SAML SSO

Med SSO kan du strømlinjeforme brukeradministrasjon på tvers av systemer, og fjerne behovet for at sluttbrukere må huske og administrere flere passord ved å la dem logge på via ett enkelt tilgangspunkt og få en sømløs opplevelse på tvers av flere applikasjoner.

For å bruke SSO med Notion:

• Arbeidsområdet ditt må være på et Business- eller Enterprise-abonnement.

• Identitetsleverandøren din (IdP) må støtte SAML 2.0-standarden. Se instruksjoner for oppsett av identitetsleverandør for spesifikke apper her →

• En eier av arbeidsområdet må konfigurere SAML SSO for Notion-arbeidsområdet.

• Minst ett domene må verifiseres av en eier av arbeidsområdet. Lær mer om domeneverifisering →

For å sette opp SAML SSO for et Business-arbeidsområde, kan en eier av arbeidsområdet:

1. Gå til Innstillinger → Generelt.

2. I delen Godkjente e-postdomener, fjern alle e-postdomener.

3. Velg fanen Identitet i Innstillinger.

   

4. Bekreft ett eller flere domener. Se instruksjoner for domeneverifisering her →

5. Slå på Aktiver SAML SSO, så vil modalvinduet for SAML SSO-konfigurasjon automatisk vises og be deg om å fullføre oppsettet.

6. Modalvinduet for SAML SSO-konfigurasjon er delt inn i to deler:

   • Assertion Consumer Service (ACS) URL må legges inn i portalen for identitetsleverandøren (IdP) din.

   • Identitetsleverandørdetaljer er et felt der du må oppgi enten en IdP-URL eller IdP-metadata-XML.

7. Velg hvordan folk logger inn og om nye kontoer skal opprettes for dem, og velg deretter Lagre og aktiver. Du kan ta alle disse valgene før du lagrer. Du trenger ikke å lagre først og åpne innstillingene på nytt.

Enterprise-abonnementets organisasjonseiere kan administrere SAML SSO for hvert arbeidsområde i organisasjonen sin. En organisasjon kan ha mer enn én SAML-konfigurasjon, slik at ulike grupper kan logge på med ulike identitetsleverandører. Dette er nyttig når forretningsenheter, regionale IT-team eller selskaper du har kjøpt opp, hver har sin egen leverandør.

For å legge til en ny SAML-konfigurasjon:

1. Åpne arbeidsområdevelgeren og velg Administrer organisasjon. Du må kanskje velge Sett opp organisasjon først hvis du ikke allerede har gjort det. Lær mer om organisasjonsnivåkontroller her →

2. I fanen Generelt i organisasjonsinnstillingene dine, klikk på SAML-konfigurasjoner. Du vil se alle SAML-konfigurasjonene organisasjonen din har.

3. Velg Opprett konfigurasjon og gi den et navn teamet ditt vil kjenne igjen, for eksempel forretningsenheten eller leverandøren den tilhører.

4. Velg Aktiver SAML SSO for pålogging for å angi dette som et påloggingsalternativ for de valgte e-postdomenene.

5. Angi Innloggingsmåte for brukerne denne konfigurasjonen dekker. Velg Enhver metode for å la brukere logge på med denne SAML-en som et ekstra påloggingsalternativ, eller Bare SAML SSO som krever at brukere logger på kun med denne SAML-en.

6. Velg Automatisk kontoopprettelse for å opprette kontoer automatisk for nye SAML SSO-brukere som registrerer seg ved hjelp av ett av de valgte e-postdomenene.

7. Velg ett eller flere bekreftede e-postdomener for konfigurasjonen. Å legge til et bekreftet domene betyr at alle brukere som logger på med det domenet, vil kunne bruke denne SAML-en. Et domene må bekreftes før du kan legge det til. Se instruksjoner for domeneverifisering her →

8. Kopier Assertion Consumer Service (ACS)-URL for denne konfigurasjonen og legg den til i identitetsleverandøren din. Hver konfigurasjon har sin egen ACS-URL, så gi hver leverandør sin egen app på deres side.

9. Kopier SAML SSO-enhets-ID for denne konfigurasjonen og legg den til i identitetsleverandøren din.

10. Velg om du vil legge til leverandørens detaljer med en IdP-metadata-URL eller IdP-metadata-XML.

11. Lim inn nettadressen fra IDP-en din, og lagre deretter.

Når du har fullført konfigurasjonen av SAML SSO for et arbeidsområde, vil medlemmer kunne logge inn via SAML SSO i tillegg til andre påloggingsmetoder, som brukernavn og passord eller Google-autentisering.

Du kan velge dette mens du setter opp SAML, samtidig som du lagrer innstillingene. Du kan også endre det senere.

Hvis du vil sikre at medlemmer kun kan logge inn ved bruk av SAML SSO og ingen annen metode, går du til SAML SSO-innstillingene dine og oppdaterer innloggingsmåten til Kun SAML SSO. Når dette skjer, vil brukere av arbeidsområdet bli logget ut og påkrevd å logge inn igjen ved bruk av SAML SSO. SAML SSO vil kun bli håndhevet for medlemmer som bruker det verifiserte domenet ditt.

På Enterprise-abonnementet angir du dette for hver konfigurasjon. Hvis du angir Innloggingsmåte til Bare SAML SSO, gjelder det for domenene i den konfigurasjonen og påvirker ikke de andre konfigurasjonene dine. Et domene kan være en del av flere konfigurasjoner, men bare én av dem kan være påkrevd om gangen.

På Business-abonnementet vil dette se slik ut:

På Enterprise-abonnementet vil dette se slik ut:

I tilfelle IdP- eller SAML-feil, vil enkelte brukere kunne omgå SAML SSO ved å bruke e-post- og passordlegitimasjonene sine. De vil kunne logge inn og deaktivere eller oppdatere konfigurasjonen sin.

• Hvis en SAML-konfigurasjon administreres på organisasjonsnivå, vil kun organisasjonseiere kunne omgå SSO.

• Hvis en SAML-konfigurasjon administreres på arbeidsområdenivå, vil kun arbeidsområdeeiere kunne omgå SSO.

Dette fungerer på samme måte når organisasjonen din har mer enn én konfigurasjon. En organisasjonseier kan logge på med e-post og passord, og deretter fikse, slå av eller slutte å kreve konfigurasjonen som forårsaker problemet.

SAML-autorisasjon på arbeidsområdenivå lar virksomheter kreve SAML SSO for tilgang til arbeidsområder, uavhengig av brukerens e-postdomene. Dette muliggjør tryggere eksternt samarbeid i arbeidsområdet ditt.

Slik aktiverer du SAML-autorisasjon på arbeidsområdenivå:

1. Åpne arbeidsområdevelgeren og velg Administrer organisasjon. Du må kanskje Sett opp organisasjon først hvis du ikke allerede har gjort det. Lær mer om organisasjonsnivåkontroller her →.

2. I fanen Generelt i organisasjonsinnstillingene dine, velg SAML-konfigurasjoner.

3. I listen over arbeidsområder velger du hvilken SAML-konfigurasjon hvert arbeidsområde krever. Du kan la et arbeidsområde stå uten.

Når dette er aktivert, vil medlemmer av de berørte arbeidsområdene som ikke allerede har autorisert med organisasjonens IdP, bli møtt med en ekstra autorisasjonsskjerm. De må gå gjennom SAML SSO for å fortsette å se organisasjonens arbeidsområder.

Hvis et arbeidsområde krever en spesifikk konfigurasjon, blir medlemmer som ikke har logget på med den leverandøren ennå, bedt om å gjøre det når de åpner arbeidsområdet. Notion tar dem tilbake til arbeidsområdet når de er ferdige. Noen som jobber i to arbeidsområder som krever ulike leverandører, kan bli bedt om å logge på hvert av dem.

Notion støtter Just-in-Time-klargjøring ved bruk av SAML SSO. Dette gjør at noen som logger inn via SAML SSO, automatisk kan bli med i arbeidsområdet som medlem. Du kan slå på dette mens du setter opp SAML, samtidig som du lagrer innstillingene.

For å aktivere Just-in-Time-klargjøring hvis du har Business-abonnement, gå til Innstillinger→Identitet og sørg for at Automatisk konto opprettelse er aktivert.

For å aktivere Just-in-Time-klargjøring hvis du har Enterprise-abonnement, gå til organisasjonsinnstillingene → Generelt og sørg for at Automatisk kontoopprettelse er aktivert.

På Enterprise-abonnementet kan du slå Automatisk kontoopprettelse av eller på for hver konfigurasjon. Arbeidsområdet som nye personer legges til i, er angitt for hele organisasjonen, så det er det samme uansett hvilken leverandør de brukte. Gi personer tilgang til andre arbeidsområder slik du vanligvis ville gjort.

• Arbeidsområder med Business-abonnement bruker én konfigurasjon. Enterprise-abonnementer tillater mer enn én SAML-konfigurasjon.

• En organisasjon kan ha opptil 25 konfigurasjoner. Det er ingen begrensning på bekreftede domener.

• Et bekreftet domene kan være en del av flere konfigurasjoner, men bare én av dem kan være påkrevd om gangen.

• Et overordnet domene dekker ikke underdomenene sine. Verifiser hvert domene og underdomene du vil sende til en leverandør, og legg det deretter til i en konfigurasjon.

• Et e-postdomene kan bare tilhøre én Notion-organisasjon. To organisasjoner kan ikke dele det.

• Bare organisasjonseiere og administratorer som allerede administrerer SAML, kan legge til eller endre konfigurasjoner. Medlemmer kan ikke.