組織、SSO 與 SCIM

Bona Fide 中的一切都屬於某個組織（即工作區）：範本、信封、簽署連結、Webhook 端點、API 金鑰以及方案。每次註冊都會取得一個個人組織，一個人也可以同時是多個組織的成員。API 金鑰會代表擁有它的那一個組織執行操作。

主控台工作階段會作用於成員目前使用中的組織；以工作階段 Cookie 呼叫 API 的整合，可以透過 x-organization-id 標頭改用該使用者所屬的其他組織。

角色與權限

每位成員都有一個角色。每個角色對應一組固定的權限，每個端點都會檢查某項權限：

角色	權限
`owner`	所有權限
`admin`	除 `billing:manage` 以外的所有權限
`sender`	`envelope:read`、`envelope:send`、`envelope:void`、`template:read`
`template_manager`	`template:read`、`template:write`、`template:publish`、`envelope:read`
`auditor`	`envelope:read`、`template:read`、`audit:read`
`billing`	`billing:manage`

完整的權限清單為 envelope:read、envelope:send、envelope:void、template:read、template:write、template:publish、org:manage、member:manage、sso:manage、apikey:manage、billing:manage 和 audit:read。API 金鑰會以權限範圍的形式持有其中一部分。

成員、邀請、團隊和組織品牌都在主控台中管理。組織標誌須透過主控台工作階段呼叫 POST /v1/organization/logo 上傳（PNG、JPEG、SVG 或 WebP，最大 512 KB）。

單一登入

擁有者和管理員可以在設定 › 安全性 › SSO 中自行連接其身分識別提供者（IdP），支援 SAML 2.0 或 OIDC：

使用 IdP 的中繼資料註冊連線（主控台可以替您擷取 SAML 中繼資料 URL）。
透過 DNS TXT 記錄驗證您的電子郵件網域（權杖以 bona-fide-verify 開頭）。
選擇設定：即時佈建（首次透過 IdP 登入時建立成員）、新成員的預設角色，以及強制執行：電子郵件屬於已驗證網域的成員必須透過 IdP 登入；擁有者保留緊急登入方式。
強制執行之前，請先在連線頁面上執行一次測試登入。

同一頁面也會顯示連線健康狀態（上次登入、過去 30 天的登入次數、憑證到期時間），以及每項 SSO 與 SCIM 變更的稽核軌跡（GET /v1/sso/audit）。

登入頁面會呼叫 GET /v1/sso/discover?email=…，判斷某個地址是否使用公司 SSO；此端點為公開端點，並有速率限制。強制執行 SSO 後，該網域將無法使用密碼、電子郵件驗證碼和魔術連結登入。

SCIM 目錄同步

透過 SCIM 2.0，您的 IdP 會自動建立、更新和停用成員。請在設定 › 安全性 › SCIM 中建立持有人權杖（只會顯示一次），然後將 SCIM 基礎 URL 和該權杖提供給您的 IdP。基礎 URL 為 https://api.bonafidesign.com/api/auth/scim/v2。建立新權杖會取代先前的權杖；撤銷權杖則會停止佈建。