SAML SSO

Con SSO, puoi semplificare la gestione degli utenti tra i sistemi ed eliminare la necessità per gli utenti finali di ricordare e gestire più password, consentendo loro di accedere da un unico punto di accesso e godere di un'esperienza fluida su più applicazioni.

Per utilizzare SSO con Notion:

• Il tuo spazio di lavoro deve essere su un piano Business o sul piano Enterprise.

• Il tuo Identity Provider (IdP) deve supportare lo standard SAML 2.0. Consulta le istruzioni per la configurazione dell'Identity Provider per app specifiche qui →

• Un proprietario dello spazio di lavoro deve configurare SAML SSO per lo spazio di lavoro Notion.

• Almeno un dominio deve essere verificato da un proprietario dello spazio di lavoro. Scopri di più sulla verifica del dominio →

Per configurare SAML SSO per uno spazio di lavoro Business, un proprietario dello spazio di lavoro può:

1. Vai su Impostazioni → Generale.

2. Nella sezione Domini email autorizzati, rimuovi tutti i domini email.

3. Seleziona la scheda Identità in Impostazioni.

   

4. Verifica uno o più domini. Consulta le istruzioni per la verifica del dominio qui →

5. Attiva Abilita SAML SSO e il modale Configurazione SAML SSO apparirà automaticamente e ti inviterà a completare la configurazione.

6. Il modale Configurazione SAML SSO è diviso in due parti:

   • L'Assertion Consumer Service (ACS) URL deve essere inserito nel portale del tuo IdP.

   • Identity Provider Details è un campo in cui devi fornire un IdP URL o un XML di metadati IdP.

7. Scegli come le Persone accedono e se creare nuovi account per loro, quindi seleziona Salva e abilita. Puoi effettuare tutte queste scelte prima di salvare. Non è necessario salvare prima e poi riaprire le impostazioni.

I proprietari dell'organizzazione con piano Enterprise possono gestire il SAML SSO per ogni spazio di lavoro nella loro organizzazione. Un'organizzazione può avere più di una configurazione SAML, in modo che diversi gruppi di persone possano accedere con provider di identità differenti. Questo è utile quando le unità aziendali, i team IT regionali o le aziende acquisite hanno ciascuno il proprio provider di identità.

Per aggiungere una nuova configurazione SAML:

1. Apri il selettore dello spazio di lavoro e seleziona Gestisci organizzazione. Potrebbe essere necessario selezionare Configura organizzazione prima, se non l'hai già fatto. Scopri di più sui controlli a livello di organizzazione qui →

2. Nella scheda Generale delle impostazioni della tua organizzazione, fai clic su Configurazioni SAML. Vedrai ogni configurazione SAML che la tua organizzazione possiede.

3. Seleziona Crea configurazione e assegnale un nome che il tuo team riconoscerà, come l'unità aziendale o il provider di identità a cui appartiene.

4. Seleziona Abilita SAML SSO per l'accesso per impostarlo come opzione di accesso per i domini email selezionati.

5. Imposta il metodo di login per le persone che questa configurazione copre. Scegli Qualsiasi metodo per consentire agli utenti di accedere con questo SAML come opzione di accesso aggiuntiva, oppure Solo SAML SSO che richiede agli utenti di accedere solo con questo SAML.

6. Seleziona Creazione automatica dell'account per creare automaticamente account per i nuovi utenti SAML SSO che si registrano utilizzando uno dei domini email selezionati.

7. Scegli uno o più domini email verificati per la configurazione. Aggiungere un dominio verificato significa che qualsiasi utente che accede con quel dominio sarà in grado di utilizzare questo SAML. Un dominio deve essere verificato prima di poterlo aggiungere. Vedi le istruzioni per la verifica del dominio qui →

8. Copia l'URL del servizio consumer di asserzione (ACS) per questa configurazione e aggiungilo nel tuo provider di identità. Ogni configurazione ha il proprio URL ACS, quindi assegna a ciascun provider la propria app dal loro lato.

9. Copia il SAML SSO Entity ID per questa configurazione e aggiungilo al tuo provider di identità.

10. Scegli se aggiungere i dettagli del tuo provider con un URL di metadati IdP o un XML di metadati IdP.

11. Incolla l'URL dal tuo IdP, quindi salva.

Una volta completata la configurazione di SAML SSO per uno spazio di lavoro, i membri potranno accedere tramite SAML SSO oltre ad altri metodi di login, come nome utente e password o autenticazione tramite Google.

Puoi selezionare questa opzione durante la configurazione iniziale di SAML, nello stesso processo di salvataggio. In seguito potrai modificarla.

Se vuoi assicurarti che i membri possano accedere utilizzando solo SAML SSO e nessun altro metodo, vai alle impostazioni SAML SSO e aggiorna il metodo di login a Solo SAML SSO. Una volta fatto ciò, i membri dello spazio di lavoro verranno disconnessi e dovranno riaccedere utilizzando SAML SSO. SAML SSO verrà applicato solo ai membri che utilizzano il tuo dominio verificato.

Nel piano Enterprise, imposti questo per ogni configurazione. Impostare il metodo di login su Solo SAML SSO si applica ai domini in quella configurazione e non influisce sulle altre configurazioni. Un dominio può far parte di diverse configurazioni, ma solo una di esse può essere richiesta alla volta.

Nel piano Business, apparirà così:

Nel piano Enterprise, apparirà così:

In caso di errore dell'IdP o di SAML, alcuni membri potranno bypassare SAML SSO utilizzando le proprie credenziali email e password. Potranno accedere e disabilitare o aggiornare la propria configurazione.

• Se una configurazione SAML è gestita a livello di organizzazione, solo i proprietari dell’organizzazione potranno bypassare SSO.

• Se una configurazione SAML è gestita a livello di spazio di lavoro, solo i proprietari dello spazio di lavoro potranno bypassare SSO.

Questo funziona allo stesso modo quando la tua organizzazione ha più di una configurazione. Un proprietario dell’organizzazione può accedere con email e password, quindi correggere, disattivare o smettere di richiedere la configurazione che sta causando il problema.

L'autorizzazione SAML a livello di spazio di lavoro consente alle aziende di richiedere SAML SSO per l'accesso allo spazio di lavoro, indipendentemente dal dominio email dell'utente. Ciò consente una collaborazione esterna più sicura nel tuo spazio di lavoro.

Per abilitare l'autorizzazione SAML a livello di spazio di lavoro:

1. Apri il selettore dello spazio di lavoro e seleziona Gestisci organizzazione. Potrebbe essere necessario Configura l'organizzazione prima, se non l'hai già fatto. Scopri di più sui controlli a livello di organizzazione qui →

2. Nella scheda Generale delle impostazioni della tua organizzazione, seleziona configurazioni SAML.

3. Nell'elenco degli spazi di lavoro, scegli quale configurazione SAML richiede ogni spazio di lavoro. Puoi lasciare uno spazio di lavoro senza alcuna configurazione.

Quando abilitato, i membri degli spazi di lavoro interessati che non sono ancora stati autorizzati con l'IdP della tua organizzazione visualizzeranno una schermata di autorizzazione aggiuntiva. Dovranno completare l'accesso tramite SAML SSO per continuare la visualizzazione degli spazi di lavoro della tua organizzazione.

Se uno spazio di lavoro richiede una configurazione specifica, ai membri che non hanno ancora effettuato l'accesso con quel provider di identità viene chiesto di farlo quando aprono lo spazio di lavoro. Notion li riporta allo spazio di lavoro una volta terminato. A qualcuno che lavora in due spazi di lavoro che richiedono provider di identità diversi potrebbe essere chiesto di effettuare l'accesso a ciascuno di essi.

Notion supporta il provisioning Just-in-Time quando si utilizza SAML SSO. Ciò consente a chi si autentica tramite SAML SSO di diventare automaticamente membro dello spazio di lavoro. Puoi attivarlo durante la configurazione di SAML, nello stesso processo di salvataggio.

Per abilitare il provisioning Just-in-Time se utilizzi il piano Business, vai su Impostazioni→Identità e assicurati che Creazione automatica dell'account sia abilitata.

Per abilitare il provisioning Just-in-Time se hai il piano Enterprise, vai alle impostazioni dell'organizzazione → Generale e assicurati che Creazione automatica dell'account sia abilitata.

Nel piano Enterprise, puoi attivare o disattivare la Creazione automatica dell'account per ogni configurazione. Lo spazio di lavoro a cui vengono aggiunte le nuove persone è impostato per l'intera organizzazione, quindi è lo stesso indipendentemente dal provider di identità utilizzato. Concedi alle persone l'accesso ad altri spazi di lavoro come faresti normalmente.

• Gli spazi di lavoro del piano Business utilizzano una configurazione. I piani Enterprise consentono più di una configurazione SAML.

• Un'organizzazione può avere fino a 25 configurazioni. Non c'è limite ai domini verificati.

• Un dominio verificato può far parte di diverse configurazioni, ma solo una di esse può essere richiesta alla volta.

• Un dominio principale non copre i suoi sottodomini. Verifica ogni dominio e sottodominio che desideri utilizzare con un provider di identità, quindi aggiungilo a una configurazione.

• Un dominio email può appartenere a una sola organizzazione Notion. Due organizzazioni non possono condividerlo.

• Solo i proprietari dell'organizzazione e gli amministratori che gestiscono già SAML possono aggiungere o modificare le configurazioni. I membri non possono.