SAML SSO

Med SSO kan du strømline brugeradministration på tværs af systemer og fjerne behovet for, at slutbrugere skal huske og administrere flere adgangskoder, ved at give dem mulighed for at logge ind ét enkelt sted for adgang og nyde en problemfri oplevelse på tværs af flere applikationer.

For at bruge SSO med Notion:

• Dit arbejdsområde skal være på et Business- eller Enterprise-abonnement.

• Din identitetsudbyder (IdP) skal understøtte SAML 2.0-standarden. Se instruktioner til opsætning af identitetsudbyder for specifikke apps her →

• En arbejdsområdeejer skal konfigurere SAML SSO for Notion-arbejdsområdet.

• Mindst ét domæne skal bekræftes af en arbejdsområdeejer. Lær mere om domænebekræftelse →

For at opsætte SAML SSO for et Business-arbejdsområde kan en arbejdsområdeejer:

1. Gå til Indstillinger → Generelt.

2. I sektionen Tilladte e-maildomæner skal du fjerne alle e-maildomæner.

3. Vælg fanen Identitet i Indstillinger.

   

4. Bekræft et eller flere domæner. Se vejledningen til domænebekræftelse her →

5. Slå Enable SAML SSO til, og modalvinduet SAML SSO-konfiguration vises automatisk og beder dig om at fuldføre opsætningen.

6. SAML SSO Configuration-modalen er opdelt i to dele:

   • Assertion Consumer Service (ACS) URL skal indtastes i din Identity Provider (IdP)-portal.

   • Identity Provider Details er et felt, hvor du skal angive enten en IdP-URL eller IdP-metadata-XML.

7. Vælg hvordan folk logger ind, og om der skal oprettes nye konti til dem, og vælg derefter Gem & aktivér. Du kan foretage alle disse valg, før du gemmer. Du behøver ikke at gemme først og åbne indstillingerne igen.

Enterprise-abonnementets organisationsejere kan administrere SAML SSO for alle arbejdsområder i deres organisation. En organisation kan have mere end én SAML-konfiguration, så forskellige grupper af personer kan logge ind med forskellige identitetsudbydere. Dette er nyttigt, når forretningsenheder, regionale it-teams eller virksomheder, du har opkøbt, hver især har deres egen udbyder.

Sådan tilføjer du en ny SAML-konfiguration:

1. Åbn arbejdsområdeskifteren, og vælg Administrér organisation. Du skal muligvis vælge Konfigurér organisation først, hvis du ikke allerede har gjort det. Lær mere om kontrolelementer på organisationsniveau her →

2. I General-fanen i dine organisationsindstillinger skal du klikke på SAML configurations. Du vil se alle de SAML-konfigurationer, din organisation har.

3. Vælg Create configuration, og giv den et navn, som dit team kan genkende, f.eks. den forretningsenhed eller udbyder, den tilhører.

4. Vælg Enable SAML SSO for login for at indstille dette som en loginmulighed for de valgte e-maildomæner.

5. Indstil Login method for de personer, som denne konfiguration dækker. Vælg Any method for at lade brugere logge ind med denne SAML som en ekstra loginmulighed, eller Only SAML SSO, som kræver, at brugere kun logger ind med denne SAML.

6. Vælg Automatic account creation for automatisk at oprette konto til nye SAML SSO-brugere, der tilmelder sig ved hjælp af et af de valgte e-maildomæner.

7. Vælg et eller flere verificerede e-maildomæner til konfigurationen. Tilføjelse af et verificeret domæne betyder, at enhver bruger, der logger ind med det domæne, vil kunne bruge denne SAML. Et domæne skal verificeres, før du kan tilføje det. Se instruktioner til domæneverificering her →

8. Kopiér Assertion Consumer Service (ACS) URL for denne konfiguration, og tilføj den i din identitetsudbyder. Hver konfiguration har sin egen ACS-URL, så giv hver udbyder sin egen app på deres side.

9. Kopiér SAML SSO Entity ID for denne konfiguration, og tilføj det til din identitetsudbyder.

10. Vælg, om du vil tilføje din udbyders oplysninger med en IdP-metadata-URL eller IdP-metadata-XML.

11. Indsæt URL fra din IDP, og gem derefter.

Når du har fuldført din konfiguration af SAML SSO for et arbejdsområde, vil medlemmer kunne logge ind via SAML SSO ud over andre loginmetoder, såsom brugernavn og adgangskode eller Google-godkendelse.

Du kan vælge dette, mens du opsætter SAML for første gang, samtidig med at du gemmer. Du kan også ændre det senere.

Hvis du vil sikre, at medlemmer kun kan logge ind ved hjælp af SAML SSO og ingen anden metode, skal du gå til dine SAML SSO-indstillinger og opdatere loginmetoden til Kun SAML SSO. Når dette sker, bliver brugere af arbejdsområdet logget ud og skal logge ind igen ved hjælp af SAML SSO. SAML SSO vil kun blive håndhævet for medlemmer, der bruger dit verificerede domæne.

På Enterprise-planen indstiller du dette for hver konfiguration. Hvis du indstiller Login method til Only SAML SSO, gælder det for domænerne i den pågældende konfiguration og påvirker ikke dine andre konfigurationer. Et domæne kan være en del af flere konfigurationer, men kun én af dem kan være påkrævet ad gangen.

På Business-abonnementet vil dette se således ud:

På Enterprise-abonnementet vil dette se således ud:

I tilfælde af IdP- eller SAML-fejl vil visse brugere kunne omgå SAML SSO ved at bruge deres e-mail- og adgangskodeoplysninger. De vil kunne logge ind og deaktivere eller opdatere deres konfiguration.

• Hvis en SAML-konfiguration administreres på organisationsniveau, vil kun organisationsejere kunne omgå SSO.

• Hvis en SAML-konfiguration administreres på arbejdsområdeniveau, vil kun arbejdsområdeejere kunne omgå SSO.

Dette fungerer på samme måde, når din organisation har mere end én konfiguration. En Ejer af organisationen kan logge ind med en e-mail og adgangskode og derefter rette, deaktivere eller fjerne kravet om den konfiguration, der forårsager problemet.

SAML-godkendelse på arbejdsområdeniveau giver virksomheder mulighed for at kræve SAML SSO for adgang til arbejdsområdet, uanset brugerens e-mail-domæne. Dette muliggør sikrere eksternt samarbejde i dit arbejdsområde.

Sådan aktiverer du SAML-godkendelse på arbejdsområdeniveau:

1. Åbn arbejdsområdeskifteren, og vælg Administrér organisation. Du skal muligvis Konfigurér organisation først, hvis du ikke allerede har gjort det. Lær mere om kontrolelementer på organisationsniveau her →

2. I fanen General i dine organisationsindstillinger skal du vælge SAML-konfigurationer.

3. På listen over arbejdsområder skal du vælge, hvilken SAML-konfiguration hvert arbejdsområde kræver. Du kan lade et arbejdsområde være uden en.

Når det er aktiveret, vil medlemmer af de berørte arbejdsområder, som endnu ikke har godkendt med din organisations IdP, blive mødt af en yderligere godkendelsesskærm. De skal gennemføre SAML SSO for at fortsætte med at se din organisations arbejdsområder.

Hvis et arbejdsområde kræver en bestemt konfiguration, bliver medlemmer, der endnu ikke har logget ind med den pågældende udbyder, bedt om at gøre det, når de åbner arbejdsområdet. Notion fører dem tilbage til arbejdsområdet, når de er færdige. En person, der arbejder i to arbejdsområder, som kræver forskellige udbydere, kan blive bedt om at logge ind på hver af dem.

Notion understøtter Just-in-Time provisioning ved brug af SAML SSO. Dette gør det muligt for en person, der logger ind via SAML SSO, automatisk at blive medlem af arbejdsområdet. Du kan aktivere dette, mens du opsætter SAML, samtidig med at du gemmer.

For at aktivere Just-in-Time provisioning, hvis du er på Business-abonnementet, skal du gå til Indstillinger→Identitet og sikre dig, at Automatisk kontooprettelse er aktiveret.

For at aktivere Just-in-Time provisioning, hvis du er på Enterprise-abonnementet, skal du gå til dine organisationsindstillinger → Generelt og sikre dig, at Automatisk kontooprettelse er aktiveret.

På Enterprise-planen kan du slå Automatic account creation til eller fra for hver konfiguration. Det arbejdsområde, som nye personer tilføjes til, er indstillet for hele organisationen, så det er det samme uanset hvilken udbyder de brugte. Giv folk adgang til andre arbejdsområder, som du normalt ville gøre.

• Arbejdsområder med Business-abonnement bruger én konfiguration. Enterprise-abonnementer giver mulighed for mere end én SAML-konfiguration.

• En organisation kan have op til 25 konfigurationer. Der er ingen grænse for verificerede domæner.

• Et verificeret domæne kan være en del af flere konfigurationer, men kun én af dem kan være påkrævet ad gangen.

• Et overordnet domæne dækker ikke dets underdomæner. Verificer hvert domæne og underdomæne, som du vil sende til en udbyder, og tilføj det derefter til en konfiguration.

• Et e-mail-domæne kan kun tilhøre én Notion-organisation. To organisationer kan ikke dele det.

• Kun organisationsejere og administratorer, der allerede administrerer SAML, kan tilføje eller ændre konfigurationer. Medlemmer kan ikke.