SAML SSO

Mit SSO kannst du die Nutzerverwaltung systemübergreifend optimieren und Endnutzer/-innen müssen sich nicht mehrere Passwörter merken und verwalten, da sie sich über einen einzigen Zugangspunkt anmelden und eine nahtlose Erfahrung über mehrere Anwendungen hinweg genießen können.

So verwendest du SSO mit Notion:

• Der Workspace gehört zu einem Business Plan oder zu einem Enterprise Plan.

• Der Identity Provider (IdP) unterstützt SAML 2.0.Eine Anleitung zum Einrichten von Identitätsanbietern für bestimmte Apps findest du hier →

• SAML SSO für den Notion-Workspace von den Workspace-Besitzer/-innen konfiguriert werden.

• Mindestens eine Domain muss von einem/-r Workspace-Besitzer/-in verifiziert werden. Mehr über Domain-Verifizierung erfahren →

Um SAML SSO für deinen Business-Workspace einzurichten, können die Workspace-Besitzer/-innen:

1. Gehe zu Einstellungen → Allgemein.

2. Entferne unter Zulässige E-Mail-Domainsalle E-Mail-Domains.

3. Wähle in den Einstellungen den Tab Identität aus.

   

4. Nun bestätigst du mindestens eine Domain. Eine Anleitung dazu findest du hier →

5. Schalte SAML SSO aktivieren ein und die SAML-SSO-Konfiguration wird automatisch angezeigt. Dort wirst du aufgefordert, die Einrichtung abzuschließen.

6. Die Konfiguration für den SAML SSO besteht aus zwei Teilen:

   • Die URL des Assertion Consumer Service (ACS) muss in dem Portal deines Identitätsproviders (IdP) eingegeben werden.

   • Die Identitätsanbieter-Details sind ein Feld, in dem du entweder eine IdP-URL oder IdP-Metadaten-XML angeben musst.

7. Wähle aus, wie sich Personen anmelden und ob neue Konten für sie erstellt werden sollen, und klicke dann auf Speichern & aktivieren. Du kannst all diese Einstellungen vor dem Speichern vornehmen. Du musst nicht erst speichern und die Einstellungen erneut öffnen.

Enterprise Plan Organisations-Besitzer/-in können SAML SSO für jeden Workspace in deiner Organisation verwalten. Eine Organisation kann mehr als eine SAML-Konfiguration haben, sodass sich verschiedene Gruppen von Personen mit unterschiedlichen Identitätsanbietern anmelden können. Dies ist hilfreich, wenn Geschäftsbereiche, regionale IT-Teams oder Unternehmen, die du erworben hast, jeweils ihren eigenen Anbieter haben.

So fügst du eine neue SAML-Konfiguration hinzu:

1. Öffne die Workspace-Auswahl und wähle Organisation verwalten. Möglicherweise musst du zuerst Organisation einrichten auswählen, falls du das noch nicht getan hast. Mehr erfahren über Steuerelemente auf Organisationsebene hier →

2. Klicke im Tab Allgemein der Einstellungen deiner Organisation auf SAML-Konfigurationen. Du siehst dort jede SAML-Konfiguration, die deine Organisation hat.

3. Wähle Konfiguration erstellen aus und gib ihr einen Namen, den dein Team wiedererkennt, wie etwa den Geschäftsbereich oder den Anbieter, zu dem sie gehört.

4. Wähle SAML SSO für anmelden aktivieren aus, um dies als Anmeldeoption für die ausgewählten E-Mail-Domains festzulegen.

5. Lege die Anmeldemethode für die Personen fest, die diese Konfiguration abdeckt. Wähle Beliebige Methode, damit sich Nutzer mit diesem SAML SSO als zusätzliche Anmeldeoption anmelden können, oder Nur SAML SSO, was erfordert, dass sich Nutzer ausschließlich mit diesem SAML SSO anmelden.

6. Wähle Automatische Kontoerstellung aus, um automatisch Konten für neue SAML-SSO-Benutzer zu erstellen, die sich mit einer der ausgewählten E-Mail-Domains registrieren.

7. Wähle eine oder mehrere verifizierte E-Mail-Domains für die Konfiguration aus. Das Hinzufügen einer verifizierten Domain bedeutet, dass jeder Benutzer, der sich mit dieser Domain anmeldet, dieses SAML verwenden kann. Eine Domain muss verifiziert sein, bevor du sie hinzufügen kannst. Siehe Anweisungen zur Domain-Verifizierung hier →

8. Kopiere die Assertion Consumer Service (ACS) URL für diese Konfiguration und füge sie in deinem Identitätsanbieter hinzu. Jede Konfiguration hat ihre eigene ACS-URL, weise also jedem Anbieter seine eigene App auf dessen Seite zu.

9. Kopiere die SAML SSO Entity ID für diese Konfiguration und füge sie in deinem Identitätsanbieter hinzu.

10. Wähle aus, ob du die Details deines Anbieters über eine IdP-Metadaten-URL oder eine IdP-Metadaten-XML hinzufügen möchtest.

11. Füge die URL aus deinem IDP ein und speichere dann.

Sobald du die Konfiguration von SAML SSO für einen Workspace abgeschlossen hast, können sich Mitglieder zusätzlich zu anderen Anmeldemethoden wie Benutzername und Passwort oder Google-Authentifizierung über SAML SSO anmelden.

Du kannst dies bereits bei der ersten Einrichtung von SAML im selben Speichervorgang auswählen. Du kannst es auch später noch ändern.

Wenn du sicherstellen möchtest, dass sich Mitglieder ausschließlich über SAML SSO und keine andere Methode anmelden können, gehe zu deinen SAML SSO-Einstellungen und aktualisiere die Anmeldemethode auf „Nur SAML SSO“. Sobald dies geschieht, werden Workspace-Nutzer abgemeldet und müssen sich erneut über SAML SSO anmelden. SAML SSO wird nur für Mitglieder erzwungen, die deine bestätigte Domain verwenden.

Im Enterprise Plan legst du dies für jede Konfiguration fest. Wenn du die Anmeldemethode auf Nur SAML-SSO einstellst, gilt dies für die Domains in dieser Konfiguration und lässt deine anderen Konfigurationen unberührt. Eine Domain kann Teil mehrerer Konfigurationen sein, aber es kann jeweils nur eine davon erforderlich sein.

Im Business Plan sieht das so aus:

Im Enterprise Plan sieht das so aus:

Im Falle eines IdP- oder SAML-Fehlers können bestimmte Nutzer SAML SSO umgehen, indem sie ihre E-Mail-Adresse und ihr Passwort verwenden. Sie können sich anmelden und ihre Konfiguration abschalten oder aktualisieren.

• Wenn eine SAML-Konfiguration auf Organisationsebene verwaltet wird, können nur Organisationsbesitzer/-innen SSO umgehen.

• Wenn eine SAML-Konfiguration auf Ebene des Workspace verwaltet wird, können nur Workspace-Besitzer/-innen SSO umgehen.

Dies funktioniert genauso, wenn deine Organisation mehr als eine Konfiguration hat. Ein Organisations-Besitzer/-in kann sich mit E-Mail und Passwort anmelden und dann die Konfiguration, die das Problem verursacht, korrigieren, deaktivieren oder die Anforderung aufheben.

Die SAML-Autorisierung auf Workspace-Ebene ermöglicht es Enterprise, SAML SSO für den Workspace-Zugriff zu verlangen, unabhängig von der E-Mail-Domain des Nutzers. Dies ermöglicht eine sicherere externe Zusammenarbeit in deinem Workspace.

So aktivierst du die SAML-Autorisierung auf Workspace-Ebene:

1. Öffne die Workspace-Auswahl und wähle Organisation verwalten aus. Du musst möglicherweise zuerst eine Organisation einrichten, falls du dies noch nicht getan hast. Mehr erfahren über Steuerelemente auf Organisationsebene hier →

2. Wähle im Tab Allgemein der Einstellungen deiner Organisation SAML-Konfigurationen aus.

3. Wähle in der Liste der Workspaces aus, welche SAML-Konfiguration jeder Workspace erfordert. Du kannst einen Workspace auch ohne Konfiguration lassen.

Wenn diese Option aktiviert ist, werden Mitglieder der betroffenen Workspaces, die sich noch nicht über den IdP deiner Organisation autorisiert haben, mit einem zusätzlichen Autorisierungsbildschirm konfrontiert. Sie müssen SAML SSO durchlaufen, um die Workspaces deiner Organisation weiterhin aufzurufen.

Wenn ein Workspace eine bestimmte Konfiguration erfordert, werden Mitglieder, die sich noch nicht mit diesem Anbieter angemeldet haben, beim Öffnen des Workspaces dazu aufgefordert. Notion leitet sie zurück zum Workspace, sobald sie fertig sind. Jemand, der in zwei Workspaces arbeitet, die unterschiedliche Anbieter erfordern, wird möglicherweise aufgefordert, sich bei jedem einzeln anzumelden.

Notion unterstützt bei Verwendung von SAML SSO die Just-in-Time-Bereitstellung. So können Personen, die sich über SAML SSO anmelden, dem Workspace automatisch als Mitglied beitreten. Du kannst dies während der SAML-Einrichtung im selben Speichervorgang aktivieren.

Um eine Just-in-Time-Bereitstellung zu ermöglichen, wenn du den Business-Plan nutzt, gehe zu Einstellungen→Identität und stelle sicher, dass die Automatische Kontoerstellung aktiviert ist.

Um eine Just-in-Time-Bereitstellung zu ermöglichen, wenn du den Enterprise Plan nutzt, gehe zu deinen Organisationseinstellungen → Allgemein und stelle sicher, dass die Automatische Kontoerstellung aktiviert ist.

Im Enterprise Plan kannst du Automatische Kontoerstellung für jede Konfiguration ein- oder ausschalten. Der Workspace, dem neue Personen hinzugefügt werden, wird für die gesamte Organisation festgelegt und ist daher immer derselbe, unabhängig davon, welchen Anbieter sie verwendet haben. Gewähre Personen Zugriff auf andere Workspaces wie gewohnt.

• Arbeitsbereiche mit Business Plan nutzen eine Konfiguration. Der Enterprise Plan ermöglicht mehr als eine SAML-Konfiguration.

• Eine Organisation kann bis zu 25 Konfigurationen haben. Es gibt keine Begrenzung für verifizierte Domains.

• Eine verifizierte Domain kann Teil mehrerer Konfigurationen sein, aber es kann jeweils nur eine davon erforderlich sein.

• Eine übergeordnete Domain deckt ihre Subdomains nicht ab. Verifiziere jede Domain und Subdomain, die du an einen Anbieter senden möchtest, und füge sie dann einer Konfiguration hinzu.

• Eine E-Mail-Domain kann nur zu einer Notion-Organisation gehören. Zwei Organisationen können sie sich nicht teilen.

• Nur Organisations-Besitzer/-in und Admins, die bereits SAML verwalten, können Konfigurationen hinzufügen oder ändern. Mitglieder können dies nicht.