SAML SSO

SSOを使用すると、システム間のユーザー管理を合理化し、単一のアクセスポイントでサインインして複数のアプリケーション間をシームレスに切り替えられるため、エンドユーザーは複数のパスワードを覚えて管理する必要がなくなります。

NotionでSSOを使用する方法：

• ビジネスプランまたはエンタープライズプランのワークスペースであること。

• IDプロバイダー（IdP）がSAML 2.0標準規格をサポートしていること。特定のアプリのIDプロバイダー設定の手順については、こちらをご覧ください →

• ワークスペースオーナーが、NotionワークスペースのSAML SSOを設定すること。

• ワークスペースオーナーによって、少なくとも1つのドメイン検証が行われている必要があります。ドメイン検証について詳しくはこちら →

ビジネスワークスペースにSAML SSOを設定するために、ワークスペースオーナーが行う操作は次のとおりです。

1. 設定 → 一般に移動します。

2. 許可されたメールドメインのセクションで、すべてのメールドメインを削除します。

3. 設定の認証タブを選択します。

   

4. 1つ以上のドメインを検証します。ドメイン検証の手順については、こちらをご覧ください →

5. SAML SSOを有効にする をオンに切り替えると、SAML SSO設定ウインドウが自動的に表示され、設定を完了するよう促されます。

6. SAML SSOの設定モーダルは、次の2つのパートに分かれています。

   • アサーションコンシューマーサービス（ACS）URLは、IDプロバイダー（IdP）のポータルで入力します。

   • IDプロバイダーの詳細は、IdP URLまたはIdPメタデータXMLのいずれかが必要となるフィールドです。

7. ユーザーのサインイン方法と、新しいアカウントを自動作成するかどうかを選択し、保存して有効化を選択します。これらの選択はすべて、保存前に行うことができます。最初に保存してから設定を再度開く必要はありません。

エンタープライズプランの組織オーナーは、組織内のすべてのワークスペースでSAML SSOを管理できます。組織は複数のSAML構成を持つことができるため、異なるユーザーグループが異なるIDプロバイダーを使ってサインインできます。これは、ビジネスユニット、地域のITチーム、または買収した企業がそれぞれ独自のプロバイダーを持っている場合に役立ちます。

新しいSAML構成を追加するには：

1. ワークスペース切り替えメニューを開き、組織を管理するを選択します。まだ設定していない場合は、まず組織の設定を行う必要があるかもしれません。組織レベルのコントロールについてはこちら →をご覧ください。

2. 組織設定の一般タブで、SAML構成をクリックします。組織が持つすべてのSAML構成が表示されます。

3. 構成を作成を選択し、所属するビジネスユニットやプロバイダーなど、チームが認識できる名前を付けます。

4. ログインにSAML SSOを有効にするを選択し、選択したメールドメインのログインオプションとしてこれを設定します。

5. この構成の対象となるユーザーのログイン方法を設定します。任意のメソッドを選択すると、ユーザーはこのSAMLを追加のログインオプションとして使用してサインインできます。SAML SSOのみを選択すると、ユーザーはこのSAMLを使用してのみサインインする必要があります。

6. 自動アカウント作成を選択すると、選択したメールドメインを使用してサインアップする新しいSAML SSOユーザーのアカウントが自動的に作成されます。

7. 構成用に1つ以上の検証済みメールドメインを選択します。検証済みドメインを追加すると、そのドメインでログインするすべてのユーザーがこのSAMLを使用できるようになります。ドメインを追加するには、事前に検証が必要です。ドメイン検証の手順についてはこちら →をご覧ください。

8. この構成のAssertion Consumer Service (ACS) URLをコピーし、IDプロバイダーに追加します。各構成には独自のACS URLがあるため、各プロバイダーの側でそれぞれ個別のアプリを設定してください。

9. この構成のSAML SSO Entity IDをコピーし、IDプロバイダーに追加します。

10. プロバイダーの詳細をIdPメタデータURLで追加するか、IdPメタデータXMLで追加するかを選択します。

11. IDPからURLを貼り付け、保存します。

ワークスペースに対してSAML SSOの設定を完了すると、メンバーはユーザー名/パスワードやGoogle認証などの他のログイン方法に加えて、SAML SSOでログインできるようになります。

これは、SAMLの初回セットアップ時に同じ保存操作の中で選択できます。後から変更することも可能です。

メンバーがSAML SSOのみを使用してログインし、他の方法を使用できないようにしたい場合は、SAML SSO設定に移動し、ログイン方法を「SAML SSOのみ」に更新してください。これを行うと、ワークスペースのユーザーはログアウトされ、SAML SSOを使用して再度ログインする必要があります。SAML SSOは、検証済みドメインを使用するメンバーに対してのみ強制されます。

エンタープライズプランでは、構成ごとにこれを設定します。ログイン方法をSAML SSOのみに設定すると、その構成内のドメインに適用され、他の構成には影響しません。ドメインは複数の構成の一部になることができますが、一度に必須にできるのはそのうちの1つだけです。

ビジネスプランでは、このようになります。

エンタープライズプランでは、このようになります。

IdPまたはSAMLの失敗が発生した場合、特定のユーザーはメールアドレスとパスワードの認証情報を使用してSAML SSOをバイパスできます。これらのユーザーはログインして、設定を無効化または更新することができます。

• SAML設定が組織レベルで管理されている場合、組織オーナーのみがSSOをバイパスできます。

• SAML設定がワークスペースレベルで管理されている場合、ワークスペースオーナーのみがSSOをバイパスできます。

これは、組織が複数の構成を持っている場合も同様に機能します。組織オーナーは、メールとパスワードでサインインした後、問題を引き起こしている構成を修正したり、無効にしたり、必須設定を解除したりできます。

ワークスペースレベルのSAML認証により、エンタープライズはユーザーのメールドメインに関係なく、ワークスペースへのアクセスにSAML SSOを必須にすることができます。これにより、ワークスペースでのコラボレーションがより安全になります。

ワークスペースレベルのSAML認証を有効にするには：

1. ワークスペース切り替えメニューを開き、組織を管理するを選択します。まだ設定していない場合は、まず組織の設定を行う必要があるかもしれません。組織レベルのコントロールについてはこちら →をご覧ください。

2. 組織設定の一般タブで、SAML構成を選択します。

3. ワークスペースのリストで、各ワークスペースに必要なSAML構成を選択します。ワークスペースに構成を割り当てないままにすることも可能です。

有効にすると、組織のIdPでまだ認証されていない対象ワークスペースのメンバーには、追加の認証画面が表示されます。組織のワークスペースを引き続き表示するには、SAML SSOによる認証を完了する必要があります。

ワークスペースが特定の構成を必要とする場合、そのプロバイダーでまだサインインしていないメンバーは、ワークスペースを開く際にサインインを求められます。Notionは、サインイン完了後にワークスペースに戻します。異なるプロバイダーを必要とする2つのワークスペースで作業しているメンバーは、それぞれへのサインインを求められる場合があります。

Notionは、SAML SSOの使用時にジャストインタイム（JIT）プロビジョニングをサポートしています。これにより、SAML SSOでサインインしたユーザーは、メンバーとしてワークスペースに自動的に参加できます。これは、SAMLのセットアップ時に同じ保存操作の中でオンにすることができます。

ビジネスプランを利用中でジャストインタイムプロビジョンを有効にするには、設定→認証の順に移動し、アカウントの自動作成が有効になっていることを確認します。

エンタープライズプランを利用中でジャストインタイム（JIT）プロビジョニングを有効にするには、組織設定 → 一般の順に移動し、アカウントの自動作成が有効になっていることを確認します。

エンタープライズプランでは、構成ごとに自動アカウント作成のオン/オフを切り替えることができます。新しいユーザーが追加されるワークスペースは組織全体で設定されるため、どのプロバイダーを使用した場合でも同じワークスペースになります。他のワークスペースへのアクセス権は、通常の方法で付与してください。

• ビジネスプランのワークスペースでは、1つの構成を使用します。エンタープライズプランでは、複数のSAML構成を使用できます。

• 1つの組織で最大25個の構成を持つことができます。確認済みドメインの数に制限はありません。

• 確認済みドメインは複数の構成の一部となることができますが、一度に必須にできるのはそのうちの1つだけです。

• 親ドメインはサブドメインをカバーしません。プロバイダーに送信する各ドメインとサブドメインを確認してから、それを構成に追加してください。

• メールドメインは1つのNotion組織にのみ所属できます。2つの組織で共有できません。

• 組織のオーナー、およびすでにSAMLを管理している管理者のみが、構成の追加や変更を行えます。メンバーは行えません。