Organisations B2B Multi-Tenant

Le système Organizations active la multi-tenancy B2B dans Auris. Chaque organisation représente une entité cliente — une entreprise, une équipe ou tout regroupement logique — qui possède un ensemble d’utilisateurs membres, a ses propres assignations de rôles et peut configurer son propre fournisseur SSO enterprise. Les organisations sont indépendantes les unes des autres : le rôle d’un utilisateur dans l’Organisation A n’a aucune influence sur son accès dans l’Organisation B.

Ce modèle est conçu pour les produits SaaS qui vendent aux entreprises : ton seul tenant Auris héberge plusieurs organisations clientes, chacune avec une gestion des membres et un contrôle d’accès isolés.

Concepts de Base

Organisation : Une entité avec un nom et un slug unique. Les organisations ont des métadonnées, un nom d’affichage et des paramètres. Elles appartiennent toujours à exactement un utilisateur (l’OWNER).

Membre de l’Organisation : Un utilisateur qui appartient à une organisation avec l’un des quatre rôles : OWNER, ADMIN, MEMBER ou VIEWER.

Invitation : Une invitation basée sur un token avec expiration temporelle qui permet à un utilisateur (ou une adresse e-mail pas encore enregistrée) de rejoindre une organisation avec un rôle spécifié.

SSO par Organisation : Chaque organisation peut configurer son propre fournisseur d’identité SAML 2.0 ou OIDC. Quand un utilisateur se connecte avec une e-mail correspondant à un domaine vérifié, Auris le redirige automatiquement vers l’IdP de son organisation. Voir Enterprise SSO.

Création des Organisations

Les organisations peuvent être créées par tout utilisateur avec la permission appropriée, ou programmatiquement via le SDK de Management.

Corps de la requête :

{
  "name": "Acme Corporation",
  "displayName": "Acme Corp",
  "slug": "acme-corp",
  "metadata": {
    "plan": "enterprise",
    "contractId": "CNT-2025-0042"
  }
}

Référence des champs :

Rôles des Membres

Les organisations utilisent un système de rôles hiérarchiques à quatre niveaux. Les rôles plus élevés héritent de toutes les capacités des rôles inférieurs.

Gestion des Membres

Réponse :

{
  "data": [
    {
      "userId": "usr_01HX...",
      "email": "[email protected]",
      "firstName": "Alice",
      "lastName": "Martin",
      "role": "ADMIN",
      "joinedAt": "2025-01-15T10:00:00Z"
    }
  ],
  "pagination": { "page": 1, "limit": 20, "total": 12, "totalPages": 1 }
}

{
  "userId": "usr_01HX...",
  "role": "MEMBER"
}

Invitations

Les invitations permettent d’ajouter des utilisateurs à une organisation via e-mail, même s’ils n’ont pas encore de compte Auris. Le flux d’invitation :

1. Un ADMIN ou OWNER envoie une invitation à une adresse e-mail.
2. Auris génère un token unique avec expiration et envoie un e-mail avec un lien d’acceptation.
3. L’invité clique le lien. S’il a déjà un compte Auris, il est ajouté immédiatement à l’organisation. Sinon, il est invité à créer un compte, après quoi l’invitation est acceptée.
4. Les invitations expirent après 7 jours si elles ne sont pas acceptées.

{
  "email": "[email protected]",
  "role": "MEMBER",
  "message": "Tu as été invité à rejoindre Acme Corp sur notre plateforme."
}

États des invitations :

Utilisation avec le SDK

import { useOrganization } from '@auris/react'
 
function OrgDashboard() {
  // Retourne le contexte de l'organisation depuis la session de l'utilisateur authentifié.
  // L'organisation est dérivée des claims du token d'accès.
  const { organization, members, isLoading } = useOrganization()
 
  if (isLoading) return <div>Chargement...</div>
  if (!organization) return <div>Aucune organisation</div>
 
  return (
    <div>
      <h1>{organization.displayName}</h1>
      <p>Membres : {members.length}</p>
      <ul>
        {members.map((member) => (
          <li key={member.userId}>
            {member.email} — {member.role}
          </li>
        ))}
      </ul>
    </div>
  )
}

import { AurisClient } from '@auris/js'
 
const auris = new AurisClient({
  domain: 'https://auth.votreapp.com',
})
 
const mgmt = auris.createManagementClient({
  clientId: process.env.AURIS_MGMT_CLIENT_ID,
  clientSecret: process.env.AURIS_MGMT_CLIENT_SECRET,
})
 
// Liste toutes les organisations
const { data: orgs } = await mgmt.organizations.list()
 
// Obtient une organisation spécifique avec ses membres
const org = await mgmt.organizations.get('org_01HX...')
const { data: members } = await mgmt.organizations.listMembers('org_01HX...')
 
// Crée une organisation
const newOrg = await mgmt.organizations.create({
  name: 'Nouveau Client SARL',
  slug: 'nouveau-client',
})
 
// Invite un utilisateur
await mgmt.organizations.createInvitation('org_01HX...', {
  email: '[email protected]',
  role: 'ADMIN',
})

import { createServerManagementClient } from '@auris/nextjs/server'
 
// Dans un Route Handler
export async function GET(
  request: Request,
  { params }: { params: { orgId: string } }
) {
  const mgmt = createServerManagementClient()
  const org = await mgmt.organizations.get(params.orgId)
  const { data: members } = await mgmt.organizations.listMembers(params.orgId)
 
  return Response.json({ org, members })
}

Métadonnées de l’Organisation

Comme les utilisateurs, les organisations supportent des métadonnées JSON arbitraires. Utilise-les pour stocker des données spécifiques à l’application avec l’enregistrement de l’organisation sans migrations de schéma.

{
  "metadata": {
    "plan": "enterprise",
    "contractId": "CNT-2025-0042",
    "maxSeats": 250,
    "billingEmail": "[email protected]",
    "features": ["advanced-analytics", "custom-domains", "audit-export"]
  }
}

Les métadonnées sont retournées dans chaque réponse API d’organisation et accessibles dans le SDK de Management.

Cas d’Usage

Multi-tenancy SaaS : Chacun de tes clients est une organisation. Ton application lit l’organisation de l’utilisateur depuis son JWT ou sa session et limite toutes les requêtes aux données de cette organisation. Les nouveaux clients sont onboardés en créant une organisation et en invitant leur administrateur.

Onboarding clients enterprise : Crée l’organisation, ajoute l’administrateur IT du client comme OWNER et laisse-le gérer ses propres utilisateurs et configurer son propre SSO d’entreprise. Ton équipe maintient la visibilité au niveau tenant via la Console Admin.

Solutions white-label : Chaque organisation cliente peut configurer son propre SSO, la vérification de domaine et le nom d’affichage. La page Hosted Login s’adapte au branding par organisation quand l’e-mail d’un utilisateur correspond à un domaine vérifié.

Équipes de produit internes : Sépare les lignes de produits ou business units en organisations distinctes pour une gestion isolée des rôles, sans maintenir des instances tenant Auris séparées.

Permissions Requises

Pages Associées

• Enterprise SSO par Organisation — Configurer SSO SAML 2.0 ou OIDC pour des organisations individuelles
• Provisioning SCIM 2.0 — Automatiser la synchronisation des membres depuis un IdP externe
• Rôles et Permissions — RBAC au niveau tenant qui complète les rôles d’organisation
• Console : Organisations — Guide complet de la Console