SAML SSO

Với SSO, bạn có thể hợp lý hóa việc quản lý người dùng trên các hệ thống và loại bỏ nhu cầu người dùng cuối phải ghi nhớ và quản lý nhiều mật khẩu bằng cách cho phép họ đăng nhập tại một điểm truy cập duy nhất và tận hưởng trải nghiệm liền mạch trên nhiều ứng dụng.

Để sử dụng SSO với Notion:

• Không gian làm việc của bạn phải sử dụng gói Business hoặc gói Enterprise.

• Nhà cung cấp danh tính (IdP) của bạn phải hỗ trợ tiêu chuẩn SAML 2.0. Xem hướng dẫn thiết lập Nhà cung cấp danh tính cho các ứng dụng cụ thể tại đây →

• Chủ sở hữu không gian làm việc phải định cấu hình SAML SSO cho không gian làm việc Notion.

• Ít nhất một miền phải được chủ sở hữu không gian làm việc xác minh. Tìm hiểu thêm về xác minh miền →

Để thiết lập SAML SSO cho không gian làm việc Business, chủ sở hữu không gian làm việc có thể:

1. Vào phần Cài đặt → Chung.

2. Trong phần Tên miền email được phép, hãy xóa tất cả các tên miền email.

3. Chọn tab Danh tính trong Cài đặt.

   

4. Xác minh một hoặc nhiều miền. Xem hướng dẫn xác minh miền tại đây →

5. Bật Bật SAML SSO và hộp thoại Cấu hình SAML SSO sẽ tự động xuất hiện và nhắc bạn hoàn tất thiết lập.

6. Hộp thoại SAML SSO Configuration được chia thành hai phần:

   • Assertion Consumer Service (ACS) URL cần được nhập vào cổng thông tin Nhà cung cấp danh tính (IdP) của bạn.

   • Identity Provider Details là một trường mà bạn cần cung cấp URL IdP hoặc XML siêu dữ liệu IdP.

7. Chọn cách mọi người đăng nhập và liệu có tạo tài khoản mới cho họ hay không, sau đó chọn Save & bật. Bạn có thể thực hiện tất cả các lựa chọn này trước khi lưu. Bạn không cần phải lưu trước rồi mới mở lại cài đặt.

Chủ sở hữu tổ chức của gói Enterprise có thể quản lý SAML SSO cho mọi không gian làm việc trong tổ chức của họ. Một tổ chức có thể có nhiều hơn một cấu hình SAML, vì vậy các nhóm người khác nhau có thể đăng nhập bằng các nhà cung cấp danh tính khác nhau. Điều này hữu ích khi các đơn vị kinh doanh, nhóm CNTT khu vực hoặc các công ty bạn đã mua lại đều có nhà cung cấp riêng.

Để thêm một cấu hình SAML mới:

1. Mở trình chuyển đổi không gian làm việc và chọn Quản lý tổ chức. Bạn có thể cần chọn Thiết lập tổ chức trước nếu bạn chưa thực hiện. Tìm hiểu thêm về kiểm soát cấp tổ chức tại đây →

2. Trong tab General của cài đặt tổ chức, hãy nhấp vào Cấu hình SAML. Bạn sẽ thấy mọi cấu hình SAML mà tổ chức của bạn có.

3. Chọn Tạo cấu hình và đặt tên mà nhóm của bạn sẽ nhận ra, chẳng hạn như đơn vị kinh doanh hoặc nhà cung cấp mà nó thuộc về.

4. Chọn
Bật SAML SSO
để đăng nhập để đặt đây làm tùy chọn đăng nhập cho các tên miền email đã chọn.

5. Thiết lập Phương thức đăng nhập cho những người mà cấu hình này bao gồm. Chọn Bất kỳ phương thức nào để cho phép người dùng đăng nhập bằng SAML này như một tùy chọn đăng nhập bổ sung, hoặc Chỉ SAML SSO yêu cầu người dùng chỉ đăng nhập bằng SAML này.

6. Chọn Tự động tạo tài khoản để tự động tạo tài khoản cho người dùng SAML SSO mới đăng ký bằng một trong các tên miền email đã chọn.

7. Chọn một hoặc nhiều tên miền email đã xác minh cho cấu hình. Việc thêm một tên miền đã xác minh có nghĩa là bất kỳ người dùng nào đăng nhập bằng tên miền đó sẽ có thể sử dụng SAML này. Một tên miền phải được xác minh trước khi bạn có thể thêm nó. Xem Hướng dẫn xác minh tên miền tại đây →

8. Sao chép URL Dịch vụ Người tiêu dùng Xác nhận (ACS) cho cấu hình này và thêm nó vào nhà cung cấp danh tính của bạn. Mỗi cấu hình có URL ACS riêng, vì vậy hãy cung cấp cho mỗi nhà cung cấp một ứng dụng riêng ở phía họ.

9. Sao chép SAML SSO Entity ID cho cấu hình này và thêm nó vào nhà cung cấp danh tính của bạn.

10. Chọn thêm thông tin chi tiết của nhà cung cấp bằng URL siêu dữ liệu IdP hoặc XML siêu dữ liệu IdP.

11. Dán URL từ IdP của bạn, sau đó lưu.

Sau khi bạn hoàn tất cấu hình SAML SSO cho một không gian làm việc, các thành viên sẽ có thể đăng nhập qua SAML SSO ngoài các phương thức đăng nhập khác, như tên người dùng và mật khẩu hoặc xác thực Google.

Bạn có thể chọn tùy chọn này ngay khi thiết lập SAML lần đầu trong cùng một lần lưu. Bạn cũng có thể thay đổi tùy chọn này sau đó.

Nếu bạn muốn đảm bảo rằng các thành viên chỉ có thể đăng nhập bằng SAML SSO và không sử dụng phương thức nào khác, hãy đi tới cài đặt SAML SSO của bạn và cập nhật phương thức Đăng nhập thành Chỉ SAML SSO. Sau khi thực hiện việc này, người dùng không gian làm việc sẽ bị đăng xuất và bắt buộc phải đăng nhập lại bằng SAML SSO. SAML SSO sẽ chỉ được áp dụng cho các thành viên sử dụng miền đã xác minh của bạn.

Trên gói Enterprise, bạn thiết lập điều này cho từng cấu hình. Việc đặt Phương thức đăng nhập thành Chỉ SAML SSO sẽ áp dụng cho các miền trong cấu hình đó và không ảnh hưởng đến các cấu hình khác của bạn. Một miền có thể là một phần của nhiều cấu hình, nhưng chỉ một cấu hình có thể được yêu cầu tại một thời điểm.

Trên Gói Business, điều này sẽ trông như thế này:

Trên Gói Enterprise, điều này sẽ trông như thế này:

Trong trường hợp IdP hoặc SAML gặp lỗi, một số người dùng nhất định sẽ có thể bỏ qua SAML SSO bằng cách sử dụng thông tin đăng nhập email và mật khẩu của họ. Họ sẽ có thể đăng nhập và tắt hoặc cập nhật cấu hình của mình.

• Nếu cấu hình SAML được quản lý ở cấp tổ chức, chỉ chủ sở hữu tổ chức mới có thể bỏ qua SSO.

• Nếu cấu hình SAML được quản lý ở cấp không gian làm việc, chỉ chủ sở hữu không gian làm việc mới có thể bỏ qua SSO.

Điều này hoạt động tương tự khi tổ chức của bạn có nhiều hơn một cấu hình. Chủ sở hữu tổ chức có thể đăng nhập bằng email và mật khẩu, sau đó sửa, tắt hoặc ngừng yêu cầu cấu hình đang gây ra sự cố.

Ủy quyền SAML cấp không gian làm việc cho phép các doanh nghiệp yêu cầu SAML SSO để truy cập không gian làm việc, bất kể miền email của người dùng là gì. Điều này cho phép cộng tác bên ngoài an toàn hơn trong không gian làm việc của bạn.

Để bật ủy quyền SAML cấp không gian làm việc:

1. Mở trình chuyển đổi không gian làm việc và chọn Quản lý tổ chức. Bạn có thể cần Thiết lập tổ chức trước nếu bạn chưa thực hiện. Tìm hiểu thêm về kiểm soát cấp tổ chức tại đây →

2. Trong tab General của cài đặt tổ chức, hãy chọn cấu hình SAML.

3. Trong danh sách không gian làm việc, hãy chọn cấu hình SAML mà mỗi không gian làm việc yêu cầu. Bạn có thể để trống không gian làm việc nếu không cần cấu hình nào.

Khi được bật, các thành viên của không gian làm việc bị ảnh hưởng chưa xác thực với IdP của tổ chức bạn sẽ thấy màn hình xác thực bổ sung. Họ sẽ cần thực hiện SAML SSO để tiếp tục xem các không gian làm việc của tổ chức bạn.

Nếu một không gian làm việc yêu cầu một cấu hình cụ thể, các thành viên chưa đăng nhập bằng nhà cung cấp đó sẽ được yêu cầu thực hiện khi họ mở không gian làm việc. Notion sẽ đưa họ trở lại không gian làm việc sau khi họ hoàn tất. Một người làm việc trong hai không gian làm việc yêu cầu các nhà cung cấp khác nhau có thể được yêu cầu đăng nhập vào từng không gian làm việc đó.

Notion hỗ trợ cấp quyền Just-in-Time khi sử dụng SAML SSO. Điều này cho phép người đăng nhập qua SAML SSO tự động tham gia không gian làm việc với tư cách là thành viên. Bạn có thể bật tính năng này trong khi thiết lập SAML trong cùng một lần lưu.

Để bật cấp quyền Just-in-Time nếu bạn đang sử dụng gói Business, hãy đi tới Settings→Identity và đảm bảo rằng Automatic account creation đã được bật.

Để bật cấp quyền Just-in-Time nếu bạn đang sử dụng gói Enterprise, hãy đi tới cài đặt tổ chức của bạn → General và đảm bảo rằng Automatic account creation đã được bật.

Trên gói Enterprise, bạn có thể bật hoặc tắt Tự động tạo tài khoản cho từng cấu hình. Không gian làm việc mà những người mới được thêm vào được thiết lập cho toàn bộ tổ chức, vì vậy nó giống nhau bất kể họ đã sử dụng nhà cung cấp nào. Hãy cấp quyền truy cập vào các không gian làm việc khác cho mọi người theo cách thông thường của bạn.

• Không gian làm việc của gói Business sử dụng một cấu hình. Các gói Enterprise cho phép nhiều hơn một cấu hình SAML.

• Một tổ chức có thể có tối đa 25 cấu hình. Không có giới hạn về số lượng miền đã xác minh.

• Một miền đã xác minh có thể là một phần của nhiều cấu hình, nhưng tại một thời điểm chỉ có thể yêu cầu một cấu hình trong số đó.

• Miền gốc không bao gồm các miền con của nó. Hãy xác minh từng miền và miền con mà bạn muốn gửi đến nhà cung cấp, sau đó thêm nó vào một cấu hình.

• Một tên miền email chỉ có thể thuộc về một tổ chức Notion. Hai tổ chức không thể chia sẻ nó.

• Chỉ chủ sở hữu tổ chức và quản trị viên đã quản lý SAML mới có thể thêm hoặc thay đổi cấu hình. Thành viên không thể thực hiện việc này.