Организации, SSO и SCIM

Всё в Bona Fide принадлежит организации (рабочему пространству): шаблоны, конверты, ссылки для подписания, конечные точки вебхуков, ключи API и тариф. При каждой регистрации создаётся личная организация, а один человек может состоять в нескольких. Ключи API действуют от имени той единственной организации, которой они принадлежат.

Сессии панели управления действуют в активной организации участника; интеграция, которая вызывает API с cookie сессии, может выбрать другую организацию пользователя с помощью заголовка x-organization-id.

Роли и разрешения

У каждого участника одна роль. Каждая роль — это фиксированный набор разрешений, и каждая конечная точка проверяет определённое разрешение:

Роль	Разрешения
`owner`	Все
`admin`	Все, кроме `billing:manage`
`sender`	`envelope:read`, `envelope:send`, `envelope:void`, `template:read`
`template_manager`	`template:read`, `template:write`, `template:publish`, `envelope:read`
`auditor`	`envelope:read`, `template:read`, `audit:read`
`billing`	`billing:manage`

Полный список разрешений: envelope:read, envelope:send, envelope:void, template:read, template:write, template:publish, org:manage, member:manage, sso:manage, apikey:manage, billing:manage и audit:read. Ключи API получают их подмножество в виде областей доступа.

Участниками, приглашениями, командами и фирменным оформлением организации управляют в панели управления. Логотип организации загружается через POST /v1/organization/logo (PNG, JPEG, SVG или WebP, до 512 КБ) из сессии панели управления.

Единый вход

Владельцы и администраторы сами подключают своего поставщика удостоверений в разделе Настройки › Безопасность › SSO по протоколу SAML 2.0 или OIDC:

Зарегистрируйте подключение с метаданными вашего IdP (панель управления может сама загрузить метаданные SAML по URL).
Подтвердите свой почтовый домен DNS-записью TXT (токен начинается с bona-fide-verify).
Выберите настройки: JIT-подготовка (первый вход через IdP создаёт участника), роль по умолчанию для новых участников и обязательный вход: участники с адресом в подтверждённом домене должны входить через IdP; у владельцев остаётся аварийный вход.
Перед включением обязательного входа выполните тестовый вход со страницы подключения.

Состояние подключения (последний вход, число входов за последние 30 дней, срок действия сертификата) и журнал аудита всех изменений SSO и SCIM (GET /v1/sso/audit) показываются на тех же страницах.

Страница входа запрашивает GET /v1/sso/discover?email=…, чтобы узнать, использует ли адрес корпоративный SSO; эта конечная точка публичная и имеет ограничение частоты запросов. Если SSO обязателен, вход по паролю, коду по почте и волшебной ссылке для этого домена отклоняется.

Синхронизация каталога SCIM

С SCIM 2.0 ваш IdP автоматически создаёт, обновляет и деактивирует участников. В разделе Настройки › Безопасность › SCIM создайте токен bearer (показывается один раз) и передайте вашему IdP базовый URL SCIM и токен. Базовый URL: https://api.bonafidesign.com/api/auth/scim/v2. Создание нового токена заменяет предыдущий; отзыв токена останавливает подготовку.