为 Notion MCP 设置企业托管连接

企业托管连接让你的 IT 团队可以在一个地方统一管理 Claude 等第三方 AI 工具如何连接到 Notion。无需每个人自行批准连接，管理员只需为所有人设置一次即可。Notion 仍会在每次请求时检查每个人的访问权限以及你工作空间的管理员设置。你可以通过两种方式进行设置：使用你自己的身份提供商（例如 Okta），或者信任 Claude 来确认谁是你的团队成员，这样任何单点登录提供商均可使用。

• 你的工作空间必须使用企业版。

• 你需要选择一个颁发者，也就是确认成员身份的系统：

  • 你自己的身份提供商，例如 Okta。你必须通过该提供商登录 Notion。

  • Claude 自动连接（测试版），用于确认谁是你的团队成员。你可以通过任何 SAML 单点登录提供商登录 Notion。

• 如果选择 Claude 方式，你还需要在 Notion 中设置 SAML 单点登录（任何身份提供商均可），并让你的 Notion 组织验证邮件域名。

• 该 AI 工具需要支持企业托管连接。目前，Claude 是唯一具备此一键设置功能的 AI 工具。

• 要进行此设置，你需要一位 Notion 组织所有者（如果你的工作空间不属于某个组织，则为工作空间所有者）和一位 Claude 管理员。如果你使用 Okta 进行设置，你还需要一位 Okta 管理员。

Notion MCP 通常会要求每个人批准自己的应用与 Notion 帐号之间的连接。使用企业托管连接后，你的团队就无需再执行这一步。

根据你选择的颁发者，其工作方式有两种。

使用你自己的身份提供商（例如 Okta）：

1. 成员使用贵公司的 Okta SSO 登录 Claude。

2. 当 Claude 需要 Notion 时，Okta 会根据管理员设定的规则确认是否允许该连接。

3. Notion 会检查请求是否确实来自 Okta，将成员与其 Notion 帐号进行匹配，并授予 Claude 该成员已拥有的 Notion 访问权限。仅此而已。

使用 Claude 作为颁发者：

1. 成员在 Claude 中使用 Notion。

2. Claude 会通过电子邮件地址检查此人是否仍是你的 Claude 组织成员。它不会检查此人是否已通过你的身份提供商登录或完成多重身份验证。

3. Notion 会检查该成员的电子邮件域名是否已由你的组织验证，将其与其 Notion 帐号匹配，并授予 Claude 与该成员现有权限相同的 Notion 访问权限。仅此而已。

成员不会看到 Notion 审批页面。每个连接一次最多保持活跃八小时，且 Notion 会在每次请求时检查你工作空间的设置。如果你在 Okta 中移除了某人的访问权限，或将其从你的 Claude 组织中移除，他们将无法发起新的连接，但已处于活跃状态的连接可以继续工作直到过期。若要立即停止某人的访问权限，请在 Notion 中解除其连接。

首先，选择你的颁发者。如果你使用 Okta 登录 Notion，请按照下方的 Okta 步骤操作。如果你更希望由 Claude 来确认谁是你的团队成员，请跳至下方的 设置 Claude 自动连接（测试版）。

使用 Okta 进行设置需要三个步骤：

• 在 Okta 中连接应用

• 在 Notion 中启用企业托管连接

• 在 Claude 中启用连接器

Okta 管理员可以按照以下步骤连接 Claude 和 Notion MCP：

1. 在 Okta 管理控制台中，确保已为你的 Claude 和 Notion 应用开启 SSO，并确保可使用跨应用访问 (Cross App Access)。

2. 添加 Claude 和 Notion MCP 之间的连接，并分配它应覆盖的用户或群组。

3. 记下你的 Okta 组织颁发者 URL（例如 https://acme.okta.com）。你稍后会在 Notion 中输入它。

有关详细信息，请参阅 Okta 帮助中心中的 配置跨应用访问。

Notion 组织所有者（如果你未使用组织，则为工作空间所有者）可以按照以下步骤将你的 Okta 帐号连接到你的 Notion 工作空间：

1. 转到 设置 → 身份 → 企业托管连接。如果 SAML 由 Notion 组织管理，请打开关联的组织控制台。

2. 开启企业托管连接并确认你的 Okta 颁发者 URL。它必须与你用来运行 Notion SAML 单点登录的 Okta 地址相匹配。

3. 选择此连接管理的一个工作空间，然后选择 开启。

Claude 管理员可以按照以下步骤将 Notion 添加为组织连接器：

1. 在 Claude 的管理设置中，转到 连接器 并添加 Notion 连接器 (https://mcp.notion.com/mcp)。

2. 为该连接器开启 企业托管身份验证。

3. 运行连接测试。当所有检查通过后，成员即可立即在 Claude 中使用 Notion。

如果你不使用 Okta，可以让 Claude 来确认谁是你的团队成员。你可以在 Claude 中进行此设置，无需手动复制任何内容。

开始之前，你需要：

• 企业版。

• 已在 Notion 中设置 SAML 单点登录。任何身份提供商均可使用。

  • 如果你的组织在 Notion 中拥有多个 SAML 身份提供商，

    连接 Notion

    无法确定该选择哪一个，并会报错停止。请让管理员联系支持。

  • 拥有一个 SAML 身份提供商的组织可以为一个工作空间使用 Claude。如果该提供商已管理另一个工作空间，请先在那里解除连接。

• 经你的 Notion 组织验证的电子邮件域名。

• 团队版或企业版的 Claude 管理员。此人可以是 Notion 所有者。

设置从 Claude 开始，Claude 管理员需执行以下步骤：

1. 在 Claude 中，前往 组织设置 → 连接器 → Notion → 托管授权，然后选择 设置。

2. 选择 Claude 颁发 作为身份来源，然后点击 连接 Notion。

3. 在 Notion 中批准连接。Notion 组织所有者（如果你未使用组织，则为工作空间所有者）可以批准，同一个人也可以完成这两个步骤。拥有管理企业托管连接权限的组织自定义管理员也可以批准。当你看到

   要信任 Claude 连接成员吗？，选择此连接将管理的工作空间，然后点击 信任 Claude。

4. 回到 Claude，点击 运行测试。

5. 当所有检查通过后，点击 启用并继续，然后选择谁可以使用该连接器。

6. 邮件域名已由你的组织验证的成员，现在可以在 Claude 中使用 Notion。

谁可以连接

只有邮件域名已由你的 Notion 组织验证的成员才能连接，且他们在 Claude 和 Notion 中使用的邮件地址必须一致。如果成员无法连接，请检查其域名是否已验证，以及两个邮件地址是否一致。

每个工作空间一个颁发者

每个工作空间一次仅信任一个颁发者。如需切换，请先在 Notion 的“身份”设置中移除当前设置，然后设置新的颁发者。每个 Claude 颁发者只能连接到一个 Notion 工作空间或组织。

你需要从 Claude 发起设置，不必在 Notion 设置中手动输入任何内容。之前粘贴的 Claude 颁发者仍可正常使用。如果 连接 Notion 无法正常工作，请联系支持。

• 随时关闭。 在 企业托管连接 中关闭连接后，Notion 会阻止新请求，并解除以这种方式连接的成员的连接。如果你是通过 Claude 设置的，请在 Claude 中前往 托管授权 → 禁用，将其关闭。若要让 Notion 彻底停止信任 Claude，也请在 Notion 中将其关闭。

• 移除某位成员。 在 Okta 中将此人从连接中移除，使其无法重新连接。若要立即终止现有连接，请在“身份”设置的 已断开连接的成员 列表（或 MCP 客户端列表）中解除该成员的连接。如果你是通过 Claude 设置的，请将此人从你的 Claude 组织中移除，使其无法重新连接，然后在 Notion 中解除连接，立即终止其访问权限。Claude 的目录同步会移除已删除的用户，但不会移除已暂停的用户，因此请确保此人已从 Claude 中删除。

• 重复使用电子邮件地址。 Notion 通过电子邮件匹配成员。在将前成员的电子邮件地址提供给新人之前，请移除前成员的 Notion 帐号，以免新人获取他们之前的访问权限。

• 查看谁已连接。 托管连接会显示在你工作空间的已连接 AI 应用列表中，并带有 IdP 托管徽章。

• 全面审计。 每个成员的首次托管连接都会记录在 工作空间审计日志 中；如果你已设置审计日志事件流，还会发送到你的安全监控工具。

在 Claude 中，点击 运行测试 以查看连接情况。它会运行几项检查，每一项都会指出需要修复的内容。