Organizações, SSO e SCIM

Tudo na Bona Fide pertence a uma organização (um espaço de trabalho): modelos, envelopes, ligações de assinatura, endpoints de webhook, chaves de API e o plano. Cada registo recebe uma organização pessoal, e as pessoas podem ser membros de várias. As chaves de API atuam em nome da única organização a que pertencem.

As sessões do painel atuam sobre a organização ativa do membro; uma integração que chame a API com um cookie de sessão pode escolher outra das organizações do utilizador com o cabeçalho x-organization-id.

Funções e permissões

Cada membro tem uma função. Cada função é um conjunto fixo de permissões, e todos os endpoints verificam uma permissão:

Função	Permissões
`owner`	Tudo
`admin`	Tudo exceto `billing:manage`
`sender`	`envelope:read`, `envelope:send`, `envelope:void`, `template:read`
`template_manager`	`template:read`, `template:write`, `template:publish`, `envelope:read`
`auditor`	`envelope:read`, `template:read`, `audit:read`
`billing`	`billing:manage`

A lista completa de permissões é envelope:read, envelope:send, envelope:void, template:read, template:write, template:publish, org:manage, member:manage, sso:manage, apikey:manage, billing:manage e audit:read. As chaves de API têm um subconjunto destas como âmbitos.

Os membros, os convites, as equipas e a imagem de marca da organização são geridos no painel. Os logótipos da organização são carregados com POST /v1/organization/logo (PNG, JPEG, SVG ou WebP, até 512 KB) a partir de uma sessão do painel.

Início de sessão único

Os proprietários e administradores ligam eles próprios o seu fornecedor de identidade em Definições › Segurança › SSO, com SAML 2.0 ou OIDC:

Registe a ligação com os metadados do seu IdP (o painel pode obter um URL de metadados SAML por si).
Verifique o seu domínio de e-mail com um registo DNS TXT (o token começa por bona-fide-verify).
Escolha as definições: aprovisionamento just-in-time (o primeiro início de sessão através do IdP cria o membro), a função predefinida dos novos membros e a imposição: os membros com um e-mail no domínio verificado têm de iniciar sessão através do IdP; os proprietários mantêm um acesso de emergência.
Faça um início de sessão de teste a partir da página da ligação antes de a impor.

O estado da ligação (último início de sessão, inícios de sessão nos últimos 30 dias, expiração do certificado) e um registo de auditoria de todas as alterações de SSO e SCIM (GET /v1/sso/audit) são mostrados nas mesmas páginas.

A página de início de sessão pergunta a GET /v1/sso/discover?email=… se um endereço utiliza o SSO da empresa; este endpoint é público e tem limite de pedidos. Quando o SSO é imposto, o início de sessão com palavra-passe, código por e-mail e ligação mágica é recusado para esse domínio.

Sincronização de diretório SCIM

Com o SCIM 2.0, o seu IdP cria, atualiza e desativa membros automaticamente. Em Definições › Segurança › SCIM, crie um token de portador (mostrado uma única vez) e indique ao seu IdP o URL base do SCIM e o token. O URL base é https://api.bonafidesign.com/api/auth/scim/v2. Criar um token novo substitui o anterior; revogá-lo interrompe o aprovisionamento.