SAML SSO

Der SSO-Dienst von Notion basiert auf SAML 2.0 (Security Assertion Markup Language). Dieser Standard ermöglicht im Identitätsmanagement die sichere Übermittlung von Anmeldedaten an Dienstanbieter wie Notion. So werden Identitätsanbieter und Workspaces miteinander verknüpft und das Anmeldeverfahren wird benutzerfreundlicher und sicherer.

Mit SSO können Benutzer ein und dieselben Anmeldedaten (wie einen Namen oder eine E-Mail-Adresse plus Kennwort) für mehrere Anwendungen verwenden. Dabei werden die Anmeldedaten der Endanwender in sämtlichen Anwendungen, für die sie Berechtigungen besitzen, nur ein einziges Mal abgefragt. Bei einem Anwendungswechsel in einer laufenden Sitzung folgt keine weiteren Eingabeaufforderung.

• Eine schnellere systemübergreifende Benutzerverwaltung für die Workspace-Besitzer/-innen.

• Mitglieder müssen sich nur ein Passwort merken. Das verbessert das Erlebnis für Benutzer/-innen, da sie sich nur ein einziges Mal anmelden müssen und dennoch auf mehrere Anwendungen zugreifen können.

• Der Workspace gehört zu einem Business Plan oder zu einem Enterprise Plan.

• Der Identity Provider (IdP) unterstützt SAML 2.0.

• Nur die Workspace-Verantwortlichen können SAML SSO konfigurieren.

• Mindestens eine Domain wurde von einer Workspace-Besitzerin oder einem Workspace-Besitzer bestätigt.

1. Gehe auf Einstellungen -> Einstellungen.

2. Entferne unter Zulässige E-Mail-Domains alle E-Mail-Domains.

3. Nun gehst du auf Identität und Bereitstellung.

   

4. Nun bestätigst du mindestens eine Domain. Eine Anleitung dazu findest du hier →

5. Schalte SAML SSO aktivieren ein und die SAML-SSO-Konfiguration wird automatisch angezeigt. Dort wirst du aufgefordert, die Einrichtung abzuschließen.

6. Die Konfiguration für den SAML SSO besteht aus zwei Teilen:

   • Die Assertion Consumer Service-URL (ACS-URL) gibst du in das Portal deines Identitätsanbieters (IdP) ein.

   • Unter Angaben zum Identitätsanbieter gibst du eine IdP-URL oder eine IdP-Metadaten-XML ein.

Wo man diese Daten findet und eingibt, erklären wir in den Anleitungen zu den einzelnen Identitätsanbietern.

In dem Workspace, in dem man seine Domain bestätigt und SAML SSO aktiviert hat, werden unter Verknüpfte Workspaces alle Workspaces aufgelistet, die unter die jeweilige Konfiguration fallen.

Benutzer/-innen mit bestätigter E-Mail-Adresse, die Zugriff auf den übergeordneten oder einen verknüpften Workspace haben, können sich per SAML SSO anmelden.

Vom Vertriebsteam unterstützte Enterprise-Kund/-innen können ihrer SAML SSO-Konfiguration Enterprise-Workspaces hinzufügen oder sie entfernen, indem sie sich an [email protected] wenden.

Ist die Konfiguration von SAML SSO für einen bestimmten Workspace abgeschlossen, können sich die Benutzer/-innen neben anderen Anmeldeverfahren wie Benutzername/Passwort und Google-Authentifizierung auch per SAML SSO anmelden.

• Damit eine Anmeldung ausschließlich per SAML SSO möglich ist, setzt man die Anmeldemethode auf Nur SAML SSO. Sobald dies geschieht, werden die Workspace-Nutzer/-innen abgemeldet und müssen sich erneut mit SAML SSO anmelden.

• SAML SSO steht nur Personen mit verifizierter Domain zur Verfügung, die Zugriff auf den ursprünglichen oder einen verlinkten Workspace haben.

• Gäste, die zu Seiten in einem Notion-Workspace eingeladen werden, können sich nicht mit SAML SSO anmelden. Stattdessen verwenden sie immer ihre E-Mail-Adresse und ihr Passwort oder sie melden sich mit Google oder Apple an.

• Workspace-Besitzer/-innen können SAML SSO durch Eingabe ihrer E-Mail-Adresse und ihres Kennworts umgehen. So können Sie bei einem Ausfall von IdP oder SAML weiterhin auf Notion zugreifen. Nach der Anmeldung können die Einstellungen dann deaktiviert oder geändert werden.

Notion unterstützt bei Verwendung von SAML SSO die Just-in-Time-Bereitstellung. So kannst du dem Workspace nach der Anmeldung über SAML SSO automatisch als Mitglied beitreten.

Und so aktivierst du die JIT-Bereitstellung:

• Stelle in den Einstellungen → Identität und Bereitstellung sicher, dass die Automatische Kontoerstellung aktiviert ist.

Hier zeigen wir dir, wie du SAML SSO mit Entra ID (vormals Azure), Google, Okta und OneLogin in Notion einrichtest. Falls du einen anderen Identitätsanbieter nutzt und Hilfe bei der Konfiguration benötigst, wende dich bitte an unseren Support.

Ergänzende Hinweise findest du auch auf der Website von Entra ID:

• Entra ID (vormals Azure Active Directory) Single Sign-On (SSO) in Notion integrieren

Schritt 2: Neue Anwendungsintegration erstellen

1. Melde dich im Entra ID-Portal an. Wähle nun im Navigationsbereich links den Dienst Azure Active Directory aus.

2. Wechsle zu Unternehmensanwendungen und wähle dann Alle Anwendungen aus.

3. Klicke auf Neue Anwendung, um eine neue Anwendung hinzuzufügen.

4. Im Abschnitt Aus Galerie hinzufügen gibst du nun Notion in das Suchfeld ein. Wähle nun „Notion“ aus den Suchergebnissen aus und füge die App hinzu. Es dauert ein paar Sekunden, bis die App hinzugefügt wird.

Schritt 2: SAML-Integration erstellen

1. Suche im Azure-Portal auf der Seite für die Einbindung der Notion-App den Abschnitt Verwalten und wähle Single Sign-on.

2. Wähle auf der Seite Methode für einmaliges Anmelden auswählen die Option SAML aus.

Schritt 3: SAML-Einstellungen

1. Gehe in Notion in die Einstellungen und klicke dann erneut auf Einstellungen.

2. Entferne unter Zulässige E-Mail-Domains alle E-Mail-Domains.

3. Nun gehst du auf Identität und Bereitstellung.

4. Bestätige nun mindestens eine Domain. Eine Anleitung dazu findest du hier →

   Verifiziere eine Domain für deinen Workspace.

5. Schalte SAML SSO aktivieren ein. Nun wird automatisch die SAML-SSO-Konfiguration angezeigt. Dort wirst du aufgefordert, die Einrichtung abzuschließen.

6. Die SAML-SSO-Konfiguration gliedert sich in zwei Abschnitte: die URL des Assertion Consumer Service (ACS), die du in das Portal deines Identitätsanbieters (Identity Provider, IdP) eingibst, und die Daten des Identitätsanbieters. Hier gibst du die IdP-URL bzw. Metadaten-XML des IdP ein.

Schritt 4: Notion-App in Entra ID konfigurieren

1. Klicke auf der Seite „Einmaliges Anmelden mit SAML einrichten“ auf das Stiftsymbol für Grundlegende SAML-Konfiguration, um die Einstellungen zu bearbeiten.

2. Gib im Abschnitt Grundlegende SAML-Konfiguration die Werte in die folgenden Felder ein, wenn du die Anwendung im IdP-initiierten Modus konfigurieren möchtest:
   

   • Gib im Textfeld Kennung (Entitäts-ID) die folgende URL ein: https://notion-proxy.senuto.com/sso/saml.

   • Gib im Textfeld Antwort-URL (Assertion Consumer Service URL) die ACS-URL von Notion ein. Du findest sie in der linken Seitenleiste in den Einstellungen unter Identität und Bereitstellung.

   • Gib im Textfeld Anmelde-URL die folgende URL ein: https://notion-proxy.senuto.com/login.

3. Stelle sicher, dass im Abschnitt Benutzerattribute und Ansprüche die Einstellungen für den erforderlichen Anspruch wie folgt festgelegt sind:

   • Eindeutige Benutzer-ID (Namens-ID): user.userprincipalname [nameid-format:emailAddress]

   • firstName: user.givenname

   • lastName: user.surname

   • email: user.mail

4. Klicke auf der Seite Single Sign-on mit SAML einrichten  im Abschnitt SAML Anmeldezertifikat auf den Button „kopieren“ neben der App Federation Metadata URL.

5. Gehe in deinem Notion-Workspace zu den Einstellungen → Identität und Bereitstellung und füge den Wert der App Federation Metadata URL, den du kopiert hast, in das Textfeld IdP Metadata URL ein. Achte dabei darauf, dass der Button Identity Provider URL ausgewählt ist.

Schritt 4: Benutzer/-innen zu Notion zuweisen

1. Wähle im Azure-Portal Unternehmensanwendungen und anschließend Alle Anwendungen aus. Wähle dann in der Anwendungsliste Notion aus.

2. Navigiere auf der Übersichtsseite der App zum Abschnitt Verwalten und wähle Benutzer/-innen und Gruppen aus.

3. Wähle Benutzer hinzufügen und wähle im Dialogfeld Zuweisung hinzufügen  die Option Benutzer und Gruppen.

4. Wähle im Dialogfeld Benutzer/-innen und Gruppen in der Liste „Benutzer/-innen“ die gewünschten Personen aus und klicke dann unten auf dem Bildschirm auf den Button Auswählen.

5. Soll den Benutzer/-innen eine Rolle zugewiesen werden, kannst du diese im Dropdown-Menü Rolle auswählen  anklicken. Wenn für diese App keine Rolle eingerichtet wurde, ist die Rolle Standardzugriff ausgewählt.

6. Klicke im Dialogfeld Zuweisung hinzufügen  auf Zuweisen.

Ergänzende Hinweise findest du auch in der Google Workspace-Admin-Hilfe:

• Notion-Cloudanwendung

Schritt 1: Informationen des Google-Identitätsanbieters (Identity Provider, IDP) abrufen

1. Stelle sicher, dass du dich mit einem Admin-Konto anmeldest, damit du die entsprechenden Berechtigungen besitzt.

2. Gehe in der Admin-Konsole zu Menü -> Apps -> Web- und mobile Apps.

3. Gib „Notion“ in das Suchfeld ein und wähle die Notion-SAML-App aus.

4. Lade auf der Detailseite des Google Identity Providers die IdP-Metadaten-Datei herunter.

5. Öffne die Datei GoogleIDPMetadata.xml in einem kompatiblen Editor und kopiere dann deren Inhalt.

6. Lasse die Admin-Konsole geöffnet. Du fährst mit dem Konfigurationsassistenten fort, sobald du den nächsten Schritt in der Notion-Anwendung abgeschlossen hast.

Schritt 2: Notion als SAML 2.0-Dienstanbieter einrichten

1. Gehe in Notion in die Einstellungen und klicke dort erneut auf Einstellungen.

2. Entferne unter Zulässige E-Mail-Domains alle E-Mail-Domains.

3. Wähle Identität und Bereitstellung.

4. Füge eine neue Domain hinzu und bestätige diese. Sie sollte mit der Domain deines Google Workspaces übereinstimmen.

5. Schalte in den Einstellungen für SAML Single Sign-on (SSO) die Option SAML SSO aktivieren ein. Daraufhin erscheint das Dialogfeld SAML-SSO-Konfiguration.

6. Im Dialogfeld gehst du folgendermaßen vor:

   • Wähle unter Daten des Identity Providers die Option IDP-Metadaten-XML aus.

   • Füge den Inhalt der Datei „GoogleIDPMetadata.xml“ (in Schritt 1 kopiert) in das Textfeld der IdP-Metadaten-XML ein.

   • Kopiere und speichere die Assertion-Consumer-Service-(ACS)-URL. Sie wird wieder benötigt, wenn du in Schritt 3 unten die Konfiguration der Google-Seite in der Admin-Konsole abschließt.

   • Klicke auf Änderungen speichern.

7. Stelle sicher, dass auch die verbleibenden Optionen „Anmeldemethode“, „Automatische Kontoerstellung“ und „Verlinkte Workspaces“ die gewünschten Werte für deine Konfiguration enthalten.

Schritt 3: SSO-Konfiguration in der Admin-Konsole abschließen

1. Kehre zum Browser-Tab der Admin-Konsole zurück.

2. Klicke auf der Detailseite des Google Identity Providers auf Weiter.

3. Ersetze auf der Detailseite des Service Providers die ACS-URL durch die ACS-URL, die du oben in Schritt 2 aus Notion kopiert hast.

4. Klicke auf Weiter.

5. Klicke auf der Seite Attribut-Zuordnung auf das Menü Feld auswählen und ordne die folgenden Google-Verzeichnisattribute den entsprechenden Notion-Attributen zu. Beachte, dass „Vorname“, „Nachname“ und „E-Mail“ erforderliche Attribute sind.

   

   Hinweis: Mit dem Attribut profilePhoto können Mitgliederfotos hinzugefügt werden.Dazu erstellst du ein individuelles Attribut, trägst darin im Mitgliederprofil die Foto-URL ein und verknüpfst es anschließend mit profilePhoto.

6. Optional: Klicke auf Zuordnung hinzufügen , um weitere Zuordnungen hinzuzufügen, die du benötigst.

7. Klicke auf Fertigstellen.

Schritt 4: Notion-App aktivieren

1. Gehe in der Admin-Konsole zu Menü → Apps → Web- und mobile Apps.

2. Wähle Notion aus.

3. Klicke auf Benutzerzugriff.

4. Wenn du einen Dienst für alle Mitglieder deines Unternehmens aktivieren bzw. deaktivieren möchtest, klicke auf Für alle aktivieren oder Für alle deaktivieren und anschließend auf Speichern.

5. Optional: So aktivierst bzw. deaktivierst du Dienste für einzelne Organisationseinheiten:

   • Wähle links die entsprechende Organisationseinheit aus.

   • Den Servicestatus änderst du mit  Ein bzw. Aus.

   • Steht der Servicestatus auf  Übernommen und soll die aktualisierte Konfiguration auch bei Änderung der übergeordneten Einstellung beibehalten werden, klickst du auf  Überschreiben. Steht der Servicestatus dagegen auf Überschrieben, kannst du auf Übernehmen gehen, um die übergeordnete Einstellung wiederherzustellen. Du kannst aber auch auf Speichern klicken, damit die neue Konfiguration beibehalten wird, selbst wenn sich die übergeordnete Einstellung ändert. Hinweis: Erfahre mehr über Organisationsstruktur.

6. Optional: Aktiviere den Dienst nur für eine bestimmte Gruppe von Nutzer/-innen Verwenden Sie Zugriffsgruppen, um einen Dienst für bestimmte Benutzer innerhalb oder über Ihre Organisationsstrukturen hinweg zu aktivieren.Weitere Informationen.

7. Vergewissere dich, dass die E‑Mail-IDs der Notion-Konten mit denen in deiner Google-Domain übereinstimmen.

Ergänzende Hinweise findest du auch auch auf der Website von Okta:

• SAML 2.0 für Notion einrichten

Schritt 1: Füge aus dem Anwendungsverzeichnis von Okta die Notion-App hinzu.

• Melde dich in Okta als Admin an und rufe die Admin-Konsole von Okta auf.

• Gehe zu Anwendung, wähle App-Katalog durchsuchen aus und suche im App-Katalog von Okta nach „Notion“.

• Wähle die Notion-App aus und klicke auf Einbindung hinzufügen.

• Überprüfe in der Ansicht Allgemeine Einstellungen die Einstellungen und klicke auf Weiter.

• Wähle unter Anmeldeoptionen die Option SAML 2.0 aus.

• Klicke oberhalb des Abschnitts Erweiterte Anmeldeeinstellungen auf die Metadaten des Identity Providers. Daraufhin wird ein neuer Browser-Tab geöffnet. Kopiere den Link der URL.

Schritt 2: SAML-Einstellungen in Notion konfigurieren

1. Gehe in Notion in die Einstellungen und klicke dann erneut auf Einstellungen.

2. Entferne unter Zulässige E-Mail-Domains alle E-Mail-Domains.

3. Nun gehst du auf Identität und Bereitstellung.

4. Bestätige nun mindestens eine Domain. Eine Anleitung dazu findest du hier →

5. Schalte SAML SSO aktivieren ein. Nun wird automatisch die SAML-SSO-Konfiguration angezeigt. Dort wirst du aufgefordert, die Einrichtung abzuschließen.

6. Die SAML-SSO-Konfiguration gliedert sich in zwei Abschnitte: die URL des Assertion Consumer Service (ACS), die du in das Portal deines Identitätsanbieters (Identity Provider, IdP) eingibst, und die Daten des Identitätsanbieters. Hier gibst du die IdP-URL bzw. Metadaten-XML des IdP ein.

   • Wähle die URL des Identity Providers aus und füge die Identity Provider Metadaten, die du in Schritt 1 kopiert hast, ein. Klicke auf Änderungen speichern.

7. Scrolle im Tab Identität und Bereitstellung nach unten und kopiere die Workspace-ID-Kennung.

8. Füge im Abschnitt Okta Admin-Konsole → Erweiterte Anmeldeeinstellungen die Workspace-ID in das Textfeld Organisations-ID ein.

9. Wähle unter Anmeldedetails die Option E-Mail aus dem Dropdown-Menü Benutzernamenformat der Anwendung und klicke auf Erledigt.

10. Im Tab Okta - Zuweisungen kannst du jetzt Benutzer/-innen und Gruppen zu Notion zuweisen.

Ergänzende Hinweise findest du auch auf der Website von OneLogin:

• SAML für Notion einrichten

Schritt 1: Neue Anwendungseinbindung erstellen

1. Wenn du die Bereitstellung noch nicht konfiguriert hast, gehe zu Verwaltung → Anwendungen → Anwendungen, klicke dann auf App hinzufügen, suche im Suchfeld nach Notion und wähle die SAML 2.0-Version von Notion aus.

2. Nun klickst du auf Speichern.

Schritt 2: SAML-Einbindung erstellen

1. Alternativ kannst du zu Anwendungen → Anwendungen navigieren und wählst dort den Notion-App-Connector aus, den du bereits hinzugefügt hast.

2. Öffne den Tab SSO und kopiere den Issuer URL Wert. Diese fügst du nun an einer beliebigen Stelle ein, um sie später wieder abrufen zu können.

Schritt 3: SAML-Einstellungen

1. Gehe in Notion in die Einstellungen und dann erneut auf Einstellungen.

2. Entferne unter Zulässige E-Mail-Domains alle E-Mail-Domains.

3. Nun gehst du auf Identität und Bereitstellung.

4. Bestätige eine oder mehrere Domains. Eine Anleitung zur Domain-Verifizierung findest du hier → Verifiziere eine Domain für deinen Workspace.

5. Schalte SAML SSO aktivieren ein. Nun wird automatisch die SAML-SSO-Konfiguration angezeigt. Dort wirst du aufgefordert, die Einrichtung abzuschließen.

6. Die SAML-SSO-Konfiguration gliedert sich in zwei Abschnitte: die URL des Assertion Consumer Service (ACS), die du in das Portal deines Identitätsanbieters (Identity Provider, IdP) eingibst, und die Daten des Identitätsanbieters. Hier gibst du die IdP-URL bzw. Metadaten-XML des IdP ein.

Schritt 4: Notion-App in OneLogin konfigurieren

1. Kopiere die Assertion-Consumer-Service-(ACS)-URL aus Notion.

2. Gehe zurück zur OneLogin-Verwaltungsoberfläche.

3. Navigiere zum Tab Konfiguration des Notion-App-Connectors, den du gerade zu deinem OneLogin-Konto hinzugefügt hast.

4. Füge die Assertion-Consumer-Service-(ACS)-URL von Notion in das Textfeld Consumer-URL ein.

5. Nun klickst du auf Speichern.

6. Gehe zurück zu den Notion Konfigurationseinstellungen SAML SSO bearbeiten.

7. Füge die Aussteller-URL, die du unter SSO von der OneLogin-URL kopiert hast, in das Textfeld Identity Provider-URL ein. Achte dabei darauf, dass die Option Identity Provider-URL ausgewählt ist.

Genauere Erläuterungen gibt es hier auf der Website von Rippling →

Wenn du keinen von Notion unterstützten SAML-Provider verwendest, kannst du deinen IdP auch so konfigurieren, dass SAML mit Notion verwendet wird.

Schritt 1: IdP einrichten

Dein IdP muss die SAML 2.0-Spezifikation unterstützen, um mit Notion verwendet zu werden.

1. Konfiguriere die ACS-URL auf den Wert Assertion Consumer Service (ACS)-URL von Notion. Diesen findest du unter Einstellungen → Identität und Bereitstellung → SAML SSO-Konfiguration bearbeiten.

2. Konfiguriere NameID zu urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress.

   1. Konfiguriere außerdem Benutzername zu urn:oasis:names:tc:SAML:1,1:nameid-format:emailAddress.

3. Konfiguriere EntityID zu https://notion.so/sso/saml. Du findest diese unter Einstellungen → unten in Identität und Bereitstellung.

4. Konfiguriere die folgenden Attribute:

   • E-Mail-Adresse: Dies ist die E-Mail-Adresse eines Benutzers oder einer Benutzerin. Die meisten IdPs legen diese standardmäßig fest.

   • Optional: Vorname

   • Optional: Nachname

   • Optional: Profilbild

5. Kopiere für die folgenden Schritte die IdP-Metadaten-URL oder die IdP-Metadaten-XML.

Schritt 2: SAML in Notion einrichten

1. Gehe in Notion in die Einstellungen → Einstellungen → Identität und Bereitstellung.

2. Füge neue E-Mail-Domains hinzu und folge den Anweisungen, um diese zu bestätigen. Es müssen E-Mail-Domains deiner Benutzer/-innen sein, die sich bei Notion anmelden.

3. Wähle in den Einstellungen von SAML Single sign-on (SSO) die Option SAML-SSO aktivieren. Dadurch wird der SAML-SSO-Konfigurationsdialog geöffnet.

4. Gib unter Daten des Identity Providers die IdP-Metadaten-URL oder IdP-Metadaten-XML aus deinem IdP ein.

5. Stelle sicher, dass du deine gewünschten Eingaben für Anmeldemethode, Automatische Account-Erstellung und Verknüpfte Workspaces angibst.

Um den Identitätsanbieter zu wechseln, gehe in der linken Seitenleiste zu Einstellungen → Identität & Bereitstellung → SAML-SSO-Konfiguration bearbeiten. Gib deine neuen Informationen ein und wähle dann Änderungen speichern.

Wenn du zu einem neuen Identitätsanbieter wechselst, empfehlen wir Folgendes:

• SSO sollte während der Umstellung nicht erzwungen werden. Dadurch verringerst du das Risiko, Benutzer/-innen auszusperren.

• Die E-Mail-Adressen der Benutzer/-innen unter dem neuen Identitätsanbieter sollten mit denen in Notion übereinstimmen.

Falls es bei der Einrichtung von SAML-SSO zu Fehlern kommt, sollten die Metadaten des IdP und die Gültigkeit der SAML-Anfragen und -Antworten anhand der SAML-XSD-Schemata überprüft werden. Dazu gibt es ein Online-Tool: https://www.samltool.com/validate_xml.php

Bitte beachte, dass wir das Element EntitiesDescriptor nicht unterstützen. Enthalten die IdP-Metadaten dieses Element, sollte das EntityDescriptor-Element extrahiert und der Vorgang erneut versucht werden.