Hoppa till innehåll
bona fidedocs

Organisationer, SSO och SCIM

Allt i Bona Fide tillhör en organisation (en arbetsyta): mallar, kuvert, signeringslänkar, webhook-slutpunkter, API-nycklar och planen. Varje registrering får en personlig organisation, och användare kan vara medlemmar i flera. API-nycklar agerar för den enda organisation som äger dem.

Sessioner i instrumentpanelen agerar på medlemmens aktiva organisation; en integration som anropar API:et med en sessionscookie kan välja en annan av användarens organisationer med rubriken x-organization-id.

Roller och behörigheter

Section titled “Roller och behörigheter”

Medlemmar har en roll. Varje roll är en fast uppsättning behörigheter, och varje slutpunkt kontrollerar en behörighet:

Roll Behörigheter
owner Allt
admin Allt utom billing:manage
sender envelope:read, envelope:send, envelope:void, template:read
template_manager template:read, template:write, template:publish, envelope:read
auditor envelope:read, template:read, audit:read
billing billing:manage

Den fullständiga listan över behörigheter är envelope:read, envelope:send, envelope:void, template:read, template:write, template:publish, org:manage, member:manage, sso:manage, apikey:manage, billing:manage och audit:read. API-nycklar har en delmängd av dessa som behörighetsomfång.

Medlemmar, inbjudningar, team och organisationens varumärke hanteras i instrumentpanelen. Organisationens logotyp laddas upp med POST /v1/organization/logo (PNG, JPEG, SVG eller WebP, upp till 512 kB) från en session i instrumentpanelen.

Enkel inloggning

Section titled “Enkel inloggning”

Ägare och administratörer ansluter själva sin identitetsleverantör under Inställningar › Säkerhet › SSO, med SAML 2.0 eller OIDC:

  1. Registrera anslutningen med din IdP:s metadata (instrumentpanelen kan hämta en URL för SAML-metadata åt dig).
  2. Verifiera din e-postdomän med en DNS-post av typen TXT (token börjar med bona-fide-verify).
  3. Välj inställningarna: just-in-time-etablering (den första inloggningen via IdP:n skapar medlemmen), standardrollen för nya medlemmar och tvingande SSO: medlemmar med en e-postadress i den verifierade domänen måste logga in via IdP:n; ägare behåller en nödinloggning.
  4. Kör en testinloggning från anslutningens sida innan du gör den tvingande.

Anslutningens hälsa (senaste inloggning, inloggningar de senaste 30 dagarna, certifikatets utgång) och en granskningslogg över varje ändring av SSO och SCIM (GET /v1/sso/audit) visas på samma sidor.

Inloggningssidan frågar GET /v1/sso/discover?email=… om en adress använder företags-SSO; anropet är offentligt och hastighetsbegränsat. När SSO är tvingande nekas inloggning med lösenord, e-postkod och magisk länk för den domänen.

Katalogsynkronisering med SCIM

Section titled “Katalogsynkronisering med SCIM”

Med SCIM 2.0 skapar, uppdaterar och inaktiverar din IdP medlemmar automatiskt. Under Inställningar › Säkerhet › SCIM skapar du en bearer-token (visas en gång) och ger din IdP bas-URL:en för SCIM och token. Bas-URL:en är https://api.bonafidesign.com/api/auth/scim/v2. En ny token ersätter den föregående; om du återkallar den upphör etableringen.