audit) vises på de samme sidene.

Innloggingssiden spør GET /v1/sso/discover?email=… om en adresse bruker bedrifts-SSO; endepunktet er offentlig og har hastighetsbegrensning. Når SSO håndheves, avvises innlogging med passord, e-postkode og magisk lenke for det domenet.

SCIM-katalogsynkronisering

Med SCIM 2.0 oppretter, oppdaterer og deaktiverer identitetsleverandøren medlemmer automatisk. Under Innstillinger › Sikkerhet › SCIM oppretter du et bearer-token (vises én gang) og gir identitetsleverandøren SCIM-basis-URL-en og tokenet. Basis-URL-en er https://api.bonafidesign.com/api/auth/scim/v2. Et nytt token erstatter det forrige; tilbakekaller du det, stopper klargjøringen.