SAML SSO

Notionのシングルサインオン（SSO）サービスは、SAML（Security Assertion Markup Language）2.0を基に構築されています。SAML 2.0はIDマネージャーがNotionのようなサービスプロバイダーに認証情報を安全に伝達できるようにし、IDプロバイダー（IdP）とワークスペースを接続して、より簡単かつ安全にログインできるようにする標準規格です。

SSOサービスを使用すると、ユーザーは1組の認証情報（たとえば、名前またはメールアドレスとパスワード）を使用して複数のアプリーケーションにアクセスできます。アクセス権を持つすべてのアプリケーションに対するエンドユーザーの認証が一度で完了するので、同じセッション中はアプリケーションを切り替えてもさらなる認証を求められることがありません。

• ワークスペースオーナーは複数のシステムのユーザー管理を効率的に行えます。

• エンドユーザーは複数のパスワードを管理して覚えておく必要がなくなります。単一のアクセスポイントでサインインし、複数のアプリケーション間をシームレスに切り替えられるようになるため、エンドユーザーにおける煩雑な操作が不要になります。

• ビジネスプランまたはエンタープライズプランのワークスペースであること。

• IDプロバイダー（IdP）がSAML 2.0標準規格をサポートしていること。

• ワークスペースオーナーのみが、NotionワークスペースのSAML SSOを設定可能

• ワークスペースオーナーにより、少なくとも1つのドメインが検証済みであること

1. 設定に移動し、設定タブを選択します。

2. 許可されたメールドメイン のセクションで、すべてのメールドメインを削除します。

3. その後、認証とプロビジョン タブを選択します。

   

4. 1つ以上のドメインを検証します。ドメイン検証の手順については、こちらをご覧ください →

5. SAML SSOを有効にする をオンに切り替えると、SAML SSO設定ウインドウが自動的に表示され、設定を完了するよう促されます。

6. SAML SSOの設定モーダルは、次の2つのパートに分かれています。

   • アサーション・コンシューマー・サービス（ACS）URLは、IDプロバイダー（IdP）のポータルで入力します。

   • IDプロバイダーの詳細には、IDP URLまたはIDPメタデータXMLのいずれかをNotionに提供するために入力する必要があるフィールドです。

この情報の入力先と入手先については、以下の各IdPのガイドをご覧ください。

ドメインを検証し、SAML SSOを有効にしたワークスペースの リンクされたワークスペース セクションに、SAML SSO設定に関連付けられているすべてのワークスペースが一覧表示されます。

検証済みメールアドレスを持ち、メインのワークスペースまたはリンクされたワークスペースの1つにアクセスできるユーザーは、SAML SSOでログインできます。

営業がご支援するエンタープライズプランのお客様で、SAML SSO設定へのエンタープライズワークスペースの追加や削除をご希望される場合は、 [email protected] までご連絡ください。

単一のワークスペースに対してSAML SSOの設定を完了すると、ユーザー名/パスワードやGoogle認証などの他のログイン方法に加えて、SAML SSOでログインできるようになります。

• ユーザーがログイン時にSAML SSO以外の方法を使用できないように設定するには、ログイン方法 を SAML SSOのみ に更新します。この更新を行うとワークスペースのユーザーはログアウトされ、SAML SSOを使用して再ログインすることが求められます。

• SAML SSOの強制は、検証済みドメインのメールアドレスを持ち、メインのワークスペースまたはリンクされたワークスペースにアクセスできるユーザーに対してのみ有効となります。

• Notionワークスペースのページに招待されているゲストは、SAML SSOを使用してのログインはできません。ログインするときには常に、メールアドレスとパスワードか、GoogleアカウントまたはAppleアカウントを使用します。

• ワークスペースオーナーには常に、メールとパスワードの認証情報を使用することで、SAML SSOを回避できるオプションが用意されています。これは、IdP/SAMLに障害が発生した場合でも、Notionにアクセスし、ログインして、設定の無効化や更新を行うことができるようにするためです。

Notionは、SAML SSOの使用時にジャストインタイム（JIT）プロビジョニングをサポートしています。これにより、SAML SSOでサインインしたユーザーは、メンバーとしてワークスペースに自動的に参加できます。

ジャストインタイム（JIT）プロビジョニングを有効にするには

• 設定 → 認証とプロビジョンで、アカウントの自動作成が有効になっていることを確認します。

この解説は、Entra ID（旧称Azure）、Google、Okta、OneLoginでNotion SAML SSOを設定するためのものです。これ以外のIDプロバイダーを利用しており、設定についてサポートが必要な場合は、サポートチームにお問い合わせください。

以下のEntra IDのWebサイトのドキュメントでも手順をご覧いただけます。

• Entra ID（旧称Azure Active Directory）シングルサインオン（SSO）とNotionの統合

ステップ1： 新しいアプリケーションインテグレーションを作成する

1. Entra IDにサインインし、左側のナビゲーションパネルで Azure Active Directory サービスを選択します。

2.  エンタープライズアプリケーション に移動して、 すべてのアプリケーション を選択します。

3. 新しいアプリケーションを追加するには、 新しいアプリケーションを選択します。

4. ギャラリーから 追加 を選び、検索ボックスに 「Notion」 と入力します。検索結果のパネルから 「Notion」 を選択し、アプリケーションを追加します。しばらく待つとアプリケーションがテナントに追加されます。

ステップ 2：SAML統合を作成する

1. AzureポータルのNotionアプリケーション統合ページにある 管理 セクションで シングルサインオン を選択します。

2. シングルサインオン方式の選択 ページで SAML を選択します。

ステップ3： SAMLを設定する

1. Notionで設定を開き、設定タブを選択します。

2. 許可されたメールドメイン のセクションで、すべてのメールドメインを削除します。

3. その後、認証とプロビジョン タブを選択します。

4. 1つ以上のドメインを検証します。ドメイン検証の手順については、こちらをご覧ください →

   ワークスペースのドメイン検証

5. SAML SSOを有効にするをオンに切り替えると、SAML SSO設定ウインドウが自動的に表示され、設定を完了するよう促されます。

6. SAML SSO設定モーダルは2つの部分に分かれています。1つ目はIDプロバイダー（IDP）の設定メニューに入力する アサーション・コンシューマー・サービス（ACS）URL 、2つ目はIDプロバイダーの詳細で、IDP URLまたはIDPメタデータXMLのいずれかをNotionに提供する必要があります。

ステップ4： Entra IDでNotionアプリを設定する

1.  SAMLによるシングルサインオンのセットアップ のページで、 基本的なSAML構成 の鉛筆アイコンをクリックして設定を編集します。

2. 基本的なSAML構成 のセクションで、アプリケーションをIDP開始モードで構成する場合は、次のフィールドに値を入力します。
   

   • 識別子（エンティティID） のテキストボックスに、URL「https://www.notion.so/sso/saml」を入力します。

   • 応答URL（Assertion Consumer Service URL）テキストボックスに、左側のサイドバーの設定メニューにある認証とプロビジョンタブをクリックすると表示されるNotionのACS URLを入力します。

   • サインオンURL のテキストボックスに、URL「https://www.notion.so/login」を入力します。

3. ユーザー属性とクレーム セクションで、必要なクレームを設定します。

   • 一意のユーザー識別子 (名前ID): user.userprincipalname[nameid-format:emailAddress]

   • firstName： user.givenname

   • lastName： user.surname

   • email： user.mail

4. SAMLによるシングルサインオンのセットアップ ページの SAML署名証明書 セクションで、アプリのフェデレーションメタデータURL の隣にあるコピーボタンをクリックします。

5. Notionワークスペースで設定 → 認証とプロビジョンの順にアクセスし、先ほどコピーしたアプリのフェデレーションメタデータURLをIdPメタデータURLのテキストボックスに貼り付けます。IDプロバイダーのURLのラジオボタンが選択されていることを確認してください。

ステップ5： Notionにユーザーを割り当てる

1. Azure portalで エンタープライズアプリケーション を選択し、 すべてのアプリケーション を選択します。アプリケーションの一覧で 「Notion」 を選択します。

2. アプリケーションの概要ページで 管理 セクションを見つけ、 ユーザーとグループ を選択します。

3. ユーザーの追加 を選択し、割り当ての追加 ダイアログで ユーザーとグループ を選択します。

4.  ユーザーとグループ ダイアログの ユーザー の一覧からユーザー名を選択し、画面の下部にある 選択 ボタンをクリックします。

5. ユーザーにロールが割り当てられることが想定される場合は、ロールの選択 ドロップダウンから選択できます。このアプリに対してロールが設定されていない場合は、デフォルトアクセス ロールが選択されています。

6. 割り当ての追加 ダイアログで 割り当て をクリックします。

Google Workspace管理者ヘルプセンターのドキュメントでも手順をご覧いただけます。

• Notion Cloudアプリケーション

ステップ1： Google IDプロバイダ（IdP）の情報を取得する

1. 適切なアクセス許可を持つユーザーアカウントが必要なため、管理者アカウントにサインインしてください。

2. 管理コンソールで、メニュー → アプリ → Webアプリとモバイルアプリ に移動します。

3. 検索フィールドに「Notion」と入力し、Notion SAMLアプリを選択します。

4. Google IDプロバイダー の詳細ページで、IdPメタデータファイルをダウンロードします。

5. 互換性のあるエディターで、GoogleIDPMetadata.xml ファイルを開き、ファイルの中身を選択してコピーします。

6. 管理コンソールを開いたまま、Notionアプリで次のステップを実行した後、設定ウィザードを続行します。

ステップ2： SAML 2.0サービスプロバイダーとしてNotionを設定する

1. Notionで設定を開き、設定タブを選択します。

2. 許可されたメールドメイン のセクションで、すべてのメールドメインを削除します。

3. 認証とプロビジョン タブを選択します。

4. 新しいドメインを追加して、検証します。これはGoogle Workspaceドメインと同じである必要があります。

5. SAMLシングルサインオン（SSO） 設定で、SAML SSOを有効にする をオンに切り替えます。そうすると、SAML SSO設定 ダイアログが開きます。

6. ダイアログで、次の操作を行います。

   • IDプロバイダーの詳細 で、IDPメタデータXML を選択します。

   • 上記ステップ1でコピーした「GoogleIDPMetadata.xml」のファイルの中身を、IDPメタデータXMLのテキストボックスに貼り付けます。

   • アサーションコンシューマーサービス（ACS）URLをコピーして保存します。以下のステップ3でGoogle側の管理コンソールの設定を完了する際に、これが必要になります。

   • 変更を保存 をクリックします。

7. ログイン方法、アカウントの自動作成、リンクされたワークスペースなどの他のオプションに、設定に必要な値が入力されていることを確認します。

ステップ3： 管理コンソールでSSO設定を完了する

1. 管理コンソールのブラウザタブに戻ります。

2. Google IDプロバイダーの詳細 ページで、続行 をクリックします。

3. サービスプロバイダーの詳細 ページで、ACS URLを上記ステップ2でコピーしたACS URLに置き換えます。

4. 続行 をクリックします。

5. 属性のマッピング ページで、フィールドを選択 メニューをクリックし、以下のGoogleディレクトリ属性を対応するNotionの属性にマッピングします。名、姓、メールアドレスは、必須属性であることにご留意ください。

   

   備考： profilePhoto属性を使用して、Notionにユーザーの画像を追加できます。これを行うには カスタム属性を作成 し、画像のURLパスをユーザープロファイルに入力、その後カスタム属性をprofilePhotoにマッピングします。

6. 任意：マッピングを追加 をクリックして、必要なマッピングを追加します。

7. 完了 をクリックします。

ステップ4： Notionアプリを有効にする

1. 管理コンソールで、メニュー→アプリ→Webアプリとモバイルアプリ に移動します。

2. Notionを選択します。

3. ユーザーアクセスをクリックします。

4. 組織内のすべてのユーザーに対してサービスの有効/無効を設定するには、オン（すべてのユーザー） または オフ（すべてのユーザー） を選択し、保存 をクリックします。

5. 任意： 特定の組織部門に対してサービスの有効・無効を設定するには、以下の操作を行います。

   • 左側で、組織部門を選択します。

   • サービスのステータスを変更するには オン または オフ を選択します。

   • 次のいずれかを選択します。
     サービスのステータスが 継承 になっており、親の設定が変更された場合でも更新された設定を維持したい場合は、 上書き をクリックします。
     サービスのステータスが 上書き済み になっている場合は、 継承 をクリックして親と同じ設定に戻すか、 保存 をクリックして親の設定が変更された場合でも新しい設定を維持します。
     備考： 組織構造について詳しくはこちらをご覧ください。

6. 任意： ユーザーグループに対してサービスをオンにします。アクセスグループを使用して、組織部門全体または組織部門内の特定のユーザーに対してサービスを有効にします。詳しくはこちらをご覧ください。

7. NotionのユーザーアカウントのメールIDがGoogleドメインのメールIDと一致していることを確認してください。

以下のOktaのWebサイトのドキュメントでも手順をご覧いただけます。

• How to Configure SAML 2.0 for Notion（Notion用SAML 2.0の構成方法）

ステップ1： OktaのアプリケーションディレクトリからNotionアプリを追加する

• Oktaに管理者としてログインし、Okta管理コンソールに移動します。

• アプリケーション タブに移動し、アプリカタログを参照 を選択して、Oktaのアプリカタログから「Notion」を検索します。

• Notionアプリを選択し、インテグレーションの追加 をクリックします。

• 一般設定 の画面で設定を確認し、次へ をクリックします。

• サインオンのオプション 画面で、SAML 2.0 を選択します。

• 高度なサインオン設定 のセクションで、アイデンティティプロバイダー のメタデータをクリックします。ブラウザの新しいタブが開くので、そのURLのリンクをコピーします。

ステップ2： NotionでSAML設定を行う

1. Notionで設定を開き、設定タブを選択します。

2. 許可されたメールドメイン のセクションで、すべてのメールドメインを削除します。

3. その後、認証とプロビジョン タブを選択します。

4. 1つ以上のドメインを検証します。ドメイン検証の手順については、こちらをご覧ください →

5. SAML SSOを有効にするをオンに切り替えると、SAML SSO設定ウインドウが自動的に表示され、設定を完了するよう促されます。

6. SAML SSO設定モーダルは2つの部分に分かれています。1つ目はIDプロバイダー（IDP）の設定メニューに入力する アサーション・コンシューマー・サービス（ACS）URL 、2つ目はIDプロバイダーの詳細で、IDP URLまたはIDPメタデータXMLのいずれかをNotionに提供する必要があります。

   • IDプロバイダーのURL を選択し、ステップ1でコピーした アイデンティティプロバイダーのメタデータ のURLを貼り付け、変更を保存 をクリックします。

7. 認証とプロビジョン タブをスクロールして、ワークスペースID 識別子をコピーします。

8. Okta管理コンソール → 高度なサインオン設定 のセクションの順に移動し、組織ID のテキストボックスにワークスペースIDを貼り付けます。

9. 資格情報の詳細 セクションで、アプリケーションユーザー名フォーマット のドロップダウンメニューから メール を選択し、完了 をクリックします。

10. Okta - 割り当て タブで、ユーザーやグループをNotionに割り当てることができます。

以下のOneLoginのWebサイトのドキュメントでも手順をご覧いただけます。

• Notion用のSAMLの構成

ステップ1： 新しいアプリケーションインテグレーションを作成する

1. プロビジョニングをまだ設定していない場合は、管理→アプリケーション→アプリケーション にアクセスして アプリの追加 ボタンをクリックし、検索ボックスで「Notion」を検索して、NotionのSAML 2.0バージョンを選択してください。

2. Save(保存)をクリックします。

ステップ2： SAMLインテグレーションを作成する

1. 設定済みの場合は、アプリケーション→アプリケーション に移動し、追加したNotionアプリコネクターを選択します。

2. SSOタブに移動し、Issuer URL(発行者URL)の値をコピーします。後で利用できるように、どこかに貼り付けておきます。

ステップ3： SAMLを設定する

1. Notionで設定を開き、設定タブを選択します。

2. 許可されたメールドメイン のセクションで、すべてのメールドメインを削除します。

3. その後、認証とプロビジョン タブを選択します。

4. 1つ以上のドメインを検証します。ドメイン検証の手順については、こちらをご覧ください → ワークスペースのドメイン検証

5. SAML SSOを有効にするをオンに切り替えると、SAML SSO設定ウインドウが自動的に表示され、設定を完了するよう促されます。

6. SAML SSO設定モーダルは2つの部分に分かれています。1つ目はIDプロバイダー（IDP）の設定メニューに入力する アサーション・コンシューマー・サービス（ACS）URL 、2つ目はIDプロバイダーの詳細で、IDP URLまたはIDPメタデータXMLのいずれかをNotionに提供する必要があります。

ステップ4：OneLoginでNotionアプリケーションを設定する

1. Notionから アサーションコンシューマーサービス（ACS）URL をコピーします。

2. OneLoginの管理UIに戻ります。

3. OneLoginアカウントに先ほど追加したNotionアプリコネクターの 構成 タブに移動します。

4. Notionからの アサーションコンシューマーサービス（ACS）URL を コンシューマーURL のテキストボックスに貼り付けます。

5. Save(保存)をクリックします。

6. Notionの SAML SSO構成の変更 設定に戻ります。

7. OneLogin URLの SSO タブからコピーした 発行者URL を IDプロバイダーのURL のテキストボックスに貼り付けます。IDプロバイダーのURL のラジオボタンが選択されていることを確認します。

こちらのRipplingのWebサイトで、詳細なドキュメントをご覧いただけます →

NotionがサポートしているSAMLプロバイダーを使用していない場合は、NotionでSAMLを使用するようにIDPを設定することもできます。

ステップ1： IDPを設定する

IDPが、Notionで使用されているSAML 2.0の仕様をサポートしている必要があります。

1. ACS URLをNotionのアサーションコンシューマーサービス（ACS）URLの値に設定します。これは、設定 → 認証とプロビジョン → SAML SSOの設定を編集 にあります。

2. NameID を urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress に設定します。

   1. 同様に、username を urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress に設定します。

3. エンティティID を https://notion.so/sso/saml に設定します。これは、設定 → 認証とプロビジョン の下部にあります。

4. 以下の属性を設定します。

   • emailAddress： ユーザーのメールアドレス。ほとんどのIDPでは、これがデフォルトで設定されています。

   • （任意）firstName

   • （任意）lastName

   • （任意）profilePicture

5. 次のステップで使うため、IDPメタデータURLまたはIDPメタデータXMLをコピーします。

ステップ2： NotionでSAMLを設定する

1. Notionで、設定 → 設定 → 認証とプロビジョンの順にクリックします。

2. 新しいメールドメインを追加し、プロンプトに従ってドメインを検証します。これらのドメインは、Notionにログインしているユーザーのメールドメインである必要があります。

3. SAMLシングルサインオン（SSO） 設定で、 SAML SSOを有効にする をオンに切り替えます。そうすると、 SAML SSO設定ダイアログが開きます。

4. IDプロバイダーの詳細 で、 IDPのIDPメタデータURLまたはIDPメタデータXMLを入力します。

5. ログイン方法、アカウントの自動作成、リンクされたワークスペース に必要な値を入力します。

IDプロバイダーを切り替えるには、左サイドバーから設定 → 認証とプロビジョン → SAML SSOの設定を編集の順にアクセスします。新しい情報を入力したら、変更を保存をクリックします。

新しいIDプロバイダーに切り替える際は、以下を行うことをお勧めします。

• 移行中はSSOを強制しない（ユーザーがロックアウトされるリスクを最小限に抑えるため）

• 新しいIDプロバイダーでのユーザーのメールアドレスが、Notionのユーザーのメールアドレスと一致するようにする

SAML SSOを設定中にエラーが発生した場合は、IDPのメタデータ、SAML要求と応答が、SAML XSDスキーマに対して有効なXMLであることを確認してください。次のオンラインツールを使用して確認できます。https://www.samltool.com/validate_xml.php

EntitiesDescriptor 要素はサポートされていないため、ご注意ください。IDPのメタデータにこの要素が含まれている場合は、含まれている EntityDescriptor 要素を取り出して、再びお試しください。