SAML SSO

באמצעות SSO, באפשרותכם לייעל את ניהול המשתמשים במערכות השונות, ולבטל את הצורך של משתמשי הקצה לזכור ולנהל סיסמאות מרובות על ידי כך שתאפשרו להם להיכנס דרך נקודת גישה אחת וליהנות מחוויה חלקה בין אפליקציות מרובות.

כדי להשתמש ב-SSO עם Notion:

• סביבת העבודה שלכם חייבת להיות בתוכנית Business או בתוכנית Enterprise.

• ספק הזהות (IdP) שלכם חייב לתמוך בתקן SAML 2.0. ראו הוראות להגדרת ספק זהות עבור אפליקציות ספציפיות כאן →

• בעל סביבת עבודה חייב להגדיר SAML SSO עבור סביבת עבודה ב-Notion.

• לפחות דומיין אחד חייב לעבור אימות על ידי בעל סביבת עבודה. למידע נוסף על אימות דומיין →

כדי להגדיר SAML SSO עבור סביבת עבודה בתוכנית Business, בעל סביבת העבודה יכול:

1. עברו אל הגדרות → כללי.

2. במקטע דומיינים מורשים של אימייל, הסירו את כל דומייני האימייל.

3. בחרו בכרטיסייה זהות בתוך הגדרות.

   

4. אמתו דומיין אחד או יותר. ראו הוראות לאימות דומיין כאן →

5. הפעילו את אפשר SAML SSO והחלון 'תצורת SAML SSO' יופיע באופן אוטומטי וינחה אתכם להשלים את ההגדרה.

6. החלונית SAML SSO Configuration מחולקת לשני חלקים:

   • יש להזין את ה-Assertion Consumer Service (ACS) URL בפורטל ספק הזהות (IdP) שלך.

   • ה-Identity Provider Details הוא שדה שבו עליך לספק כתובת URL של IdP או XML של מטא-נתוני IdP.

7. בחר כיצד אנשים מתחברים והאם ייווצרו עבורם חשבונות חדשים, ולאחר מכן בחר ב-Save & enable. באפשרותך לבצע את כל הבחירות הללו לפני השמירה. אין צורך לשמור תחילה ולפתוח את ההגדרות שוב.

בעלי ארגון בתוכנית Enterprise יכולים לנהל SAML SSO עבור כל סביבת עבודה בארגון שלהם. בארגון יכולה להיות יותר מתצורת SAML אחת, כך שקבוצות שונות של אנשים יכולות להיכנס באמצעות ספקי זהות שונים. זה מועיל כאשר יחידות עסקיות, צוותי IT אזוריים או חברות שרכשתם מחזיקים כל אחד בספק משלו.

כדי להוסיף תצורת SAML חדשה:

1. פתחו את בורר סביבת העבודה ובחרו ב-ניהול ארגון. ייתכן שתצטרכו לבחור ב-הגדרת ארגון תחילה אם עדיין לא עשיתם זאת. למידע נוסף על בקרות ברמת הארגון כאן →

2. בלשונית General בהגדרות הארגון שלכם, לחצו על SAML configurations. תראו את כל תצורות ה-SAML שיש לארגון שלכם.

3. בחרו ב-Create configuration ותנו לה שם שהצוות שלכם יזהה, כמו היחידה העסקית או הספק שאליו היא שייכת.

4. בחרו ב-Enable SAML SSO for login כדי להגדיר זאת כאפשרות כניסה עבור דומייני האימייל שנבחרו.

5. הגדירו את ה-Login method עבור האנשים שתצורה זו מכסה. בחרו ב-Any method כדי לאפשר למשתמשים להיכנס עם SAML זה כאפשרות כניסה נוספת, או ב-Only SAML SSO שמחייב משתמשים להיכנס עם SAML זה בלבד.

6. בחרו ב-Automatic account creation כדי ליצור חשבונות באופן אוטומטי עבור משתמשי SAML SSO חדשים שנרשמים באמצעות אחד מדומייני האימייל שנבחרו.

7. בחרו דומיין אימייל מאומת אחד או יותר עבור התצורה. הוספת דומיין מאומת פירושה שכל משתמש שנכנס עם דומיין זה יוכל להשתמש ב-SAML זה. יש לאמת דומיין לפני שניתן להוסיף אותו. ראו הוראות לאימות דומיין כאן →

8. העתיקו את ה-Assertion Consumer Service (ACS) URL עבור תצורה זו והוסיפו אותו בספק הזהות שלכם. לכל תצורה יש כתובת ACS URL משלה, לכן תנו לכל ספק אפליקציה משלו בצד שלו.

9. העתיקו את ה-SAML SSO Entity ID עבור תצורה זו והוסיפו אותו לספק הזהות שלכם.

10. בחרו אם להוסיף את פרטי הספק שלכם באמצעות כתובת URL של מטא-נתוני IdP או באמצעות XML של מטא-נתוני IdP.

11. יש להדביק את כתובת ה-URL מה-IDP שלכם, ולאחר מכן לשמור.

לאחר שתשלים את תצורת ה-SAML SSO עבור סביבת עבודה, חברים יוכלו להתחבר באמצעות SAML SSO בנוסף לשיטות התחברות אחרות, כגון שם משתמש וסיסמה או אימות Google.

באפשרותך לבחור זאת בעת הגדרת SAML בפעם הראשונה, באותה שמירה. באפשרותך גם לשנות זאת מאוחר יותר.

אם ברצונך להבטיח שחבר/ה יוכל/תוכל להתחבר באמצעות SAML SSO בלבד וללא כל שיטה אחרת, עבור אל הגדרות ה-SAML SSO שלך ועדכן את שיטת ההתחברות ל-Only SAML SSO. ברגע שזה יקרה, משתמשי סביבת העבודה ינותקו ויידרשו להתחבר מחדש באמצעות SAML SSO. SAML SSO ייאכף רק עבור חבר/ה המשתמש/ת בדומיין המאומת שלך.

בתוכנית Enterprise, אתם מגדירים זאת עבור כל תצורה. הגדרת Login method ל-Only SAML SSO חלה על הדומיינים בתצורה זו ואינה משפיעה על התצורות האחרות שלכם. דומיין יכול להיות חלק ממספר תצורות, אך רק אחת מהן יכולה להיות נדרשת בכל פעם.

בתוכנית Business, זה ייראה כך:

בתוכנית Enterprise, זה ייראה כך:

במקרה של הרצה שנכשלה ב-IdP או ב-SAML, משתמשים מסוימים יוכלו לעקוף את ה-SAML SSO באמצעות פרטי האימייל והסיסמה שלהם. הם יוכלו להתחבר ולהשבית או לעדכן את התצורה שלהם.

• אם תצורת SAML מנוהלת ברמת הארגון, רק בעלי הארגון יוכלו לעקוף את ה-SSO.

• אם תצורת SAML מנוהלת ברמת סביבת העבודה, רק בעלי סביבת העבודה יוכלו לעקוף את ה-SSO.

זה עובד באותו אופן כאשר לארגון שלכם יש יותר מתצורה אחת. בעל ארגון יכול להיכנס עם אימייל וסיסמה, ולאחר מכן לתקן, לכבות או להפסיק לדרוש את התצורה שגורמת לבעיה.

הרשאת SAML ברמת סביבת העבודה מאפשרת לארגונים לדרוש SAML SSO עבור גישה לסביבת עבודה, ללא קשר לדומיין האימייל של המשתמש. הדבר מאפשר שיתוף פעולה חיצוני בטוח יותר בסביבת העבודה שלך.

כדי להפעיל הרשאת SAML ברמת סביבת העבודה:

1. פתחו את בורר סביבת העבודה ובחרו ב-ניהול ארגון. ייתכן שתצטרכו לבחור ב-הגדרת ארגון תחילה אם עדיין לא עשיתם זאת. למידע נוסף על בקרות ברמת הארגון כאן →

2. בלשונית General בהגדרות הארגון שלכם, בחרו ב-SAML configurations.

3. ברשימת סביבות העבודה, בחרו איזו תצורת SAML נדרשת לכל סביבת עבודה. אתם יכולים להשאיר סביבת עבודה ללא תצורה.

כאשר תכונה זו מופעלת, חבר/ה בסביבות העבודה המושפעות שטרם עבר/ה אימות מול ה-IdP של הארגון שלך ייתקל/תיתקל במסך אימות נוסף. הוא/היא יצטרך/תצטרך לעבור דרך SAML SSO כדי להמשיך לצפות בסביבות העבודה של הארגון שלך.

אם סביבת עבודה דורשת תצורה ספציפית, משתמשים שטרם נכנסו עם ספק זה יתבקשו לעשות זאת כשיפתחו את סביבת העבודה. Notion מחזירה אותם לסביבת העבודה לאחר השלמת התהליך. משתמשים העובדים בשתי סביבות עבודה שדורשות ספקים שונים עשויים להתבקש להיכנס לכל אחת מהן.

Notion תומכת בהקצאת "בדיוק בזמן" (JIT) בעת שימוש ב-SAML SSO. הדבר מאפשר לאדם המתחבר באמצעות SAML SSO להצטרף לסביבת עבודה באופן אוטומטי כחבר. באפשרותך להפעיל זאת בעת הגדרת SAML, באותה שמירה.

כדי להפעיל הקצאת "בדיוק בזמן" (JIT) אם אתה בתוכנית Business, עבור אל Settings→Identity וודא ש-Automatic account creation מופעלת.

כדי להפעיל הקצאת "בדיוק בזמן" (JIT) אם אתה בתוכנית Enterprise, עבור אל הגדרות הארגון שלך → General וודא ש-Automatic account creation מופעלת.

בתוכנית Enterprise, אתם יכולים להפעיל או לכבות את Automatic account creation עבור כל תצורה. סביבת העבודה שאליה מתווספים אנשים חדשים מוגדרת עבור כל הארגון, כך שהיא זהה ללא קשר לספק שבו השתמשו. העניקו לאנשים גישה לסביבות עבודה אחרות כפי שהייתם עושים בדרך כלל.

• סביבות עבודה בתוכנית Business משתמשות בתצורה אחת. תוכניות Enterprise מאפשרות יותר מתצורה אחת של SAML.

• ארגון יכול לכלול עד 25 תצורות. אין הגבלה על דומיינים מאומתים.

• דומיין מאומת יכול להיות חלק ממספר תצורות, אך רק אחת מהן יכולה להיות נדרשת בכל פעם.

• דומיין אב אינו מכסה את תת-הדומיינים שלו. אמתו כל דומיין ותת-דומיין שברצונכם לשלוח לספק, ולאחר מכן הוסיפו אותו לתצורה.

• דומיין אימייל יכול להשתייך לארגון Notion אחד בלבד. שני ארגונים אינם יכולים לחלוק אותו.

• רק בעלי ארגון, ומנהלים שכבר מנהלים SAML, יכולים להוסיף או לשנות תצורות. חברים אינם יכולים.