SAML 单点登录

通过 SSO，你可以简化跨系统的用户管理，并让终端用户在单一访问点登录，从而免去记住和管理多个密码的烦恼，同时在多个应用中享受无缝体验。

要在 Notion 中使用 SSO：

• 你的工作空间必须是商业版或企业版。

• 你的身份提供商 (IdP) 必须支持 SAML 2.0 标准。查看特定应用的身份提供商设置说明 此处 →

• 工作空间所有者必须为 Notion 工作空间配置 SAML SSO。

• 工作空间所有者必须验证至少一个域名。了解更多关于域名验证 →

要为商业版工作空间设置 SAML SSO，工作空间所有者可以：

1. 前往 设置 → 常规。

2. 在 已授权电子邮件域部分，删除所有电子邮件域。

3. 在 设置 中选择 身份 选项卡。

   

4. 验证一个或多个域名。查看域名验证说明 →

5. 开启 启用 SAML SSO，SAML SSO 配置模块会自动弹出，并提示你完成设置。

6. SAML SSO 配置模块分为两部分：

   • 断言消费者服务 (ACS) URL 需要在你的身份提供商 (IdP) 门户中输入。

   • 身份提供商详细信息 是一个字段，你需要在其中提供 IdP URL 或 IdP 元数据 XML。

7. 选择用户登录方式以及是否为他们创建新帐号，然后选择 保存并启用。你可以在保存前做出所有这些选择。无需先保存再重新打开设置。

企业版的 组织所有者 可以管理其组织内每个工作空间的 SAML SSO。一个组织可以拥有多个 SAML 配置，因此不同的人员组可以使用不同的身份提供商登录。当业务部门、区域 IT 团队或你收购的公司各自拥有自己的提供商时，这就很有帮助。

要添加新的 SAML 配置：

1. 打开工作空间切换（器）并选择 管理组织。如果你还没有设置组织，可能需要先执行 设置组织。阅读 组织级控件此处 → 以了解更多信息。

2. 在组织设置的 常规 选项卡中，点击 SAML 配置。你将看到组织拥有的所有 SAML 配置。

3. 选择 创建配置 并为其命名，以便你的团队能够识别，例如它所属的业务部门或提供商。

4. 选择 启用 SAML SSO 登录 以将其设置为所选（电子）邮件域名的登录选项。

5. 为该配置涵盖的人员设置 登录方式。选择 任何方式 以允许用户将此 SAML 作为额外的登录选项，或选择 仅限 SAML SSO，这要求用户仅能通过此 SAML 登录。

6. 选择 自动创建帐号，以便为使用所选（电子）邮件域名之一注册的新 SAML SSO 用户自动创建帐号。

7. 为该配置选择一个或多个已验证的（电子）邮件域名。添加已验证的域名意味着任何使用该域名登录的用户都将能够使用此 SAML。域名必须先经过验证，然后才能添加。查看 域名验证指令此处 →

8. 拷贝此配置的 断言消费者服务 (ACS) URL 并将其添加到你的身份提供商中。每个配置都有其自己的 ACS URL，因此请在每个提供商端为其分配各自的应用。

9. 拷贝此配置的 SAML SSO 实体 ID 并将其添加到你的身份提供商中。

10. 选择是通过 IdP 元数据 URL 还是 IdP 元数据 XML 添加提供商的详细信息。

11. 从你的 IDP 粘贴 URL，然后保存。

一旦你完成了工作空间的 SAML 单点登录配置，成员不仅可以使用用户名和密码或 Google 身份验证等其他登录方式登录，还能通过 SAML 单点登录进行登录。

你可以在首次设置 SAML 时选择此项，并在同一次保存中完成。你也可以稍后进行更改。

如果你想确保成员只能使用 SAML 单点登录而不能通过其他方式登录，请前往你的 SAML 单点登录设置，并将登录方式更新为“仅限 SAML 单点登录”。一旦执行此操作，工作空间用户将被登出，并需通过 SAML 单点登录重新登录。SAML 单点登录只对使用你已验证的域名的成员强制执行。

在企业版中，你需要为每个配置进行此设置。将 登录方式 设置为 仅限 SAML SSO 仅适用于该配置中的域名，不会影响你的其他配置。一个域名可以属于多个配置，但一次只能强制要求其中一个配置。

在商业版，界面如下所示：

在企业版，界面如下所示：

如果身份提供商 (IdP) 或 SAML 出现故障，某些用户将能够通过使用其电子邮件和密码凭据来绕过 SAML 单点登录。他们将能够登录并禁用或更新其配置。

• 如果 SAML 配置是在组织级别管理的，则只有组织所有者能够绕过单点登录。

• 如果 SAML 配置是在工作空间级别管理的，则只有工作空间所有者能够绕过单点登录。

当你的组织拥有多个配置时，其工作原理相同。组织所有者可以使用（电子）邮件和密码登录，然后修复、关闭或停止强制要求导致问题的配置。

工作空间级 SAML 授权允许企业要求通过 SAML 单点登录来访问工作空间，无论用户的电子邮件域名如何。这可以在你的工作空间中实现更安全的外部协作。

要启用工作空间级 SAML 授权：

1. 打开工作空间切换（器）并选择 管理组织。如果你还没有设置组织，可能需要先执行 设置组织。阅读 组织级控件此处 → 以了解更多信息。

2. 在组织设置的 常规 选项卡中，选择“SAML 配置”。

3. 在工作空间列表中，选择每个工作空间所需的 SAML 配置。你可以让工作空间不关联任何配置。

启用后，受影响工作空间的成员如果尚未通过你组织的身份提供商 (IdP) 进行授权，将会看到一个额外的授权屏幕。他们需要通过 SAML 单点登录才能继续查看你组织的工作空间。

如果工作空间需要特定的配置，尚未通过该提供商登录的成员在打开工作空间时会被要求进行登录。完成后，Notion 会将他们带回工作空间。在两个需要不同提供商的工作空间中工作的成员可能会被要求分别登录每个工作空间。

Notion 在使用 SAML 单点登录时支持即时配置。这允许通过 SAML 单点登录登录的用户自动以成员身份加入工作空间。你可以在设置 SAML 时开启此功能，并在同一次保存中完成。

如果你使用的是商业版，要启用即时配置，请前往 设置→身份，并确保已启用 自动创建帐号。

如果你使用的是企业版，要启用即时配置，请前往你的组织设置 → 常规，并确保已启用 自动创建帐号。

在企业版中，你可以为每个配置开启或关闭 自动创建帐号。新成员被添加到的工作空间是针对整个组织设置的，因此无论他们使用哪个提供商，结果都是一样的。请按照通常的方式授予人员访问其他工作空间的权限。

• 商业版工作空间使用一种配置。企业版允许使用多个 SAML 配置。

• 一个组织最多可以拥有 25 个配置。对已验证域的数量没有限制。

• 一个已验证域可以属于多个配置，但一次只能要求使用其中一个。

• 父域不包含其子域。请验证你想要发送给提供商的每个域和子域，然后将其添加到配置中。

• 一个（电子）邮件域名只能属于一个 Notion 组织。两个组织不能共享同一个域名。

• 只有组织所有者和已经管理 SAML 的管理员才能添加或更改配置。成员无法执行此操作。