SSO DE SAML

Con SSO, puedes optimizar la gestión de usuarios en todos los sistemas y eliminar la necesidad de que los usuarios finales recuerden y administren múltiples contraseñas, permitiéndoles iniciar sesión en un solo punto de acceso y disfrutar de una experiencia sin inconvenientes en múltiples aplicaciones.

Para usar el SSO con Notion:

• Tu espacio de trabajo debe pertenecer a un plan Pyme o a un plan Enterprise.

• El proveedor de identidades (IDP) debe ser compatible con el estándar SAML 2.0 Consulta las instrucciones para la configuración del proveedor de identidad para aplicaciones específicas aquí →

• El propietario de un espacio de trabajo de Notion debe configurar el inicio de sesión único de SAML.

• Al menos un dominio debe ser verificado por un propietario del espacio de trabajo. Descubre más sobre la verificación de dominio →

Para configurar el inicio de sesión único (SSO) de SAML para un espacio de trabajo en el plan Business, el propietario del espacio de trabajo puede:

1. Ve a Configuración → General.

2. En la sección Dominios de correo electrónico permitidoselimina todos los dominios.

3. Selecciona la pestaña Identidad en Configuración.

   

4. Verifica uno o más dominios. Consulta las instrucciones para la verificación de dominios aquí →

5. Habilita Activar inicio de sesión único de SAML y aparecerá la ventana Configuración de inicio de sesión único de SAML donde deberás completar la configuración.

6. La ventana de configuración del inicio de sesión único de SAML se divide en dos partes:

   • La URL del ACS (Assertion Consumer Service) debe ingresarse en el portal de tu proveedor de identidades (IDP).

   • En el campo Detalles del proveedor de identidades, debes proporcionar una URL de IDP o un XML de metadatos de IDP.

7. Elige cómo inician sesión las personas y si se crean cuentas nuevas para ellas, luego selecciona Guardar y activar. Puedes realizar todas estas elecciones antes de guardar. No necesitas guardar primero y abrir la configuración de nuevo.

Los propietarios de la organización del plan Enterprise pueden gestionar el inicio de sesión único (SSO) de SAML para cada espacio de trabajo de su organización. Una organización puede tener más de una configuración de SAML, por lo que diferentes grupos de personas pueden iniciar sesión con diferentes proveedores de identidad. Esto es útil cuando las unidades de negocio, los equipos de TI regionales o las empresas que has adquirido tienen su propio proveedor.

Para agregar una nueva configuración de SAML:

1. Abre el selector de espacios de trabajo y selecciona Gestionar organización. Es posible que primero debas seleccionar Configurar organización si aún no lo has hecho. Descubre más sobre los controles a nivel de organización aquí →

2. En la pestaña General de la configuración de tu organización, haz clic en Configuraciones de SAML. Verás todas las configuraciones de SAML que tiene tu organización.

3. Selecciona Crear configuración y asígnale un nombre que tu equipo reconozca, como la unidad de negocio o el proveedor al que pertenece.

4. Selecciona Activar SSO de SAML para el inicio de sesión para establecer esto como una opción de inicio de sesión para los dominios de correo electrónico seleccionados.

5. Establece el método de inicio de sesión para las personas que cubre esta configuración. Elige Cualquier método para permitir que los usuarios inicien sesión con este SAML como una opción de inicio de sesión adicional, o Solo SSO de SAML, que requiere que los usuarios inicien sesión únicamente con este SAML.

6. Selecciona Creación automática de cuentas para crear automáticamente cuentas para los nuevos usuarios de SAML SSO que se registren utilizando uno de los dominios de correo electrónico seleccionados.

7. Elige uno o más dominios de correo electrónico verificados para la configuración. Agregar un dominio verificado significa que cualquier usuario que inicie sesión con ese dominio podrá usar este SAML. Un dominio debe estar verificado antes de que puedas agregarlo. Consulta las instrucciones para la verificación de dominios aquí →

8. Copia la URL del Servicio de Consumidor de Afirmaciones (ACS) para esta configuración y agrégala en tu proveedor de identidad. Cada configuración tiene su propia URL de ACS, así que proporciona a cada proveedor su propia app en su lado.

9. Copia el ID de entidad de SAML SSO para esta configuración y agrégalo a tu proveedor de identidad.

10. Elige si deseas agregar los detalles de tu proveedor con una URL de metadatos de IDP o con un XML de metadatos de IDP.

11. Pega la URL de tu IDP y luego guarda.

Una vez que hayas completado la configuración de SSO de SAML para un espacio de trabajo, los miembros podrán iniciar sesión a través de SSO de SAML además de otros métodos de inicio de sesión, como el nombre de usuario y la contraseña o la autenticación de Google.

Puedes elegir esto mientras configuras SAML por primera vez, en el mismo guardado. También puedes cambiarlo más tarde.

Si quieres asegurarte de que los miembros puedan iniciar sesión usando solo SSO de SAML y ningún otro método, ve a tu configuración de SSO de SAML y actualiza el método de inicio de sesión a Solo SSO de SAML. Una vez que esto ocurra, se cerrará la sesión de los usuarios del espacio de trabajo y deberán volver a iniciar sesión usando SSO de SAML. El SSO de SAML solo se aplicará a los miembros que usen tu dominio verificado.

En el plan Enterprise, configuras esto para cada configuración. Establecer el método de inicio de sesión en Solo SAML SSO se aplica a los dominios de esa configuración y no afecta a tus otras configuraciones. Un dominio puede ser parte de varias configuraciones, pero solo una de ellas puede ser obligatoria a la vez.

En el plan Business, esto se verá así:

En el plan Enterprise, esto se verá así:

En caso de fallo del IdP o de SAML, ciertos usuarios podrán omitir el SSO de SAML usando sus credenciales de correo electrónico y contraseña. Podrán iniciar sesión y desactivar o actualizar su configuración.

• Si una configuración de SAML se gestiona a nivel de la organización, solo los propietarios de la organización podrán omitir el SSO.

• Si una configuración de SAML se gestiona a nivel de espacio de trabajo, solo los propietarios del espacio podrán omitir el SSO.

Esto funciona de la misma manera cuando tu organización tiene más de una configuración. Un propietario de la organización puede iniciar sesión con un correo electrónico y una contraseña, y luego corregir, desactivar o dejar de requerir la configuración que está causando el problema.

La autorización de SAML a nivel de espacio de trabajo permite a las empresas exigir el SSO de SAML para acceder al espacio de trabajo, independientemente del dominio de correo electrónico del usuario. Esto permite una colaboración externa más segura en tu espacio de trabajo.

Para habilitar la autorización con SAML a todo el espacio de trabajo:

1. Abre el selector de espacios de trabajo y selecciona Gestionar organización. Es posible que primero debas Configurar organización si aún no lo has hecho. Descubre más sobre los controles a nivel de organización aquí →.

2. En la pestaña General de la configuración de tu organización, selecciona Configuraciones de SAML.

3. En la lista de espacios de trabajo, elige qué configuración de SAML requiere cada espacio de trabajo. Puedes dejar un espacio de trabajo sin ninguna.

Cuando se habilita, los miembros de los espacios de trabajo afectados que aún no se hayan autorizado con el IdP de tu organización se encontrarán con una pantalla de autorización adicional. Deberán pasar por el SSO de SAML para seguir viendo los espacios de trabajo de tu organización.

Si un espacio de trabajo requiere una configuración específica, a los miembros que aún no han iniciado sesión con ese proveedor se les pedirá que lo hagan cuando abran el espacio de trabajo. Notion los devuelve al espacio de trabajo una vez que terminan. A alguien que trabaja en dos espacios de trabajo que requieren proveedores diferentes se le puede pedir que inicie sesión en cada uno.

Notion admite el aprovisionamiento Just-in-Time cuando se utiliza el SSO de SAML. Esto permite que alguien que inicie sesión mediante el SSO de SAML se una automáticamente al espacio de trabajo como miembro. Puedes activar esto mientras configuras SAML, en el mismo guardado.

Para activar el aprovisionamiento Just-in-Time si estás en el Plan Business, ve a Configuración→Identidad y asegúrate de que la opción Creación automática de cuentas está activada.

Para activar el aprovisionamiento Just-in-Time si estás en el plan Enterprise, ve a la configuración de tu organización → General y asegúrate de que Creación automática de cuentas está activada.

En el plan Enterprise, puedes activar o desactivar la creación automática de cuentas para cada configuración. El espacio de trabajo al que se agregan las nuevas personas se establece para toda la organización, por lo que es el mismo sin importar qué proveedor hayan usado. Da acceso a las personas a otros espacios de trabajo de la forma en que lo harías normalmente.

• Los espacios de trabajo del Plan Business utilizan una configuración. El plan Enterprise permite tener más de una configuración de SAML.

• Una organización puede tener hasta 25 configuraciones. No hay límite en los dominios verificados.

• Un dominio verificado puede ser parte de varias configuraciones, pero solo una de ellas puede ser requerida a la vez.

• Un dominio principal no cubre sus subdominios. Verifica cada dominio y subdominio que quieras enviar a un proveedor, y luego agrégalo a una configuración.

• Un dominio de correo electrónico solo puede pertenecer a una organización de Notion. Dos organizaciones no pueden compartirlo.

• Solo los propietarios de la organización y los admin que ya administran SAML pueden agregar o cambiar configuraciones. Los miembros no pueden.