SAML SSO

I dette hjelpedokumentet

Notion tilbyr Single Sign-On (SSO)-funksjonalitet for Business- og Enterprise-kunder for tilgang til appen gjennom én enkelt autentiseringskilde. Dette gjør at IT-administratorer bedre kan administrere teamtilgang og holder informasjon sikrere 🔐

Merk: Denne funksjonen er kun tilgjengelig for brukere med Business- eller Enterprise-abonnement.

Hva er SAML SSO?

Med SSO kan du strømlinjeforme brukeradministrasjon på tvers av systemer, og fjerne behovet for at sluttbrukere må huske og administrere flere passord ved å la dem logge på via ett enkelt tilgangspunkt og få en sømløs opplevelse på tvers av flere applikasjoner.

Hvem kan bruke SAML SSO med Notion?

For å bruke SSO med Notion:

Arbeidsområdet ditt må være på et Business- eller Enterprise-abonnement.
Identitetsleverandøren din (IdP) må støtte SAML 2.0-standarden. Se instruksjoner for oppsett av identitetsleverandør for spesifikke apper her →
En eier av arbeidsområdet må konfigurere SAML SSO for Notion-arbeidsområdet.
Minst ett domene må verifiseres av en eier av arbeidsområdet. Lær mer om domeneverifisering →

Merk: Kun arbeidsområdemedlemmer kan bruke SAML SSO for å logge inn. Gjester som er invitert til sider i et Notion-arbeidsområde med SAML aktivert, kan ikke logge inn med SAML SSO. De må i stedet bruke en annen innloggingsmåte, som brukernavn og passord, eller logge inn med Google eller Apple.

Sett opp SAML SSO for et arbeidsområde

Business-abonnement

For å sette opp SAML SSO for et Business-arbeidsområde, kan en eier av arbeidsområdet:

Gå til Innstillinger → Generelt.
I delen Godkjente e-postdomener, fjern alle e-postdomener.
Velg fanen Identitet i Innstillinger.
Bekreft ett eller flere domener. Se instruksjoner for domeneverifisering her →
Slå på Aktiver SAML SSO, så vil modalvinduet for SAML SSO-konfigurasjon automatisk vises og be deg om å fullføre oppsettet.
Modalvinduet for SAML SSO-konfigurasjon er delt inn i to deler:
- Assertion Consumer Service (ACS) URL må legges inn i portalen for identitetsleverandøren (IdP) din.
- Identitetsleverandørdetaljer er et felt der du må oppgi enten en IdP-URL eller IdP-metadata-XML.

Enterprise-abonnement

Organisasjonseiere med Enterprise-abonnement kan administrere SAML SSO for arbeidsområdet sitt (eller flere arbeidsområder som tilhører organisasjonen deres) ved å følge disse trinnene:

Åpne arbeidsområdevelgeren og velg Administrer organisasjon. Du må kanskje sette opp organisasjon først hvis du ikke allerede har gjort det. Lær mer her →
I fanen Generelt i organisasjonsinnstillingene dine, slå på Aktiver SAML SSO.
Velg en oppsettmetode (URL eller metadata-XML), lim inn den nødvendige informasjonen fra identitetsleverandøren din (IdP), og velg Lagre og aktivere.

Merk: Foreløpig kan organisasjoner med Enterprise-abonnement kun sette opp SAML SSO med én identitetsleverandør.

Aktiver SAML SSO

Når du har fullført konfigurasjonen av SAML SSO for et arbeidsområde, vil medlemmer kunne logge inn via SAML SSO i tillegg til andre påloggingsmetoder, som brukernavn og passord eller Google-autentisering.

Hvis du vil sikre at medlemmer kun kan logge inn ved bruk av SAML SSO og ingen annen metode, går du til SAML SSO-innstillingene dine og oppdaterer innloggingsmåten til Kun SAML SSO. Når dette skjer, vil brukere av arbeidsområdet bli logget ut og påkrevd å logge inn igjen ved bruk av SAML SSO. SAML SSO vil kun bli håndhevet for medlemmer som bruker det verifiserte domenet ditt.

På Business-abonnementet vil dette se slik ut:

På Enterprise-abonnementet vil dette se slik ut:

hc: SAML SSO-håndheving i organisasjonskonsollen

SSO-omgåelse

I tilfelle IdP- eller SAML-feil, vil enkelte brukere kunne omgå SAML SSO ved å bruke e-post- og passordlegitimasjonene sine. De vil kunne logge inn og deaktivere eller oppdatere konfigurasjonen sin.

Hvis en SAML-konfigurasjon administreres på organisasjonsnivå, vil kun organisasjonseiere kunne omgå SSO.
Hvis en SAML-konfigurasjon administreres på arbeidsområdenivå, vil kun arbeidsområdeeiere kunne omgå SSO.

Krev SAML SSO-autorisasjon for tilgang til arbeidsområder

Merk: Før du kan godkjenne en tilkobling for resten av arbeidsområdet, må du eller en annen administrator installere den først! Kun tilkoblinger som allerede er installert i arbeidsområdet, vil vises i rullegardinmenyen + Godkjent tilkobling.

SAML-autorisasjon på arbeidsområdenivå lar virksomheter kreve SAML SSO for tilgang til arbeidsområder, uavhengig av brukerens e-postdomene. Dette muliggjør tryggere eksternt samarbeid i arbeidsområdet ditt.

Slik aktiverer du SAML-autorisasjon på arbeidsområdenivå:

Åpne arbeidsområdevelgeren og velg Administrer organisasjon. Du må kanskje Sett opp organisasjon først hvis du ikke allerede har gjort det. Lær mer her →.
I fanen Generelt i organisasjonsinnstillingene dine, slår du på Krev SAML-autorisasjon for tilgang til arbeidsområder.

Merk: Før du aktiverer, må du sørge for at alle medlemmer er lagt til i identitetsleverandøren (IdP) din for å forhindre utilsiktet utestenging fra arbeidsområdet.

Når dette er aktivert, vil medlemmer av de berørte arbeidsområdene som ikke allerede har autorisert med organisasjonens IdP, bli møtt med en ekstra autorisasjonsskjerm. De må gå gjennom SAML SSO for å fortsette å se organisasjonens arbeidsområder.

hc: autorisasjonsskjerm for arbeidsområde-SAML

Just-in-Time (JIT)-klargjøring

Notion støtter Just-in-Time-klargjøring ved bruk av SAML SSO. Dette gjør at noen som logger inn via SAML SSO, automatisk kan bli med i arbeidsområdet som medlem.

For å aktivere Just-in-Time-klargjøring hvis du har Business-abonnement, gå til Innstillinger→Identitet og sørg for at Automatisk konto opprettelse er aktivert.

For å aktivere Just-in-Time-klargjøring hvis du har Enterprise-abonnement, gå til organisasjonskonsollen → Generelt og sørg for at Automatisk konto opprettelse er aktivert.

Merk: Vi anbefaler ikke å aktivere Just-in-Time-klargjøring hvis du bruker SCIM. Ved å ha Godkjente e-postdomener på plass, kan brukere på det domenet automatisk bli med i arbeidsområdet, noe som kan føre til avvik mellom medlemskap i identitetsleverandøren deres og Notion.

Finn ut mer

Sett opp identitetsleverandør (IdP) for SAML SSO

Vanlige spørsmål

Hvorfor kan jeg ikke aktivere SAML SSO?

Den vanligste årsaken er at du ennå ikke har verifisert eierskap til et domene. Hvis dette er tilfelle, vil du merke at du enten ikke har noen domener oppført i delen for å verifisere e-postdomene, eller at domenet venter på verifisering.

For neste trinn, se våre instruksjoner om hvordan du fullfører domeneverifiseringen her →

Hvorfor kan jeg ikke redigere SAML SSO-innstillingene mine?

Det er mulig du prøver å endre de verifiserte domenene eller SSO-konfigurasjonen fra et lenket arbeidsområde som allerede er tilknyttet en annen SSO-konfigurasjon.

I lenkede arbeidsområder er alle innstillinger for domeneadministrasjon og SSO-konfigurasjon skrivebeskyttet. For å endre SSO-konfigurasjonen eller fjerne dette arbeidsområdet fra SSO-konfigurasjonen, må du ha tilgang til det primære arbeidsområdet. Navnet på det primære arbeidsområdet finner du øverst i fanen Identity & Provisioning i innstillingene dine.

Hvorfor må jeg verifisere et domene for å aktivere SSO?

Vi ber om at eierskap til e-postdomene verifiseres for å sikre at kun eieren av domenet kan tilpasse hvordan brukerne deres logger inn i Notion.

Jeg har problemer med å sette opp SSO.

Prøv å bruke en URL i stedet for en XML.
Test oppsettsprosessen med en testkonto før du håndhever den for brukere.
Hvis ingen av disse alternativene hjelper, ta kontakt med kundestøtte på
[email protected].

Hvorfor bør jeg fjerne e-postdomener fra innstillingen «Godkjente e-postdomener» før jeg konfigurerer SAML SSO for arbeidsområdet mitt?

Innstillingen Godkjente e-postdomener lar brukere med de valgte domenene få tilgang til arbeidsområdet ditt uten å bli provisjonert via din IdP. For å sikre at kun brukere som er provisjonert via din IdP kan få tilgang til ditt SAML-aktiverte arbeidsområde, deaktiver denne funksjonen ved å fjerne alle e-postdomener fra listen Godkjente e-postdomener.

Kan jeg fortsatt logge inn i Notion hvis identitetsleverandøren (IdP) min er nede?

Ja, selv med SAML håndhevet har eierne av arbeidsområdet muligheten til å logge inn med e-post. En eier av arbeidsområdet kan endre SAML-konfigurasjonen for å deaktivere Aktiver SAML slik at brukere kan logge inn med e-post igjen.

Hvordan lar jeg administratorer av andre arbeidsområder i min SAML-konfigurasjon opprette nye arbeidsområder?

Kun administratorer av ditt primære arbeidsområde vil kunne opprette nye arbeidsområder ved bruk av ditt/dine verifiserte domene(r). Vennligst ta kontakt med vårt kundestøtteteam ([email protected]) for å bytte ditt primære SAML-arbeidsområde til et annet lenket arbeidsområde i din SAML-konfigurasjon.