SAML SSO

I det här hjälpdokumentet

Notion erbjuder Single sign-on-funktionalitet för Business- och Enterprise-kunder så att de kan få åtkomst till appen via en enda autentiseringskälla. Detta möjliggör för IT-administratörer att bättre hantera teamåtkomst och ökar informationssäkerheten.

Obs: Denna funktion är endast tillgänglig för användare med Business-abonnemang eller Enterprise-abonnemang.

Vad är SAML SSO?

Med SSO kan du effektivisera användarhantering över olika system och ta bort behovet för slutanvändare att komma ihåg och hantera flera lösenord genom att låta dem logga in vid en enda åtkomstpunkt och få en sömlös upplevelse över flera applikationer.

Vem kan använda SAML SSO med Notion?

För att använda SSO med Notion:

Din arbetsyta måste vara på Business-abonnemang eller Enterprise-abonnemang.
Din identitetsleverantör (IdP) måste ha stöd för standarden SAML 2.0. Se instruktioner för konfiguration av identitetsleverantör för specifika appar här →
Arbetsytans ägare måste konfigurera SAML SSO för Notion-arbetsytan.
Minst en domän måste verifieras av arbetsytans ägare. Läs mer om domänverifiering →

Obs: Endast arbetsytans medlemmar kan använda SAML SSO för att logga in. Gäster som bjudits in till sidor i en Notion-arbetsyta med SAML aktiverat kan inte logga in med SAML SSO. Istället måste de använda en annan inloggningsmetod, som sitt användarnamn och lösenord eller logga in med Google eller Apple.

Ställ in SAML SSO för en arbetsyta

Företags-plan

För att ställa in SAML SSO för en Business-arbetsyta kan en ägare av arbetsytan:

Gå till Inställningar → Allmänt.
I avsnittet Tillåtna e-postdomäner, ta bort alla e-postdomäner.
Välj fliken Identitet i Inställningar.
Verifiera en eller flera domäner. Se instruktioner för domänverifiering här →
Växla på Aktivera SAML SSO så visas dialogrutan för SAML SSO-konfiguration automatiskt och uppmanar dig att slutföra inställningarna.
Dialogrutan för SAML SSO-konfiguration är uppdelad i två delar:
- Assertion Consumer Service (ACS) URL måste anges i din Identity Provider (IdP)-portal.
- Identity Provider Details är ett fält där du behöver ange antingen en IdP-URL eller IdP-metadata-XML.
Välj hur personer loggar in och om nya konton ska skapas åt dem, och välj sedan Spara & aktivera. Du kan göra alla dessa val innan du sparar. Du behöver inte spara först och öppna inställningarna igen.

Obs: En arbetsyta för Business-abonnemang använder en SAML-konfiguration. Om du behöver mer än en identitetsleverantör måste du uppgradera till Enterprise-abonnemanget.

Företagsplan

Organisationsägare med Enterprise-abonnemang kan hantera SAML SSO för varje arbetsyta i sin organisation. En organisation kan ha mer än en SAML-konfiguration, så att olika grupper av personer kan logga in med olika identitetsleverantörer. Detta är användbart när affärsenheter, regionala IT-team eller företag du har förvärvat har var sin leverantör.

Obs: En organisation kan ha upp till 25 SAML-konfigurationer. Det finns ingen gräns för hur många domäner du verifierar.

För att lägga till en ny SAML-konfiguration:

Öppna arbetsyteväxlaren och välj Hantera organisation. Du kan behöva välja Ställa in organisation först om du inte redan har gjort det. Läs mer om kontroller på organisationsnivå här →
På fliken Allmänt i dina organisationsinställningar, klicka på SAML-konfigurationer. Du kommer att se varje SAML-konfiguration som din organisation har.
Välj Skapa konfiguration och ge den ett namn som ditt team känner igen, till exempel den affärsenhet eller leverantör den tillhör.
Välj Aktivera SAML SSO för inloggning för att ställa in detta som ett inloggningsalternativ för de valda e-postdomänerna.
Ställ in Inloggningsmetod för de personer som denna konfiguration omfattar. Välj Valfri metod för att låta användare logga in med denna SAML som ett ytterligare inloggningsalternativ, eller Endast SAML SSO vilket kräver att användare endast loggar in med denna SAML.
Välj Automatisk kontoskapning för att automatiskt skapa konton för nya SAML SSO-användare som registrerar sig med en av de valda e-postdomänerna.
Välj en eller flera verifierade e-postdomäner för konfigurationen. Att lägga till en verifierad domän innebär att alla användare som loggar in med den domänen kommer att kunna använda denna SAML. En domän måste verifieras innan du kan lägga till den. Se instruktioner för domänverifiering här →
Kopiera Assertion Consumer Service (ACS) webbadress för denna konfiguration och lägg till den i din identitetsleverantör. Varje konfiguration har sin egen ACS-webbadress, så ge varje leverantör en egen app på deras sida.
Kopiera SAML SSO Entity ID för denna konfiguration och lägg till den i din identitetsleverantör.
Välj om du vill lägga till din leverantörs uppgifter med en IdP-metadata-URL eller IdP-metadata-XML.
Klistra in webbadressen från din IDP och spara sedan.

Obs: Om din organisation redan använder SAML SSO, förs den inställningen över som din första konfiguration. Dina verifierade domäner förblir kopplade till den, och ingen behöver logga in igen.

Tvinga SAML SSO

När du har slutfört konfigurationen av SAML SSO för en arbetsyta kommer medlemmar att kunna logga in via SAML SSO utöver andra inloggningsmetoder, som användarnamn och lösenord eller Google-autentisering.

Du kan välja detta när du konfigurerar SAML tillsammans med övriga inställningar. Du kan också ändra det senare.

Om du vill säkerställa att medlemmar endast kan logga in med SAML SSO och ingen annan metod, gå till dina SAML SSO-inställningar och uppdatera inloggningsmetoden till Endast SAML SSO. När detta sker kommer arbetsyteanvändare att loggas ut och behöva logga in igen med SAML SSO. SAML SSO kommer endast att tillämpas för medlemmar som använder din verifierade domän.

På Enterprise-abonnemanget ställer du in detta för varje konfiguration. Att ställa in Inloggningsmetod till Endast SAML SSO gäller för domänerna i den konfigurationen och påverkar inte dina andra konfigurationer. En domän kan vara en del av flera konfigurationer, men endast en av dem kan krävas åt gången.

På Business-abonnemanget ser detta ut så här:

På Enterprise-abonnemanget ser detta ut så här:

SSO-förbikoppling

I händelse av IdP- eller SAML-fel kommer vissa användare att kunna kringgå SAML SSO genom att använda sina inloggningsuppgifter för e-post och lösenord. De kommer att kunna logga in och inaktivera eller uppdatera sin konfiguration.

Om en SAML-konfiguration hanteras på organisationsnivå kommer endast organisationsägare att kunna kringgå SSO.
Om en SAML-konfiguration hanteras på arbetsytenivå kommer endast arbetsytans ägare att kunna kringgå SSO.

Detta fungerar på samma sätt när din organisation har mer än en konfiguration. En organisationsägare kan logga in med e-post och lösenord och sedan åtgärda, stänga av eller sluta kräva den konfiguration som orsakar problemet.

Kräv SAML SSO-auktorisering för åtkomst till arbetsyta

Obs: Den här funktionen är endast tillgänglig för användare med Enterprise-abonnemanget. Domänverifiering krävs inte för att aktivera den här funktionen.

SAML-auktorisering på arbetsytenivå gör det möjligt för företag att kräva SAML SSO för åtkomst till arbetsyta, oavsett användarens e-postdomän. Detta möjliggör säkrare externt samarbete i din arbetsyta.

Så här aktiverar du SAML-auktorisering på arbetsytenivå:

Öppna arbetsyteväxlaren och välj Hantera organisation. Du kan behöva Ställa in organisation först om du inte redan har gjort det. Läs mer om kontroller på organisationsnivå här →
På fliken Allmänt i dina organisationsinställningar, välj SAML-konfigurationer.
I listan över arbetsytor väljer du vilken SAML-konfiguration varje arbetsyta kräver. Du kan lämna en arbetsyta utan någon.

Obs: Innan du aktiverar, se till att alla medlemmar har lagts till i din identitetsleverantör (IdP) för att förhindra oavsiktlig utelåsning från arbetsytan.

När det är aktiverat kommer medlemmar i de berörda arbetsytorna som ännu inte har auktoriserats med din organisations IdP att mötas av en ytterligare auktoriseringsskärm. De måste gå igenom SAML SSO för att fortsätta se din organisations arbetsytor.

Om en arbetsyta kräver en specifik konfiguration ombeds medlemmar som inte har loggat in med den leverantören än att göra det när de öppnar arbetsytan. Notion tar dem tillbaka till arbetsytan när de är klara. Någon som arbetar i två arbetsytor som kräver olika leverantörer kan bli ombedd att logga in på var och en.

Just-in-Time (JIT)-etablering

Notion stödjer Just-in-Time-provisionering vid användning av SAML SSO. Detta gör att någon som loggar in via SAML SSO automatiskt kan ansluta till arbetsytan som medlem. Du kan aktivera detta när du konfigurerar SAML, tillsammans med övriga inställningar.

För att aktivera Just-in-Time-provisionering om du har Business-abonnemang, gå till Inställningar→Identitet och se till att Automatisk kontoskapande är aktiverat.

För att aktivera Just-in-Time-provisionering om du har Enterprise-abonnemang, gå till dina organisationsinställningar → Allmänt och se till att Automatisk kontoskapande är aktiverat.

På Enterprise-abonnemanget kan du aktivera eller inaktivera Automatisk kontoskapning för varje konfiguration. Arbetsytan som nya personer läggs till i är inställd för hela organisationen, så den är densamma oavsett vilken leverantör de använde. Ge personer åtkomst till andra arbetsytor på det sätt du normalt skulle göra.

Obs: Vi rekommenderar inte att aktivera Just-in-Time-etablering om du använder SCIM. Att ha en ”tillåten e-postdomän” på plats gör att användare med den domänen kan gå med i arbetsytan, så det kan uppstå en diskrepans mellan medlemskap i deras identitetsleverantörer och Notion.

Läs mer

Konfigurera identitetsleverantör (IdP) för SAML SSO

Bra att veta

Arbetsytor för Business-abonnemang använder en konfiguration. Enterprise-abonnemang tillåter mer än en SAML-konfiguration.
En organisation kan ha upp till 25 konfigurationer. Det finns ingen gräns för verifierade domäner.
En verifierad domän kan ingå i flera konfigurationer, men endast en av dem kan krävas åt gången.
En huvuddomän täcker inte dess underdomäner. Verifiera varje domän och underdomän som du vill skicka till en leverantör, och lägg sedan till den i en konfiguration.
En e-postdomän kan bara tillhöra en Notion-organisation. Två organisationer kan inte dela den.
Endast organisationsägare, och administratörer som redan hanterar SAML, kan lägga till eller ändra konfigurationer. Medlemmar kan inte.

Vanliga frågor

Varför kan jag inte aktivera SAML SSO?

Den vanligaste orsaken är att du ännu inte har verifierat ägandet av en domän. Om så är fallet märker du att du antingen inte har några domäner angivna under avsnittet för e-postdomänverifiering eller att domänen väntar på verifiering.

För nästa steg, se våra instruktioner om hur du slutför domänverifiering här →

Varför kan jag inte redigera mina SAML SSO-inställningar?

Det är möjligt att du försöker ändra de verifierade domänerna eller SSO-konfigurationen från en länkad arbetsyta som redan är kopplad till en annan SSO-konfiguration.

I länkade arbetsytor är alla inställningar för domänhantering och SSO-konfiguration skrivskyddade. För att ändra SSO-konfigurationen eller ta bort den här arbetsytan från SSO-konfigurationen måste du ha åtkomst till den primära arbetsytan. Namnet på den primära arbetsytan finns högst upp på fliken Identity & Provisioning i dina inställningar.

Varför behöver jag verifiera en domän för att aktivera SSO?

Vi ber om att ägandet av e-postdomänen valideras för att säkerställa att endast ägaren av domänen kan anpassa hur användarna loggar in på Notion.

Jag har problem med att ställa in SSO.

Prova att använda en URL istället för en XML.
Testa konfigurationsprocessen med ett testkonto innan du aktiverar den för användare.
Om inget av dessa alternativ hjälper, kontakta supporten på
[email protected].

Varför bör jag ta bort e-postdomäner från inställningen ”Tillåtna e-postdomäner” innan jag konfigurerar SAML SSO för min arbetsyta?

Inställningen Tillåtna e-postdomäner gör att användare med de valda domänerna kan få åtkomst till din arbetsyta utan att bli provisionerade via din IdP. För att säkerställa att endast användare som provisionerats via din IdP kan få åtkomst till din SAML-aktiverade arbetsyta, inaktivera den här funktionen genom att ta bort alla e-postdomäner från listan Tillåtna e-postdomäner.

Kan jag fortfarande logga in i Notion om min identitetsleverantör (IdP) ligger nere?

Ja, även med Tvinga SAML aktiverat har arbetsytans ägare möjlighet att logga in med e-post. En arbetsytans ägare kan ändra SAML-konfigurationen för att inaktivera Tvinga SAML, så att användare kan logga in med e-post igen.

Hur tillåter jag att administratörer för andra arbetsytor i min SAML-konfiguration skapar nya arbetsytor?

Endast administratörerna för din primära arbetsyta kan skapa nya arbetsytor med dina verifierade domäner. Vänligen kontakta vår support ([email protected]) om du vill byta primär SAML-arbetsyta till en annan länkad arbetsyta i din SAML-konfiguration.

Måste jag spara mina SAML-inställningar två gånger?

Nej. Du kan lägga till dina leverantörsuppgifter, välja hur personer loggar in och välja om nya konton ska skapas, och sedan spara en gång. Allt träder i kraft samtidigt.

Kan vart och ett av våra team använda sin egen identitetsleverantör?

Ja, om du har Enterprise-abonnemanget. En organisationsägare kan lägga till en konfiguration för varje leverantör och välja vilka verifierade e-postdomäner som ska använda den.

Kan två leverantörer krävas för samma e-postdomän?

Nej. En domän kan ingå i flera konfigurationer, men endast en av dem kan krävas åt gången.