SSO de SAML

Los servicios de inicio de sesión único (SSO) de Notion se basan en SAML 2.0 (lenguaje de marcado de aserción de seguridad), un estándar que permite a los administradores de identidad emitir con seguridad credenciales de autorización para proveedores de servicios como Notion, además de conectar tu proveedor de identidades (IDP) y los espacios de trabajo mediante un inicio de sesión lo más seguro y sencillo posible.

Los servicios de SSO permiten al usuario utilizar un único conjunto de credenciales (por ejemplo, un nombre o dirección de correo electrónico y una contraseña) para acceder a varias aplicaciones. El servicio autentica al usuario final una sola vez en todas las aplicaciones para las que tenga derechos de acceso y elimina la necesidad de autenticarse si cambia de aplicación durante la misma sesión.

• Agiliza la gestión de usuarios entre sistemas para los propietarios de espacios de trabajo.

• Elimina la necesidad de recordar y gestionar varias contraseñas para los usuarios finales. Simplifica su día a día, lo que les permite iniciar sesión una sola vez en un único punto de acceso y así agilizar su experiencia en distintas aplicaciones.

• Tu espacio de trabajo debe pertenecer a un plan Pyme o a un plan Enterprise.

• El proveedor de identidades (IDP) debe ser compatible con el estándar SAML 2.0

• Solo el propietario del espacio de trabajo de Notion puede configurar el inicio de sesión único de SAML.

• El propietario del espacio de trabajo debe haber verificado al menos un dominio.

1. Ve al menú Configuración, y luego selecciona la pestaña Configuración.

2. En la sección Dominios de correo electrónico permitidos, borra todos los dominios de correo electrónico.

3. A continuación, selecciona la pestaña Identidad y SCIM.

   

4. Verifica uno o más dominios. Consulta las instrucciones para la verificación de dominios aquí →

5. Habilita Activar inicio de sesión único de SAML y aparecerá la ventana Configuración de inicio de sesión único de SAML donde deberás completar la configuración.

6. La ventana de configuración del inicio de sesión único de SAML se divide en dos partes:

   • La URL del servicio de consumidor de aserciones (ACS) debe introducirse en el portal de tu proveedor de identidad (IDP)

   • En el campo de detalles del proveedor de identidad, se debe proporcionar a Notion una URL de IDP o un XML de metadatos de IDP.

Para obtener más detalles sobre dónde introducir y obtener esta información, consulta nuestras guías específicas sobre distintos IDP.

En el espacio de trabajo donde verificaste tu dominio de correo electrónico y habilitaste el inicio de sesión único de SAML, hay una sección de Espacios de trabajo enlazados en la que se detallan todos los espacios de trabajo asociados a tu configuración del SSO de SAML.

Los usuarios que dispongan de una dirección de correo electrónico verificada y tengan acceso al espacio de trabajo principal o a uno de los espacios de trabajo enlazados podrán iniciar sesión mediante el inicio de sesión único de SAML.

Los clientes del plan Enterprise asistidos por ventas pueden agregar espacios de trabajo de Enterprise a su configuración de inicio de sesión único de SAML o borrarlos poniéndose en contacto con [email protected].

Cuando hayas finalizado la configuración del SSO de SAML para un espacio de trabajo individual, los usuarios podrán iniciar sesión por esa vía y con otros métodos de inicio de sesión, como con un nombre de usuario y su contraseña o la autenticación mediante Google.

• Para asegurarte de que los usuarios solo puedan iniciar sesión mediante el inicio de sesión único de SAML y ningún otro método, actualiza el Método de inicio de sesión a Solo inicio de sesión único de SAML. Cuando lo hayas hecho, se les cerrará la sesión a los usuarios del espacio de trabajo y se les pedirá que vuelvan a abrir sesión a través del inicio de sesión único de SAML.

• Solo se exigirá el inicio de sesión único de SAML a los usuarios que usen tu dominio verificado y que tengan acceso al espacio de trabajo principal o a un espacio de trabajo vinculado.

• Los usuarios invitados a páginas de un espacio de trabajo de Notion no podrán usar el inicio de sesión único de SAML. En cambio, siempre deberán usar su correo electrónico y contraseña o abrir sesión a través de Google o Apple.

• Los administradores del espacio de trabajo pueden optar por no utilizar el SSO de SAML y emplear en su lugar las credenciales con correo electrónico y contraseña. Esta opción se ofrece para que tengan la posibilidad de acceder a Notion en caso de que se produzca un fallo relacionado con el IDP o con SAML. Podrán iniciar sesión y desactivar o actualizar la configuración.

Notion admite el aprovisionamiento Just-in-Time cuando se utiliza el SSO de SAML. Esto permite que una persona que inicia sesión mediante el SSO de SAML se una de manera automática al espacio de trabajo como miembro.

Cómo habilitar el aprovisionamiento Just-in-Time:

• En Configuración → Identidad y aprovisionamiento, asegúrate de que la opción Creación automática de cuentas está activada.

Aquí puedes encontrar las instrucciones para configurar el inicio de sesión único de SAML de Notion con Entra ID (anteriormente Azure), Google, Okta y OneLogin. Si utilizas un proveedor de identidad diferente y necesitas ayuda con la configuración, ponte en contacto con nuestro equipo de soporte técnico.

Si precisas documentación adicional, también puedes consultar los pasos que figuran en el sitio web de Entra ID aquí:

• Integración del inicio de sesión único (SSO) de Entra ID (anteriormente Azure Active Directory) con Notion

Paso 1: Crear una nueva integración de aplicación

1. Inicia sesión en el portal de Entra ID. En el panel de navegación izquierdo, selecciona el servicio Azure Active Directory.

2. Dirígete a Aplicaciones empresariales y selecciona Todas las aplicaciones.

3. Para agregar una nueva aplicación, selecciona Nueva aplicación.

4. En la sección Agregar desde la galería, escribe Notion en el cuadro de búsqueda. Selecciona Notion en el panel de resultados y agrega la app. Espera unos segundos mientras la app se agrega.

Paso 2: Crear integración con SAML

1. En el portal de Azure, en la página de integración de la aplicación de Notion, busca la sección Administrar  y selecciona Inicio de sesión único.

2. En la página Selecciona un método de inicio de sesión único selecciona SAML.

Paso 3: Configuración de SAML

1. En Notion, ve al menú Configuración, y luego selecciona la pestaña Configuración.

2. En la sección Dominios de correo electrónico permitidos, borra todos los dominios de correo electrónico.

3. A continuación, selecciona la pestaña Identidad y SCIM.

4. Verifica uno o más dominios. Consulta las instrucciones para la verificación de dominios aquí →

   Verificación de dominios para espacios de trabajo.

5. Habilita Activar inicio de sesión único de SAML y aparecerá la ventana Configuración de inicio de sesión único de SAML en la que deberás completar la configuración.

6. La ventana de configuración del inicio de sesión único de SAML se divide en dos partes: una sección es la URL del servicio de consumidor de aserciones (ACS) que debe ingresarse en el portal de tu proveedor de identidades (IDP); la segunda sección es la de Detalles del proveedor de identidades, donde debe introducirse la URL del IDP o el XML de metadatos del IDP para uso de Notion.

Paso 4: Configurar la app de Notion en Entra ID

1. En la página “Configuración del inicio de sesión único con SAML”, haz clic en el ícono del lápiz de Configuración básica de SAML para editar la configuración.

2. En la sección Configuración básica de SAML , si deseas configurar la aplicación en modo iniciado por “IDP” , escribe los valores de los siguientes campos:
   

   • En el cuadro de texto Identificador (ID de entidad), ingresa la siguiente URL: https://www.notion.so/sso/saml.

   • En el cuadro de texto URL de respuesta (URL del servicio de consumidor de aserción), usa la URL de ACS de Notion, que se ecuentra en la pestaña Identidad y aprovisionamiento del menú Configuración ubicado en la barra lateral izquierda.

   • En el cuadro de texto URL de inicio de sesión, escribe la siguiente URL: https://www.notion.so/login.

3. En la sección Atributos y notificaciones de usuario, comprueba si la notificación obligatoria incluye:

   • Identificador de usuario único (ID de nombre): user.userprincipalname [nameid-format:emailAddress]

   • firstName: user.givenname

   • lastName: user.surname

   • email: user.mail

4. En la página , Configuración del inicio de sesión único con SAML , en la sección Certificado de firma de SAML , haz clic en el botón copiar junto a la URL de metadatos de la App Federation.

5. En tu espacio de trabajo de Notion, ve al menú Configuración → Identidad y aprovisionamiento, y pega el valor de URL de metadatos de la federación de la app que copiaste en el cuadro de texto del campo URL de metadatos del IdP. Asegúrate de que el botón URL del proveedor de identidad esté seleccionado.

Paso 5: Asignar usuarios a Notion

1. En el portal de Azure, selecciona Aplicaciones empresariales y, a continuación, selecciona Todas las aplicaciones. En la lista de aplicaciones, selecciona Notion.

2. En la página de información general de la app, busca la sección Administrar y selecciona Usuarios y grupos.

3. Selecciona Agregar usuario y luego Usuarios y grupos en el cuadro de diálogo Agregar asignación.

4. En el cuadro de diálogo Usuarios y grupos, selecciona el usuario de la lista y, a continuación, haz clic en el botón Seleccionar en la parte inferior de la pantalla.

5. Si quieres que se asigne un rol a los usuarios, puedes seleccionarlo en la lista desplegable Seleccionar un rol. Si no se configuró un rol para esta app, aparece seleccionado Acceso predeterminado.

6. En el cuadro de diálogo , haz clic en el botón Asignar.

Para obtener más instrucciones, también puedes consultar la documentación del Centro de ayuda de Google Workspace Admin:

• Aplicación en la nube de Notion

Paso 1: Obtener la información del proveedor de identidad (IDP) de Google

1. Debes haber iniciado sesión con una cuenta de administrador para que tu cuenta de usuario tenga los permisos necesarios.

2. En la consola de administración, ve a Menú → Apps → Aplicaciones para web y aplicaciones móviles.

3. Escribe “Notion” en el campo de búsqueda y selecciona la app SAML de Notion.

4. En la página de información sobre el proveedor de identidades de Google, descarga los metadatos del IDP.

5. Abre el archivo GoogleIDPMetadata.xml en un editor compatible y, luego, selecciona y copia el contenido del archivo.

6. No cierres la consola de administración; una vez que hayas completado el siguiente paso en la aplicación de Notion, continuarás con el asistente de configuración.

Paso 2: Configurar Notion como proveedor de servicios SAML 2.0

1. En Notion, ve al menú Configuración, y luego selecciona la pestaña Configuración.

2. En la sección Dominios de correo electrónico permitidos, borra todos los dominios de correo electrónico.

3. Selecciona la pestaña Identidad y SCIM.

4. Agrega un nuevo dominio y verifícalo. Debe ser el mismo que tu dominio de Google Workspace.

5. En la configuración de Inicio de sesión único (SSO) de SAML, selecciona la función Activar inicio de sesión único de SAML. Se abrirá el cuadro de diálogo Configuración de SSO de SAML.

6. En el cuadro de diálogo, haz lo siguiente:

   • En Información del proveedor de identidad, selecciona XML de metadatos del IDP.

   • Pega el contenido del archivo GoogleIDPMetadata.xml (que copiaste en el paso 1) en el cuadro de texto XML de metadatos del IDP.

   • Copia y guarda la URL del servicio de consumidor de aserciones (ACS). Necesitarás estos datos cuando completes la configuración de la parte de Google en la consola de administración en el paso 3 a continuación.

   • Haz clic en Guardar cambios.

7. Comprueba si las demás opciones de método de inicio de sesión, creación automática de cuentas y espacios de trabajo vinculados contienen los valores que quieres para tu configuración.

Paso 3: Terminar de configurar el inicio de sesión único en la consola de administración

1. Regresa a la pestaña del navegador de la consola de admin.

2. En la página Información del proveedor de identidad de Google, haz clic en Continuar.

3. En la página Información del proveedor de servicios, sustituye el valor del campo URL ACS por la URL del ACS que copiaste de Notion en el paso 2 anteriormente.

4. Haz clic en Continuar.

5. En la página Asignación de atributos, haz clic en el menú Seleccionar campo y asigna los siguientes atributos de directorio de Google a los atributos correspondientes de Notion. Ten en cuenta que los atributos firstName, lastName y email son obligatorios.

   

   Nota: Se puede usar el atributo profilePhoto para agregar una foto de perfil en Notion. Para hacerlo, crea un atributo personalizado y complétalo en el perfil de usuario con la dirección URL de la imagen; a continuación, asigna el atributo personalizado a profilePhoto.

6. Opcional: Haz clic en Agregar asignación para agregar las asignaciones adicionales que necesites.

7. Haz clic en Finalizar.

Paso 4: Habilitar la app de Notion

1. En la consola de administración, ve a Menú → Aplicaciones → Aplicaciones para web y aplicaciones móviles.

2. Selecciona Notion.

3. Haz clic en Acceso de usuario.

4. Para activar o desactivar un servicio en toda tu organización, haz clic en Activado para todos o en Desactivado para todos y, a continuación, haz clic en Guardar.

5. Opcional: Para activar o desactivar un servicio en una unidad organizativa, sigue estos pasos:

   • En la parte izquierda, selecciona la unidad organizativa.

   • Para cambiar el estado del servicio, selecciona Activado o Desactivado.

   • Elige una opción: si el estado del servicio es Heredado y quieres mantener la configuración actual, aunque cambie la configuración principal, haz clic en Anular. Si el estado del servicio es Anulado, haz clic en Heredar para volver a la misma configuración que la unidad principal o en Guardar para conservar la configuración nueva, incluso si cambia la configuración principal. Nota: Descubre más sobre la estructura organizativa.

6. Opcional: activa el servicio para un grupo de usuarios. Con grupos de acceso puedes activar un servicio para determinados usuarios en una o varias unidades organizativas. Descubre más.

7. Procura que los ID de correo electrónico de tu cuenta de usuario de Notion coincidan con los de tu dominio de Google.

Si precisas documentación adicional, también puedes consultar los pasos que figuran en el sitio web de Okta aquí:

• Cómo configurar SAML 2.0 para Notion

Paso 1: Agregar la app de Notion desde el directorio de aplicaciones de Okta

• Inicia sesión en Okta como admin y ve a la consola de administración de Okta.

• Ve a la pestaña Aplicación y selecciona Examinar catálogo de aplicaciones; luego, busca “Notion” en el catálogo de aplicaciones de Okta.

• Selecciona la app de Notion y haz clic en Agregar integración.

• En la vista de Configuración general, comprueba los ajustes y haz clic en Siguiente.

• En la vista de Opciones de inicio de sesión, selecciona la opción SAML 2.0.

• Encima de la sección Configuración avanzada de inicio de sesión, haz clic en los metadatos del proveedor de identidad. Se abrirá una nueva pestaña en el navegador. Copia el enlace de la URL.

Paso 2: Configurar ajustes de SAML en Notion

1. En Notion, ve al menú Configuración, y luego selecciona la pestaña Configuración.

2. En la sección Dominios de correo electrónico permitidos, borra todos los dominios de correo electrónico.

3. A continuación, selecciona la pestaña Identidad y SCIM.

4. Verifica uno o más dominios. Consulta las instrucciones para la verificación de dominios aquí →

5. Habilita Activar inicio de sesión único de SAML y aparecerá la ventana Configuración de inicio de sesión único de SAML en la que deberás completar la configuración.

6. La ventana de configuración del inicio de sesión único de SAML se divide en dos partes: una sección es la URL del servicio de consumidor de aserciones (ACS) que debe ingresarse en el portal de tu proveedor de identidades (IDP); la segunda sección es la de Detalles del proveedor de identidades, donde debe introducirse la URL del IDP o el XML de metadatos del IDP para uso de Notion.

   • Elige la URL del proveedor de identidad y pega la URL con los metadatos del proveedor de identidad que copiaste en el paso 1. Haz clic en Guardar cambios.

7. En la pestaña Identidad y aprovisionamiento , baja y copia el identificador ID del espacio de trabajo.

8. En la consola de administración de Okta → Configuración avanzada de inicio de sesión, pega el ID del espacio de trabajo en el cuadro de texto del D de la organización.

9. En Información sobre las credenciales, selecciona Correo electrónico del menú desplegable Formato de nombre de usuario de la aplicación y haz clic en Listo.

10. Ahora, en la pestaña Okta - Asignaciones, puedes asignar usuarios y grupos a Notion.

Si precisas documentación adicional, también puedes consultar los pasos que figuran en el sitio web de OneLogin aquí:

• Configurar SAML para Notion

Paso 1: Crear nueva integración de aplicación

1. Si aún no configuraste el aprovisionamiento, ve a Administración → Aplicaciones → Aplicaciones y haz clic en el botón Agregar aplicación; busca Notion en el cuadro de búsqueda y selecciona la versión SAML 2.0 de Notion.

2. Haz clic en Guardar.

Paso 2: Crear integración con SAML

1. También puedes ir a Aplicaciones → Aplicaciones y seleccionar el conector de la aplicación de Notion que agregaste previamente.

2. Dirígete a la pestaña SSO y copia el valor de la URL del emisor. Pégalo en un lugar donde puedas acceder a él más tarde.

Paso 3: Configuración de SAML

1. Dentro de Notion, ve al menú Configuración, y luego selecciona la pestaña Configuración.

2. En la sección Dominios de correo electrónico permitidos, borra todos los dominios de correo electrónico.

3. A continuación, selecciona la pestaña Identidad y SCIM.

4. Verifica uno o más dominios. Consulta las instrucciones para la verificación de dominios aquí → Verificar un dominio para tu espacio de trabajo.

5. Habilita Activar inicio de sesión único de SAML y aparecerá la ventana Configuración de inicio de sesión único de SAML en la que deberás completar la configuración.

6. La ventana de configuración del inicio de sesión único de SAML se divide en dos partes: una sección es la URL del servicio de consumidor de aserciones (ACS) que debe ingresarse en el portal de tu proveedor de identidades (IDP); la segunda sección es la de Detalles del proveedor de identidades, donde debe introducirse la URL del IDP o el XML de metadatos del IDP para uso de Notion.

Paso 4: Configurar la app de Notion en OneLogin

1. Copia la URL del servicio de consumidor de aserciones (ACS) de Notion.

2. Regresa a la interfaz de usuario de administración de OneLogin.

3. Ve a la pestaña Configuración del conector de la app de Notion que acabas de agregar a tu cuenta de OneLogin.

4. Pega la URL del servicio de consumidor de aserciones (ACS) desde Notion en el cuadro de texto de la URL del consumidor.

5. Haz clic en Guardar.

6. Vuelve a Editar configuración de inicio de sesión único de SAML en la configuración de Notion.

7. Pega la URL del emisor que copiaste de la pestaña SSO en la URL de OneLogin dentro del cuadro de texto de la URL del proveedor de identidad. Comprueba si el botón URL del proveedor de identidad está seleccionado.

Si precisas documentación más detallada, puedes consultar el sitio web de Rippling aquí →

Si no utilizas uno de los proveedores de SAML compatibles con Notion, también puedes configurar tu IDP para que utilice SAML con Notion.

Paso 1: Configura tu IdP

Tu IDP debe admitir la especificación SAML 2.0 para usarse con Notion.

1. Configure la URL de ACS en la URL de Value Assertion Consumer Service (ACS) de Notion. Puedes encontrarlo en Configuración → Identidad y aprovisionamiento → Editar configuración de inicio de sesión único de SAML.

2. Configura nameID a urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress.

   1. Del mismo modo, configura el nombre de usuario como urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress.

3. Configura EntityID a https://notion.so/sso/saml. Puedes encontrarlo en Configuración para reducir la parte inferior de Identidad y aprovisionamiento.

4. Configura los siguientes atributos:

   • emailAddress: esta es la dirección de correo electrónico de un usuario. La mayoría de los IDP lo establecen de forma predeterminada.

   • (Opcional) firstName

   • (Opcional) lastName

   • (Opcional) profilePicture

5. Copia la URL de metadatos de IDP o el XML de metadatos de IDP para los pasos siguientes.

Paso 2: configurar SAML en Notion

1. En Notion, haz clic en Configuración → Configuración → Identidad y aprovisionamiento.

2. Agrega nuevos dominios de correo electrónico y sigue las indicaciones para verificarlos. Deben ser dominios de correo electrónico de los usuarios que inician sesión en Notion.

3. En SAML Inicio de sesión único (SSO) configuración, activa Habilitar inicio de sesión único de SAML. Esto abrirá el cuadro de diálogo Configuración de inicio de sesión único de SAML.

4. En Detalles del proveedor de identidad, escribe la URL de metadatos del IDP o el XML de metadatos de IDP de tu IDP.

5. Asegúrate de proporcionar los datos deseados para el método de inicio de sesión, la creación automática de cuentas y los espacios de trabajo vinculados.

Para cambiar de proveedor de identidad, accede al menú Configuración → Identidad y aprovisionamiento → Editar configuración de inicio de sesión único de SAML ubicado en la barra lateral izquierda. Ingresa la información nueva y selecciona la opción Guardar cambios.

Cuando cambies a un IDP nuevo, ten en cuenta las siguientes recomendaciones:

• Procura que el inicio de sesión único (SSO) no esté activado durante la transición para minimizar el riesgo de bloquear a los usuarios.

• Verifica que las direcciones de correo electrónico de los usuarios con tu IDP nuevo coincidan con el correo electrónico del usuario en Notion.

Si se producen errores durante la configuración del inicio de sesión único de SAML, asegúrate de que los valores XML para los metadatos del IDP, las solicitudes de SAML y las respuestas sean válidos según los esquemas XSD de SAML. Puedes comprobarlo con esta herramienta en línea: https://www.samltool.com/validate_xml.php

Ten en cuenta que el elemento EntitiesDescriptor no es compatible. Si los metadatos del IDP contienen el elemento EntityDescriptor, extráelo y vuelve a intentarlo.