SAML SSO

Met SSO kun je gebruikersbeheer over verschillende systemen stroomlijnen en hoeven eindgebruikers niet langer meerdere wachtwoorden te onthouden en te beheren, omdat ze kunnen inloggen via één enkel toegangspunt en genieten van een naadloze ervaring in meerdere applicaties.

Om SSO te gebruiken met Notion:

• Je workspace moet een Business-abonnement of Enterprise-abonnement hebben.

• Je Identity Provider (IdP) moet de SAML 2.0-standaard ondersteunen. Zie de instructies voor het instellen van de Identity Provider voor specifieke applicaties hier →

• Een workspace-eigenaar moet SAML SSO configureren voor de Notion-workspace.

• Ten minste één domein moet worden geverifieerd door een workspace-eigenaar. Meer informatie over domeinverificatie →

Om SAML SSO in te stellen voor een Business-workspace, kan een workspace-eigenaar:

1. Ga naar Settings → General.

2. Verwijder alle e-maildomeinen in de sectie Toegestane e-maildomeinen.

3. Selecteer het tabblad Identiteit in Instellingen.

   

4. Verifieer een of meer domeinen. Zie de instructies voor domeinverificatie hier →

5. Schakel Enable SAML SSO in en het dialoogvenster SAML SSO-configuratie verschijnt automatisch en vraagt je om de configuratie te voltooien.

6. Het SAML SSO-configuratiedialoogvenster is verdeeld in twee delen:

   • De Assertion Consumer Service (ACS) URL moet in je Identity Provider (IdP)-portaal worden ingevoerd.

   • De Identity Provider-details is een veld waarin je een IdP-URL of IdP-metadata-XML moet opgeven.

7. Kies hoe mensen inloggen en of er nieuwe accounts voor hen worden aangemaakt, en selecteer vervolgens Opslaan & inschakelen. Je kunt al deze keuzes maken voordat je opslaat. Je hoeft niet eerst op te slaan en de instellingen opnieuw te openen.

Organisatie-eigenaren met een Enterprise-abonnement kunnen SAML SSO beheren voor elke workspace in hun organisatie. Een organisatie kan meer dan één SAML-configuratie hebben, zodat verschillende groepen mensen kunnen inloggen met verschillende identiteitsproviders. Dit is handig wanneer bedrijfsonderdelen, regionale IT-teams of bedrijven die je hebt overgenomen elk hun eigen provider hebben.

Een nieuwe SAML-configuratie toevoegen:

1. Open de workspace-switcher en selecteer Organisatie beheren. Mogelijk moet je eerst Organisatie instellen selecteren als je dat nog niet hebt gedaan. Meer informatie over controles op organisatieniveau vind je hier →

2. Klik op SAML-configuraties in het tabblad General van je organisatie-instellingen. Je ziet elke SAML-configuratie die je organisatie heeft.

3. Selecteer Create configuration en geef deze een naam die je team herkent, zoals het bedrijfsonderdeel of de provider waartoe deze behoort.

4. Selecteer Enable SAML SSO for login om dit in te stellen als inlogoptie voor de geselecteerde e-maildomeinen.

5. Stel de Login method in voor de mensen die onder deze configuratie vallen. Kies Any method om gebruikers te laten inloggen met deze SAML als extra inlogoptie, of Only SAML SSO als gebruikers verplicht alleen met deze SAML moeten inloggen.

6. Selecteer Automatic account creation om automatisch accounts aan te maken voor nieuwe SAML SSO-gebruikers die zich aanmelden met een van de geselecteerde e-maildomeinen.

7. Kies een of meer geverifieerde e-maildomeinen voor de configuratie. Het toevoegen van een geverifieerd domein betekent dat elke gebruiker die inlogt met dat domein deze SAML kan gebruiken. Een domein moet zijn geverifieerd voordat je het kunt toevoegen. Zie instructies voor domeinverificatie hier →

8. Kopieer de Assertion Consumer Service (ACS) URL voor deze configuratie en voeg deze toe aan je identiteitsprovider. Elke configuratie heeft zijn eigen ACS URL, dus geef elke provider zijn eigen app aan hun kant.

9. Kopieer de SAML SSO Entity ID voor deze configuratie en voeg deze toe aan je identiteitsprovider.

10. Kies of je de details van je provider wilt toevoegen met een IdP-metadata-URL of IdP-metadata-XML.

11. Plak de URL van je IdP en sla op.

Zodra je de configuratie van SAML SSO voor een workspace hebt voltooid, kunnen leden inloggen via SAML SSO naast andere inlogmethoden, zoals gebruikersnaam en wachtwoord of Google-authenticatie.

Je kunt dit kiezen tijdens het eerste instellen van SAML, bij hetzelfde opslaan. Later kun je het ook nog aanpassen.

Als je wilt garanderen dat leden alleen kunnen inloggen met SAML SSO en geen andere methode, ga dan naar je SAML SSO-instellingen en werk de inlogmethode bij naar Alleen SAML SSO. Zodra dit gebeurt, worden workspace-gebruikers uitgelogd en moeten ze opnieuw inloggen met SAML SSO. SAML SSO wordt alleen afgedwongen voor leden die je geverifieerde domein gebruiken.

Op het Enterprise-abonnement stel je dit in voor elke configuratie. Het instellen van de Login method op Only SAML SSO is van toepassing op de domeinen in die configuratie en laat je andere configuraties ongemoeid. Een domein kan deel uitmaken van verschillende configuraties, maar er kan er telkens maar één vereist zijn.

Op het Business-abonnement ziet dit er als volgt uit:

Op het Enterprise-abonnement ziet dit er als volgt uit:

In het geval van een IdP- of SAML-storing kunnen bepaalde gebruikers SAML SSO omzeilen door hun e-mail en wachtwoord te gebruiken. Zij kunnen inloggen en hun configuratie uitschakelen of bijwerken.

• Als een SAML-configuratie op organisatieniveau wordt beheerd, kunnen alleen organisatie-eigenaren SSO omzeilen.

• Als een SAML-configuratie op workspace-niveau wordt beheerd, kunnen alleen workspace-eigenaren SSO omzeilen.

Dit werkt hetzelfde wanneer je organisatie meer dan één configuratie heeft. Een organisatie-eigenaar kan inloggen met een e-mail en wachtwoord en vervolgens de configuratie die het probleem veroorzaakt herstellen, uitschakelen of de vereiste ervan opheffen.

SAML-autorisatie op workspace-niveau stelt ondernemingen in staat om SAML SSO te vereisen voor toegang tot de workspace, ongeacht het e-maildomein van een gebruiker. Dit maakt veiligere externe samenwerking in je workspace mogelijk.

SAML-autorisatie op workspace-niveau inschakelen:

1. Open de workspace-switcher en selecteer Organisatie beheren. Mogelijk moet je eerst Organisatie instellen selecteren als je dat nog niet hebt gedaan. Meer informatie over controles op organisatieniveau vind je hier →

2. Selecteer SAML-configuraties in het tabblad General van je organisatie-instellingen.

3. Kies in de lijst met workspaces welke SAML-configuratie elke workspace vereist. Je kunt een workspace ook zonder laten.

Wanneer dit is ingeschakeld, krijgen leden van de betreffende workspaces die nog niet zijn geautoriseerd met de IdP van je organisatie een extra autorisatiescherm te zien. Zij moeten via SAML SSO inloggen om de workspaces van je organisatie te kunnen blijven bekijken.

Als een workspace een specifieke configuratie vereist, worden leden die nog niet met die provider zijn ingelogd, gevraagd dit te doen wanneer ze de workspace openen. Notion brengt ze terug naar de workspace zodra ze klaar zijn. Iemand die in twee workspaces werkt die verschillende providers vereisen, kan worden gevraagd om bij elk in te loggen.

Notion ondersteunt Just-in-Time provisioning bij gebruik van SAML SSO. Hierdoor kan iemand die inlogt via SAML SSO automatisch als lid aan de workspace worden toegevoegd. Je kunt dit inschakelen terwijl je SAML instelt, bij hetzelfde opslaan.

Om Just-in-Time provisioning in te schakelen als je het Business-abonnement hebt, ga je naar Instellingen→Identiteit en zorg je dat Automatische accountaanmaak is ingeschakeld.

Om Just-in-Time provisioning in te schakelen als je het Enterprise-abonnement hebt, ga je naar je organisatie-instellingen → Algemeen en zorg je dat Automatisch account aanmaken is ingeschakeld.

Op het Enterprise-abonnement kun je Automatic account creation in- of uitschakelen voor elke configuratie. De workspace waaraan nieuwe mensen worden toegevoegd, is ingesteld voor de hele organisatie, dus deze is hetzelfde, ongeacht welke provider ze hebben gebruikt. Geef mensen toegang tot andere workspaces zoals je dat normaal zou doen.

• Werkruimten met een Business-abonnement gebruiken één configuratie. Enterprise-abonnementen staan meer dan één SAML-configuratie toe.

• Een organisatie kan maximaal 25 configuraties hebben. Er is geen limiet voor geverifieerde domeinen.

• Een geverifieerd domein kan deel uitmaken van verschillende configuraties, maar er kan er telkens slechts één vereist zijn.

• Een hoofddomein dekt de subdomeinen niet. Verifieer elk domein en subdomein dat je naar een provider wilt sturen en voeg het vervolgens toe aan een configuratie.

• Een e-maildomein kan bij slechts één Notion-organisatie horen. Twee organisaties kunnen dit niet delen.

• Alleen organisatie-eigenaren en beheerders die al SAML beheren, kunnen configuraties toevoegen of wijzigen. Leden kunnen dit niet.