SSO DE SAML

Con el inicio de sesión único (SSO), puedes agilizar la gestión de usuarios en todos los sistemas. Al permitir a los usuarios finales iniciar sesión en un único punto de acceso, ya no tendrán que recordar ni gestionar múltiples contraseñas y disfrutarán de una experiencia fluida en varias aplicaciones.

Para usar el SSO con Notion:

• Tu espacio de trabajo debe pertenecer a un plan Business o Enterprise.

• Tu proveedor de identidades (IdP) debe ser compatible con el estándar SAML 2.0.Consulta las instrucciones para la configuración del proveedor de identidad para aplicaciones específicas aquí →

• El propietario de un espacio de trabajo de Notion debe configurar el inicio de sesión único de SAML.

• Al menos un dominio debe ser verificado por un propietario del espacio de trabajo. Más información sobre la verificación de dominio →

Para configurar el inicio de sesión único (SSO) de SAML para un espacio de trabajo con el plan Business, el propietario del espacio de trabajo puede:

1. Ve a Configuración → General.

2. Una vez en la sección Dominios de correo electrónico autorizados, elimina todos los dominios.

3. Selecciona la pestaña Identidad en la Configuración.

   

4. Verifica uno o más dominios. Consulta las instrucciones para la verificación de dominios aquí →

5. Habilita Activar inicio de sesión único (SSO) de SAML y aparecerá la ventana modal Configuración de inicio de sesión único (SSO) de SAML para que puedas completar la configuración.

6. La ventana de configuración del SSO de SAML está dividida en dos partes:

   • La URL del ACS (Assertion Consumer Service) debe introducirse en el portal de tu proveedor de identidades (IDP).

   • En el campo Detalles del proveedor de identidades, debes proporcionar una URL de IDP o un XML de metadatos de IDP.

7. Elige cómo inician sesión las personas y si se crean cuentas nuevas para ellas, y luego selecciona Guardar y activar. Puedes realizar todas estas elecciones antes de guardar. No necesitas guardar primero y volver a abrir la configuración.

Los propietarios de la organización del plan Enterprise pueden gestionar el Inicio de sesión único de SAML para todos los espacios de trabajo de su organización. Una organización puede tener más de una configuración SAML, por lo que diferentes grupos de personas pueden iniciar sesión con distintos proveedores de identidad. Esto resulta útil cuando las unidades de Business, los equipos de TI regionales o las empresas que habéis adquirido tienen su propio proveedor.

Para añadir una nueva configuración SAML:

1. Abre el selector de espacios de trabajo y selecciona Gestionar organización. Es posible que primero debas seleccionar Configurar organización si aún no lo has hecho. Más información sobre ajustes de toda la organización aquí →

2. En la pestaña General de la configuración de tu organización, haz clic en Configuraciones SAML. Verás todas las configuraciones SAML que tiene tu organización.

3. Selecciona Crear configuración y asígnale un nombre que tu equipo reconozca, como la unidad de Business o el proveedor al que pertenece.

4. Selecciona Habilitar SSO de SAML para el inicio de sesión para establecer esto como una opción de inicio de sesión para los dominios de correo electrónico seleccionados.

5. Establece el método de inicio de sesión para las Personas que cubre esta configuración. Elige Cualquier método para permitir que los usuarios inicien sesión con este SAML como una opción de inicio de sesión adicional, o Solo SAML SSO, que requiere que los usuarios inicien sesión únicamente con este SAML.

6. Selecciona Creación automática de cuentas para crear automáticamente cuentas para los nuevos usuarios de SSO SAML que se registren utilizando uno de los dominios de correo electrónico seleccionados.

7. Elige uno o más dominios de correo electrónico verificados para la configuración. Añadir un dominio verificado significa que cualquier usuario que inicie sesión con ese dominio podrá utilizar este SAML. Un dominio debe estar verificado antes de que puedas añadirlo. Consulta las instrucciones para la verificación de dominios aquí →

8. Copia la URL del Servicio de Consumidor de Aserciones (ACS) para esta configuración y añádela en tu proveedor de identidad. Cada configuración tiene su propia URL de ACS, así que proporciona a cada proveedor su propia app en su lado.

9. Copia el ID de entidad de SAML SSO para esta configuración y añádelo a tu proveedor de identidad.

10. Elige si quieres añadir los detalles de tu proveedor mediante una URL de metadatos del IDP o un XML de metadatos del IDP.

11. Pega la URL de tu IDP y, a continuación, guarda.

Cuando hayas finalizado la configuración del SSO de SAML para un espacio de trabajo, los miembros podrán iniciar sesión por esa vía y con otros métodos de inicio de sesión, como con un nombre de usuario y su contraseña o la autenticación mediante Google.

Puedes elegir esto mientras configuras SAML por primera vez, en la misma acción de guardado. También puedes cambiarlo más tarde.

Si quieres asegurarte de que los miembros puedan iniciar sesión utilizando únicamente el inicio de sesión único de SAML y ningún otro método, ve a tus ajustes de inicio de sesión único de SAML y actualiza el método de inicio de sesión a Solo inicio de sesión único de SAML. Una vez hecho esto, se cerrará la sesión de los usuarios del espacio de trabajo y se les pedirá que vuelvan a iniciar sesión utilizando el inicio de sesión único de SAML. El inicio de sesión único de SAML solo se aplicará a los miembros que utilicen tu dominio verificado.

En el plan Enterprise, esto se configura para cada configuración. Establecer el método de inicio de sesión en Solo SAML SSO se aplica a los dominios de esa configuración y no afecta a las demás. Un dominio puede formar parte de varias configuraciones, pero solo una de ellas puede ser obligatoria a la vez.

Así es como se verá en el plan Business:

Así es como se verá en el plan Enterprise:

En caso de fallo del IdP o de SAML, determinados usuarios podrán omitir el inicio de sesión único de SAML utilizando sus credenciales de correo electrónico y contraseña. Podrán iniciar sesión y desactivar o actualizar su configuración.

• Si una configuración de SAML se gestiona a nivel de organización, solo los propietarios de esta podrán omitir el SSO.

• Si una configuración de SAML se gestiona a nivel de espacio de trabajo, solo los propietarios de este podrán omitir el SSO.

Esto funciona igual cuando tu organización tiene más de una configuración. Un propietario de la organización puede iniciar sesión con un correo electrónico y una contraseña, y luego corregir, desactivar o dejar de requerir la configuración que está causando el problema.

La autorización de SAML a nivel de espacio de trabajo permite a las empresas exigir el inicio de sesión único de SAML para acceder al espacio de trabajo, independientemente del dominio de correo electrónico del usuario. Esto permite una colaboración externa más segura en tu espacio de trabajo.

Para habilitar la autorización SAML a todo el espacio de trabajo:

1. Abre el selector de espacios de trabajo y selecciona Gestionar organización. Es posible que primero debas Configurar organización si aún no lo has hecho. Más información sobre ajustes de toda la organización aquí →.

2. En la pestaña General de la configuración de tu organización, selecciona Configuraciones SAML.

3. En la lista de espacios de trabajo, elige qué configuración SAML requiere cada uno. Puedes dejar un espacio de trabajo sin ninguna.

Cuando se habilita, los miembros de los espacios de trabajo afectados que aún no se hayan autorizado con el IdP de tu organización se encontrarán con una pantalla de autorización adicional. Tendrán que pasar por el inicio de sesión único de SAML para seguir viendo los espacios de trabajo de tu organización.

Si un espacio de trabajo requiere una configuración específica, a los miembros que aún no hayan iniciado sesión con ese proveedor se les pedirá que lo hagan al abrir el espacio de trabajo. Notion les devuelve al espacio de trabajo una vez que hayan terminado. A alguien que trabaje en dos espacios de trabajo que requieran proveedores diferentes se le puede pedir que inicie sesión en cada uno.

Notion admite el aprovisionamiento just in time cuando se utiliza el inicio de sesión único (SSO) de SAML. Esto permite que alguien que inicie sesión a través del inicio de sesión único (SSO) de SAML se una automáticamente al espacio de trabajo como miembro. Puedes activar esto mientras configuras SAML, en la misma acción de guardado.

Para activar el aprovisionamiento Just-in-Time si tienes el plan Business, ve a Configuración→Identidad y asegúrate de que la opción Creación automática de cuentas está habilitada.

Para habilitar el aprovisionamiento just in time si tienes el plan Enterprise, ve a la configuración de tu organización → General y asegúrate de que la opción Creación automática de cuentas está habilitada.

En el plan Enterprise, puedes activar o desactivar la Creación automática de cuentas para cada configuración. El espacio de trabajo al que se añaden las nuevas Personas se establece para toda la organización, por lo que es el mismo independientemente del proveedor que hayan utilizado. Concede acceso a otros espacios de trabajo a las Personas de la forma habitual.

• Los espacios de trabajo del plan Business utilizan una configuración. Los planes Enterprise permiten más de una configuración SAML.

• Una organización puede tener hasta 25 configuraciones. No hay límite en los dominios verificados.

• Un dominio verificado puede formar parte de varias configuraciones, pero solo una de ellas puede ser obligatoria a la vez.

• Un dominio principal no cubre sus subdominios. Verifica cada dominio y subdominio que quieras enviar a un proveedor y, a continuación, añádelo a una configuración.

• Un dominio de correo electrónico solo puede pertenecer a una organización de Notion. Dos organizaciones no pueden compartirlo.

• Solo los propietarios de la organización y los administradores que ya gestionan SAML pueden añadir o cambiar configuraciones. Los miembros no pueden.