Tổ chức, SSO và SCIM

Mọi thứ trong Bona Fide đều thuộc về một tổ chức (một không gian làm việc): mẫu, phong bì, liên kết ký, endpoint webhook, khóa API và gói dịch vụ. Mỗi lượt đăng ký đều có một tổ chức cá nhân, và một người có thể là thành viên của nhiều tổ chức. Khóa API hoạt động thay mặt cho đúng một tổ chức sở hữu nó.

Phiên bảng điều khiển thao tác trên tổ chức đang hoạt động của thành viên; một tích hợp gọi API bằng cookie phiên có thể chọn một tổ chức khác của người dùng bằng header x-organization-id.

Vai trò và quyền

Mỗi thành viên có một vai trò. Mỗi vai trò là một tập quyền cố định, và mọi endpoint đều kiểm tra một quyền:

Vai trò	Quyền
`owner`	Mọi thứ
`admin`	Mọi thứ trừ `billing:manage`
`sender`	`envelope:read`, `envelope:send`, `envelope:void`, `template:read`
`template_manager`	`template:read`, `template:write`, `template:publish`, `envelope:read`
`auditor`	`envelope:read`, `template:read`, `audit:read`
`billing`	`billing:manage`

Danh sách đầy đủ các quyền là envelope:read, envelope:send, envelope:void, template:read, template:write, template:publish, org:manage, member:manage, sso:manage, apikey:manage, billing:manage và audit:read. Khóa API mang một tập con của các quyền này làm phạm vi quyền.

Thành viên, lời mời, nhóm và nhận diện thương hiệu của tổ chức được quản lý trong bảng điều khiển. Logo tổ chức được tải lên bằng POST /v1/organization/logo (PNG, JPEG, SVG hoặc WebP, tối đa 512 KB) từ một phiên bảng điều khiển.

Đăng nhập một lần

Chủ sở hữu và quản trị viên tự kết nối nhà cung cấp danh tính của mình tại Settings › Security › SSO, bằng SAML 2.0 hoặc OIDC:

Đăng ký kết nối với metadata của IdP (bảng điều khiển có thể tự lấy metadata từ URL SAML cho bạn).
Xác minh tên miền email của bạn bằng bản ghi DNS TXT (token bắt đầu bằng bona-fide-verify).
Chọn các cài đặt: cấp phát just-in-time (lần đăng nhập IdP đầu tiên sẽ tạo thành viên), vai trò mặc định của thành viên mới, và bắt buộc: thành viên có email thuộc tên miền đã xác minh phải đăng nhập qua IdP; chủ sở hữu vẫn giữ cách đăng nhập khẩn cấp.
Chạy đăng nhập thử từ trang kết nối trước khi bật bắt buộc.

Tình trạng kết nối (lần đăng nhập gần nhất, số lần đăng nhập trong 30 ngày qua, thời hạn chứng chỉ) và nhật ký kiểm tra mọi thay đổi SSO và SCIM (GET /v1/sso/audit) được hiển thị trên cùng các trang đó.

Trang đăng nhập gọi GET /v1/sso/discover?email=… để hỏi xem một địa chỉ có dùng SSO của công ty hay không; endpoint này công khai và bị giới hạn tần suất. Khi SSO được bắt buộc, việc đăng nhập bằng mật khẩu, mã qua email và magic link đều bị từ chối với tên miền đó.

Đồng bộ thư mục SCIM

Với SCIM 2.0, IdP của bạn tự động tạo, cập nhật và vô hiệu hóa thành viên. Tại Settings › Security › SCIM, hãy tạo một bearer token (chỉ hiển thị một lần) và cung cấp cho IdP URL gốc SCIM cùng token đó. URL gốc là https://api.bonafidesign.com/api/auth/scim/v2. Tạo token mới sẽ thay thế token trước đó; thu hồi token sẽ dừng việc cấp phát.