SAML SSO構成

SAML SSOの設定: Hero
この記事の内容

Notionは、エンタープライズプランのお客様に、単一の認証ソースを介してアプリにアクセスするための、シングルサインオン(SSO)機能を提供しています。これにより、IT管理者はチームのアクセスを適切に管理でき、情報をより安全に保つことができます 🔐

よくあるご質問(FAQ)に移動

Notionのシングルサインオン(SSO)サービスは、SAML(Security Assertion Markup Language)2.0を基に構築されています。SAML 2.0はIDマネージャーがNotionのようなサービスプロバイダーに認証情報を安全に伝達できるようにし、IDプロバイダー(IdP)とワークスペースを接続して、より簡単かつ安全にログインできるようにする標準規格です。

SSOサービスを使用すると、ユーザーは1組の認証情報(たとえば、名前またはメールアドレスとパスワード)を使用して複数のアプリーケーションにアクセスできます。アクセス権を持つすべてのアプリケーションに対するエンドユーザーの認証が一度で完了するので、同じセッション中はアプリケーションを切り替えてもさらなる認証を求められることがありません。

NotionでのSSOの前提条件

  • エンタープライズプランのワークスペースであること

  • IDプロバイダー(IdP)がSAML 2.0標準規格をサポートしていること

  • ワークスペースオーナーのみが、NotionワークスペースのSAML SSOを設定可能

  • ワークスペースオーナーにより、少なくとも1つのドメインが検証済みであること

  • 「許可されたメールドメイン」の設定にメールドメインが含まれていないこと

SSOのメリット

  • ワークスペースオーナーは複数のシステムのユーザー管理を効率的に行えます。

  • エンドユーザーは複数のパスワードを管理して覚えておく必要がなくなります。単一のアクセスポイントでサインインし、複数のアプリケーション間をシームレスに切り替えられるようになるため、エンドユーザーにおける煩雑な操作が不要になります。

単一のワークスペースに対するSAML SSOの有効化

  • 設定メニューを開き、設定タブを選択します。

  • 許可されたメールドメインのセクションで、すべてのメールドメインを削除します。

  • その後認証とプロビジョンタブを選択します。

  • SAML SSOを有効にするをオンに切り替えると、SAML SSO設定ウインドウが自動的に表示され、設定を完了するよう促されます。

  • SAML SSOの設定モーダルは、次の2つのパートに分かれています。

    • アサーション・コンシューマー・サービス(ACS)URLは、IDプロバイダー(IdP)のポータルに入力されます。

    • IDプロバイダーの詳細は、IdP URLまたはIDPメタデータXMLのいずれかをNotionに提供する必要があるフィールドです。

この情報の入力先と入手先については、以下の各IdPのガイドをご覧ください。

備考: NotionのSAML SSOはゲストには対応していません。

ドメインを検証し、SAML SSOを有効にしたワークスペースのリンクされたワークスペースセクションに、SAML SSO設定に関連付けられているすべてのワークスペースが一覧表示されます。

検証済みメールアドレスを持ち、メインのワークスペースまたはリンクされたワークスペースの1つにアクセスできるユーザーは、SAML SSOでログインできます。

SAML SSO設定へのワークスペースの追加や削除については、サポート(support@makenotion.com)までご連絡ください。

SAML SSOの強制

単一のワークスペースに対してSAML SSOの設定を完了すると、ユーザー名/パスワードやGoogle認証などの他のログイン方法に加えて、SAML SSOでログインできるようになります。

  • ユーザーがログイン時にSAML SSOのみを使用でき、他の方法を使用できないようにするには、ログイン方法SAML SSO のみ に更新します。

  • 検証済みドメインを持ち、メインのワークスペースまたはリンクされたワークスペースにアクセスできるユーザーに対してのみ、SAML SSOが強制されます。

  • Notionワークスペースのページに招待されたゲストは、SAML SSOを使用してログインできません。したがって、メール+パスワードか、「Google/Appleアカウントでログインする」のオプションを使用して常にログインする必要があります。

  • ワークスペースオーナーには常に、メールとパスワードの認証情報を使用することで、SAML SSOを回避できるオプションが用意されています。これは、IdP/SAMLに障害が発生した場合でも、Notionにアクセスし、ログインして、設定の無効化や更新を行うことができるようにするためです。

Notionは、SAML SSOの使用時にジャストインタイム(JIT)プロビジョニングをサポートしています。これにより、SAML SSOでサインインしたユーザーは、メンバーとしてワークスペースに自動的に参加できます。

ジャストインタイム(JIT)プロビジョニングを有効にするには

  • 設定 -> 設定で、SAMLドメインが許可されているメールドメインとして追加されていることを確認します。

  • 設定 -> 認証とプロビジョンで、アカウントの自動作成が有効になっていることを確認します。

備考: ジャストインタイム(JIT)プロビジョニングは、同じメールドメインを持つゲストをワークスペース内のページに追加する場合には推奨されません。これによりゲストがメンバーにアップグレードされ、請求が発生するようになります。

SCIMを使用している場合は、ジャストインタイム(JIT)プロビジョニングを有効にすることは推奨されません。「許可されているメールドメイン」を設定すると、そのドメインのユーザーがワークスペースに参加できるようになるため、IDプロバイダーとNotionのメンバーシップが一致しなくなる可能性があります。

この解説は、Azure、Google、 Okta、OneLoginでNotion SAML SSOを設定するためのものです。これ以外のIDプロバイダーを利用しており、設定についてサポートが必要な場合は、サポートチームにお問い合わせください

Azure

以下のAzureのウェブサイトのドキュメントでも手順をご覧いただけます。

ステップ1: 新しいアプリケーションインテグレーションを作成する

  • Azure portalにログインし、左側のナビゲーションパネルで Azure Active Directory サービスを選択します。

  •  エンタープライズアプリケーション に移動して、 すべてのアプリケーション を選択します。

  • 新しいアプリケーションを追加するには、 新しいアプリケーションを選択します。

  • ギャラリーから 追加 を選び、検索ボックスに 「Notion」 と入力します。検索結果のパネルから 「Notion」 を選択し、アプリケーションを追加します。しばらく待つとアプリケーションがテナントに追加されます。

ステップ 2:SAML統合を作成する

  • Azure portalの Notion アプリケーション統合ページで、 管理 セクションを見つけて シングルサインオン を選択します。

  • シングルサインオン方式の選択 ページで SAML を選択します。

ステップ3: SAMLを設定する

  • Notionの 設定 メニューに移動して、 設定 タブを選択します。

  • 許可されたメールドメインのセクションで、すべてのメールドメインを削除します。

  • その後認証とプロビジョンタブを選択します。

  • 1つ以上のドメインを検証します。ドメイン検証の手順については、こちらをご覧ください →

  • SAML SSOを有効にするをオンに切り替えると、SAML SSO設定ウインドウが自動的に表示され、設定を完了するよう促されます。

  • SAML SSO設定ウインドウは2つの部分に分かれています。1つ目はIDプロバイダ(IDP)の設定メニューに入力する アサーションコンシューマーサービス(ACS)URL 、2つ目はIDプロバイダの詳細で、IDP URLかIDPメタデータXMLのいずれかをNotionに提供する必要があります。

ステップ4: Azure Active DirectoryでNotionアプリを設定する

  •  SAMLによるシングルサインオンのセットアップ のページで、 基本的なSAML構成 の鉛筆アイコンをクリックして設定を編集します。

  •  基本的なSAML構成 セクションで、アプリケーションを IDP 開始モードで構成する場合は、次のフィールドに値を入力します。

    • 識別子 (エンティティID)テキストボックスに、 https://www.notion.so/sso/saml の形式でURLを入力します。

    •  応答URL (Assertion Consumer Service URL) テキストボックスには、左側のサイドバーの 設定 メニューにある 認証とプロビジョン タブをクリックし、NotionのACS URLを入力します。

    • サインオンURLテキストボックスに、次のURLを入力します: https://www.notion.so/login

  • ユーザー属性とクレームセクションで、必要なクレームを設定します。

    • 一意のユーザー識別子 (名前ID): user.userprincipalname[nameid-format:emailAddress]

    • firstName: user.givenname

    • lastName: user.surname

    • email: user.mail

  •  SAMLによるシングルサインオンのセットアップ ページの SAML署名証明書 セクションで、 アプリのフェデレーションメタデータURL の隣にあるコピーボタンをクリックします。

  • Notionワークスペースの 設定 メニューに移動し、 認証とプロビジョン タブをクリックして、先ほどコピーした アプリのフェデレーションメタデータURL を IDPメタデータURL テキストボックスにペーストします。 IDプロバイダーのURL のラジオボタンが選択されているか確認してください。

ステップ5: Notionにユーザーを割り当てる

  • Azure portalで エンタープライズアプリケーション を選択し、 すべてのアプリケーション を選択します。アプリケーションの一覧で 「Notion」 を選択します。

  • アプリケーションの概要ページで 管理 セクションを見つけ、 ユーザーとグループ を選択します。

  • ユーザーの追加を選択し、割り当ての追加ダイアログで ユーザーとグループを選択します。

  •  ユーザーとグループ ダイアログの ユーザー の一覧からユーザー名を選択し、画面の下部にある 選択 ボタンをクリックします。

  • ロールが割り当てられることが想定される場合は、 ロールの選択 ドロップダウンから選択できます。このアプリケーションに対してロールが設定されていない場合は、「既定のアクセス」ロールが選択されています。

  •  割り当ての追加 ダイアログで、 割り当て ボタンをクリックします。


Google

以下のGoogleのウェブサイトのドキュメントでも手順をご覧いただけます。

ステップ1: 新しいアプリケーションインテグレーションを作成する

  • https://admin.google.com/ で、管理コンソールにサインインします。特権管理者権限のあるアカウントを必ず使用してください。

  • 管理コンソールのホームぺージから

    [アプリ] > [ウェブアプリとモバイルアプリ]の順に選択します。

  •  [アプリの追加] > [プライベートSAMLアプリの追加] をクリックします。

  •  [アプリの詳細] ページで、カスタムアプリの名前を入力します。

  • 「続行」をクリックします。

  • Google IDプロバイダー の詳細ページで、 IDPメタデータ  をダウンロードします。ダウンロードしたGoogleIDPMetadata.xmlファイルを開き、中身を コピー します。

ステップ2: NotionでSAML設定を行う

  • Notionの 設定 メニューに移動して、 設定 タブを選択します。

  • 許可されたメールドメインのセクションで、すべてのメールドメインを削除します。

  • その後認証とプロビジョンタブを選択します。

  • 1つ以上のドメインを検証します。ドメイン検証の手順については、こちらをご覧ください → ワークスペースのドメイン検証

  • SAML SSOを有効にするをオンに切り替えると、SAML SSO設定ウインドウが自動的に表示され、設定を完了するよう促されます。

  • SAML SSO設定ウインドウは2つの部分に分かれています。1つ目はIDプロバイダ(IDP)の設定メニューに入力する アサーションコンシューマーサービス(ACS)URL 、2つ目はIDプロバイダの詳細で、IDP URLかIDPメタデータXMLのいずれかをNotionに提供する必要があります。

  • ステップ1でダウンロードし、コピーしたGoogleIDPMetadata.xmlファイルの中身を IDPメタデータXML のテキストボックスにペーストします。

  • Assertion Consumer Service (ACS) URL をコピーし、 SAMLを有効にするをクリックします。

ステップ3: Google WorkspaceでSAML設定を行う

  • Google Workspace管理コンソールの場合は

    続ける をクリックします。

  • サービスプロバイダーの詳細ページで、ステップ2でNotionからコピーした Assertion Consumer Service (ACS) URL を入力し、エンティティIDのテキストボックスに https://www.notion.so/sso/saml と入力します。

  • 名前IDフォーマットのドロップダウンメニューから、 メール を選択します。

  • 名前IDフォーマットのドロップダウンメニューから、 [基本情報] > [プライマリメール] の順に選択します。

  • 続ける をクリックし、任意のステップとして、 アプリ属性 ページで追加属性のマッピングやグループメンバーシップの設定を行うことができます。

  • 完了 をクリックして設定を終了します。


Okta

以下のOktaのウェブサイトのドキュメントでも手順をご覧いただけます。

ステップ1: OktaのアプリケーションディレクトリからNotionアプリを追加する

  • Oktaに管理者としてログインし、Okta管理コンソールに移動します。

  • アプリケーションタブに移動し、アプリカタログを参照を選択して、 Oktaのアプリカタログから「Notion」を検索します。

  • Notionアプリを選択し、インテグレーションの追加をクリックします。

  • 一般設定 の画面で設定を確認し、 次へ をクリックします。

  • サインオンのオプション 画面で、SAML 2.0を選択します。

  • 高度なサインオン設定 のセクションで アイデンティティプロバイダーのメタデータ をクリックします。ブラウザーの新しいタブが開くので、そのURLのリンクをコピーします。

ステップ2: NotionでSAML設定を行う

  • Notionの 設定 メニューに移動して、 設定 タブを選択します。

  • 許可されたメールドメインのセクションで、すべてのメールドメインを削除します。

  • その後認証とプロビジョンタブを選択します。

  • 1つ以上のドメインを検証します。ドメイン検証の手順については、こちらをご覧ください → ワークスペースのドメイン検証

  • SAML SSOを有効にするをオンに切り替えると、SAML SSO設定ウインドウが自動的に表示され、設定を完了するよう促されます。

  • SAML SSO設定ウインドウは2つの部分に分かれています。1つ目はIDプロバイダ(IDP)の設定メニューに入力する アサーションコンシューマーサービス(ACS)URL 、2つ目はIDプロバイダの詳細で、IDP URLかIDPメタデータXMLのいずれかをNotionに提供する必要があります。

    • IDプロバイダーのURL を選び、ステップ1でコピーした アイデンティティプロバイダーのメタデータ のURLをペーストし、変更を保存します。

  • 認証とプロビジョン タブをスクロールして、ワークスペースID識別子をコピーします。

  • Okta管理コンソール > 高度なサインオン設定 のセクションの順に移動し、 組織ID のテキストボックスに ワークスペースID をペーストします。

  • 資格情報の詳細 セクションで、 アプリケーションユーザー名フォーマット のドロップダウンメニューから メール を選択し、完了をクリックします。

ステップ3: Notionにユーザーとグループを割り当てる

  • Okta > 割り当て タブで、ユーザーやグループをNotionに割り当てることができます。


OneLogin

以下のOneLoginのウェブサイトのドキュメントでも手順をご覧いただけます。

ステップ1: 新しいアプリケーションインテグレーションを作成する

  • プロビジョニングをまだ設定していない場合は、Administration(管理) → Applications(アプリケーション) → Applications(アプリケーション) にアクセスして Add App(アプリの追加) ボタンをクリックし、検索ボックスで「Notion」を検索して、NotionのSAML 2.0バージョンを選択してください。

  • Save(保存)をクリックします。

ステップ2: SAMLインテグレーションを作成する

  • それ以外の場合は、Applications(アプリケーション) → Applications(アプリケーション)に移動し、追加したNotionアプリケーションコネクタを選択します。

  • SSOタブに移動し、Issuer URL(発行者URL)の値をコピーします。後で利用できるように、どこかに貼り付けておきます。

ステップ3: SAMLを設定する

  • Notionで設定メニューを開き、設定タブを選択します。

  • 許可されたメールドメインのセクションで、すべてのメールドメインを削除します。

  • その後認証とプロビジョンタブを選択します。

  • 1つ以上のドメインを検証します。ドメイン検証の手順については、こちらをご覧ください → ワークスペースのドメイン検証

  • SAML SSOを有効にするをオンに切り替えると、SAML SSO設定ウインドウが自動的に表示され、設定を完了するよう促されます。

  • SAML SSO設定ウインドウは2つの部分に分かれています。1つ目はIDプロバイダ(IDP)の設定メニューに入力する アサーションコンシューマーサービス(ACS)URL 、2つ目はIDプロバイダの詳細で、IDP URLかIDPメタデータXMLのいずれかをNotionに提供する必要があります。

ステップ4:OneLoginでNotionアプリケーションを設定する

  • Notionからアサーションコンシューマーサービス(ACS)URLをコピーします。

  • OneLoginのAdministration(管理)UIに戻ります。

  • OneLoginアカウントにちょうど今追加したNorionアプリケーションコネクタの構成タブに移動します。

  • Notionからのアサーションコンシューマーサービス(ACS)URLConsumer URL(コンシューマーURL)テキストボックスに貼り付けます。

  • Save(保存)をクリックします。

  • NotionのSAML SSO構成の変更設定に戻ります。

  • OneLogin URLのSSOタブからコピーしたIssuer URL(発行者URL)IDプロバイダのURLテキストボックスに貼り付けます。IDプロバイダURLのラジオボタンが選択されていることを確認します。

SAML SSOを設定中にエラーが発生した場合は、IDPのメタデータ、SAML要求と応答が、SAML XSDスキーマに対して有効なXMLであることを確認してください。次のオンラインツールを使用して確認できます。https://www.samltool.com/validate_xml.php

EntitiesDescriptor 要素はサポートされていないため、ご注意ください。IDPのメタデータにこの要素が含まれている場合は、含まれている EntityDescriptor 要素を取り出して、再びお試しください。


よくあるご質問(FAQ)

「SAML SSOを有効にする」がグレー表示になっているのはなぜですか?

最もよくある理由として、ドメインの所有権がまだ検証されていないことが考えられます。検証されていない場合、検証済みメールドメインのセクションにドメインが表示されていないか、ドメインの検証が保留中となっているはずです。

SAML SSO設定を変更できないのはなぜですか?

最もよくある理由として、別のSSO設定に既に関連付けられた、リンクされているワークスペースの検証済みドメインかSSO設定を変更しようとしていることが考えられます。リンクされているワークスペースでは、ドメイン管理とSSO設定は読み取り専用です。SSO設定を変更したり、SSO設定からこのワークスペースを削除するには、メインのワークスペースにアクセスする必要があります。メインのワークスペースの名前は 認証とプロビジョン 設定の上部にあります。

SSOを有効にするために、なぜドメインを検証する必要があるのですか?

メールドメインの所有権の検証をお願いしているのは、ドメインの所有者のみがユーザーのNotionへのログイン方法をカスタマイズできるようにするためです。

SSOの設定でよくある問題を紹介します。

  • XMLの代わりにURLを使用してみてください。

  • ユーザーに対して強制する前に、テストアカウントを使用して設定プロセスをテストすることをお勧めします。

  • 上記のどちらでも解決しない場合は、

    サポート(team@makenotion.com)にお問い合わせください。

ワークスペースのSAML SSOを設定する前に、「許可されているメールドメイン」からメールドメインを削除する必要があるのはなぜですか?

「許可されているメールドメイン」の設定により、選択したドメインを持つユーザーは、IdP経由でプロビジョニングされることなくワークスペースへのアクセスできてしまいます。ですから、IdP経由でプロビジョニングされたユーザーのみがSAML有効なワークスペースにアクセスできるようにするために、「許可されているメールドメイン」リストからすべてのメールアドレスを削除して、この機能を無効にします。

利用しているIDプロバイダーがサービス停止している場合でもNotionにログインできますか?

はい。SAMLが強制されている場合も、ワークスペースオーナーには、メールでログインするオプションがあります。その後、ワークスペースオーナーは、ユーザーがメールで再びログインできるように SAMLを強制 するオプションを無効にできます。

プロフィール写真は、IDPからNotionに送信されますか?

はい。profilePhotoは、オプションのカスタム属性です。この属性を、IDPの対応する属性に割り当てることができます。ただし属性が画像のURLを含んでいる場合に限ります。profilePhotoフィールドが設定されている場合、ユーザーがSAML SSOを使用してサインインした時、この画像がNotionのアバターとして使用されます。

SAML設定内の他のワークスペースの管理者に新しいワークスペースの作成を許可するにはどうすればよいですか?

メインのワークスペースの管理者のみが、検証済みのドメインを使用して新しいワークスペースを作成できます。メインのSAMLワークスペースを、SAML設定内の別のリンクされたワークスペースに切り替える際は、サポートチーム(team@makenotion.com)までご依頼ください。

さらにご質問がある場合は、サポートにメッセージを送信してください

フィードバックを送信

このコンテンツは役に立ちましたか?