Organizacje, SSO i SCIM

Wszystko w Bona Fide należy do organizacji (przestrzeni roboczej): szablony, koperty, linki do podpisu, punkty końcowe webhooków, klucze API i plan. Każda rejestracja tworzy osobistą organizację, a jedna osoba może być członkiem kilku. Klucze API działają w imieniu tej jednej organizacji, do której należą.

Sesje panelu działają w aktywnej organizacji członka; integracja, która wywołuje API z plikiem cookie sesji, może wybrać inną organizację użytkownika za pomocą nagłówka x-organization-id.

Role i uprawnienia

Każdy członek ma jedną rolę. Każda rola to stały zestaw uprawnień, a każdy punkt końcowy sprawdza określone uprawnienie:

Rola	Uprawnienia
`owner`	Wszystkie
`admin`	Wszystkie oprócz `billing:manage`
`sender`	`envelope:read`, `envelope:send`, `envelope:void`, `template:read`
`template_manager`	`template:read`, `template:write`, `template:publish`, `envelope:read`
`auditor`	`envelope:read`, `template:read`, `audit:read`
`billing`	`billing:manage`

Pełna lista uprawnień to envelope:read, envelope:send, envelope:void, template:read, template:write, template:publish, org:manage, member:manage, sso:manage, apikey:manage, billing:manage i audit:read. Klucze API mają podzbiór tych uprawnień jako zakresy.

Członkami, zaproszeniami, zespołami i brandingiem organizacji zarządza się w panelu. Logo organizacji przesyła się za pomocą POST /v1/organization/logo (PNG, JPEG, SVG lub WebP, do 512 KB) z sesji panelu.

Logowanie jednokrotne

Właściciele i administratorzy samodzielnie łączą swojego dostawcę tożsamości w sekcji Ustawienia › Bezpieczeństwo › SSO, korzystając z SAML 2.0 lub OIDC:

Zarejestruj połączenie z metadanymi swojego IdP (panel może pobrać za Ciebie adres URL metadanych SAML).
Zweryfikuj swoją domenę e-mail rekordem DNS TXT (token zaczyna się od bona-fide-verify).
Wybierz ustawienia: udostępnianie just-in-time (pierwsze logowanie przez IdP tworzy członka), domyślną rolę nowych członków oraz wymuszanie: członkowie z adresem e-mail w zweryfikowanej domenie muszą logować się przez IdP; właściciele zachowują awaryjne logowanie.
Przed włączeniem wymuszania wykonaj logowanie testowe ze strony połączenia.

Stan połączenia (ostatnie logowanie, logowania w ciągu ostatnich 30 dni, wygaśnięcie certyfikatu) oraz ścieżka audytu każdej zmiany SSO i SCIM (GET /v1/sso/audit) są widoczne na tych samych stronach.

Strona logowania pyta GET /v1/sso/discover?email=…, czy dany adres korzysta z firmowego SSO; punkt końcowy jest publiczny i objęty limitem żądań. Gdy SSO jest wymuszone, logowanie hasłem, kodem e-mail i magicznym linkiem jest dla tej domeny odrzucane.

Synchronizacja katalogu SCIM

Dzięki SCIM 2.0 Twój IdP automatycznie tworzy, aktualizuje i dezaktywuje członków. W sekcji Ustawienia › Bezpieczeństwo › SCIM utwórz token bearer (wyświetlany tylko raz) i przekaż swojemu IdP bazowy adres URL SCIM oraz token. Bazowy adres URL to https://api.bonafidesign.com/api/auth/scim/v2. Utworzenie nowego tokenu zastępuje poprzedni; odwołanie go zatrzymuje udostępnianie.