Organisations

Organisations

Forfait Affaires. Les utilisateurs peuvent appartenir à des organisations, comme les entreprises qui utilisent votre application B2B. Une organisation a un identifiant (org_…), un nom et un identifiant court unique dans l’application. Gérez les organisations dans le tableau de bord, ou avec une clé d’API qui a la permission auth_organizations.

Rôles

Chaque membre a exactement un rôle par organisation : admin, member ou un nom de rôle que vous définissez. Les rôles sont des noms, pas des ensembles de permissions : votre application décide de ce que chaque rôle peut faire. Un rôle, comme une organisation, peut exiger la vérification en deux étapes.

Invitations

Invitez des personnes par courriel ou par téléphone, au besoin dans une organisation avec un rôle. Une invitation ne sert qu’une fois, expire après 7 jours et est liée au courriel ou au téléphone invité : l’accepter exige de se connecter avec cet identifiant. Révoquez-la en tout temps avant qu’elle soit acceptée. Les invitations permettent de rejoindre une application sur invitation seulement.

Choisir l’organisation

Passez organization avec l’identifiant ou le slug d’une organisation dans la requête d’autorisation pour connecter l’utilisateur à cette organisation :

https://login.acme.ca/authorize?client_id=hka_xxxxxxxxxxxx
  &response_type=code&scope=openid%20email
  &redirect_uri=https%3A%2F%2Fapp.acme.ca%2Fauth%2Fcallback
  &code_challenge=…&code_challenge_method=S256&state=…&nonce=…
  &organization=org_clxxxorgxxxxxxxxxxxxxxx

Sans ce paramètre, un utilisateur membre de plusieurs organisations en choisit une après la connexion, la dernière utilisée étant mise en évidence. Un utilisateur membre d’une seule organisation saute cette étape.

Revendications d’organisation

Les jetons d’identité et d’accès portent l’organisation à laquelle l’utilisateur s’est connecté : org_id, org_slug et org_role, tels qu’au moment de l’émission. Retirer quelqu’un d’une organisation prend effet à son prochain renouvellement, d’ici 10 minutes : le renouvellement échoue avec invalid_grant et votre application met fin à la session. Un webhook membership.deleted est envoyé immédiatement, pour que vous puissiez agir plus tôt.

Qui peut s’inscrire

Sur tous les forfaits, chaque application choisit qui peut s’inscrire avec sign_up_mode dans sa politique de connexion :

• open (par défaut) : tout le monde peut s’inscrire.
• invite_only : seulement les personnes invitées.
• domains : seulement les adresses courriel des domaines de sign_up_domains.

Les utilisateurs existants peuvent toujours se connecter. Une personne qui ne peut pas s’inscrire voit la même page que tout le monde, et rien n’est envoyé.