Como Configurar o Provisionamento Just-In-Time SAML em um Workspace do Notion

Você quer criar contas de usuário automaticamente no seu workspace do Notion quando os funcionários fizerem login através do provedor de identidade da sua empresa. O Notion oferece suporte ao provisionamento SAML Just-In-Time, que elimina a criação manual de usuários e reduz a sobrecarga administrativa. Este artigo explica o que o provisionamento JIT faz, os pré-requisitos necessários e as etapas exatas para configurá-lo no seu workspace do Notion. Ao final, você terá uma configuração funcional que provisiona usuários automaticamente no primeiro login SAML.

O Que É o Provisionamento Just-In-Time SAML e Por Que Usá-lo

O provisionamento Just-In-Time SAML, frequentemente chamado de provisionamento JIT, é um recurso que cria uma conta de usuário no Notion no momento em que uma pessoa se autentica através do seu provedor de identidade pela primeira vez. Sem o JIT, você precisa convidar manualmente cada usuário por e-mail ou usar o provisionamento SCIM. O JIT elimina essa etapa. Quando um novo funcionário faz login usando o portal SSO da sua empresa, o Notion verifica se o usuário existe. Se o usuário não existir, o Notion cria uma nova conta de membro do workspace usando os atributos de identidade da asserção SAML, geralmente o endereço de e-mail e o nome de exibição.

O provisionamento JIT funciona apenas após o SAML SSO estar ativado no seu workspace. Ele exige que seu provedor de identidade envie uma asserção SAML válida contendo pelo menos o endereço de e-mail do usuário. O Notion atribui ao novo usuário a função padrão de membro. Você não pode atribuir funções de proprietário ou administrador através do JIT — essas devem ser definidas manualmente após a criação da conta. O JIT é ideal para organizações que desejam uma experiência de integração sem toque e não precisam pré-configurar permissões ou grupos de usuários antes do primeiro login.

Pré-requisitos para Ativar o Provisionamento JIT

Antes de começar, confirme que você atende a estes requisitos:

• Você é um proprietário do workspace. Apenas proprietários podem acessar as configurações de autenticação.
• Seu workspace do Notion está em um plano Business ou Enterprise. O JIT não está disponível nos planos Free ou Plus.
• Você tem um provedor de identidade que suporta SAML 2.0, como Okta, Azure AD, OneLogin ou Google Workspace.
• Seu provedor de identidade está configurado para enviar o endereço de e-mail no NameID SAML ou em um atributo chamado email.
• O SAML SSO já está ativado e testado com pelo menos um usuário existente antes de ativar o JIT.

Passos para Ativar o Provisionamento Just-In-Time SAML no Notion

Siga estas etapas para ativar o provisionamento JIT no seu workspace do Notion. O processo pressupõe que o SAML SSO já está configurado. Se você não configurou o SAML SSO, conclua essa configuração primeiro.

1. Abra as configurações do workspace
   Abra o Notion e navegue até Configurações e Membros na barra lateral esquerda. Em seguida, clique em Configurações no topo da página.
2. Vá para a seção Autenticação
   Na página de Configurações, role para baixo até Autenticação. Esta seção contém todas as opções de SAML SSO e provisionamento.
3. Localize o alternador de provisionamento Just-In-Time
   Abaixo da configuração do SAML SSO, você verá um alternador rotulado como Provisionamento Just-In-Time. Se o alternador estiver desabilitado, confirme que o SAML SSO está ativado e que você é um proprietário do workspace.
4. Ative o alternador
   Clique no alternador para colocá-lo na posição Ligado. Uma caixa de diálogo de confirmação aparece. Clique em Ativar para confirmar.
5. Verifique o mapeamento de atributos no seu provedor de identidade
   Faça login no console de administração do seu provedor de identidade. Certifique-se de que o mapeamento de atributos SAML envia o endereço de e-mail do usuário para o Notion. Na maioria dos provedores, você mapeia o NameID ou um atributo personalizado chamado email. O Notion usa esse valor para criar a nova conta de usuário.
6. Teste o provisionamento JIT com um novo usuário
   Peça a um colega que não tenha uma conta do Notion no seu workspace para fazer login através do portal SSO da sua empresa. Ele deve conseguir acessar o Notion imediatamente. Verifique em Configurações e Membros > Pessoas se um novo membro aparece.

Erros Comuns e Limitações a Evitar

O provisionamento JIT é direto, mas várias armadilhas podem quebrar a configuração. Revise esses problemas antes de implantar.

Alternador JIT desabilitado ou acinzentado

Se o alternador não estiver disponível, verifique duas coisas. Primeiro, confirme que você é um proprietário do workspace. Segundo, verifique se o SAML SSO está ativado. O provisionamento JIT exige que o SAML SSO esteja ativo. Se o SAML SSO não estiver configurado, conclua a configuração do SSO primeiro e depois retorne ao alternador JIT.

Novo usuário não consegue fazer login após o JIT ser ativado

Quando um usuário tenta fazer login e recebe um erro, a causa mais comum é um mapeamento de atributos SAML incorreto. Abra seu provedor de identidade e confirme que o atributo de e-mail está mapeado para o NameID ou para um atributo chamado email. O Notion não aceita outros nomes de atributos para provisionamento JIT. Verifique também se o usuário existe no seu provedor de identidade e se está atribuído ao aplicativo Notion.

Usuário é criado com a função errada

O provisionamento JIT sempre cria usuários com a função Membro. Você não pode alterar esse comportamento padrão. Se um usuário precisar de acesso de proprietário ou administrador, um proprietário do workspace deve alterar manualmente a função após a criação da conta. Planeje uma etapa pós-provisionamento se você precisar de permissões elevadas.

Usuários existentes não são afetados

O provisionamento JIT se aplica apenas a usuários que ainda não têm uma conta do Notion no seu workspace. Usuários existentes continuam a fazer login normalmente. O JIT não atualiza nem sobrescreve atributos de usuário existentes, como nome de exibição ou e-mail.

Apenas SAML SSO vs SAML com Provisionamento JIT: Principais Diferenças

Item	Apenas SAML SSO	SAML com Provisionamento JIT
Método de criação de usuário	Convite manual por e-mail ou SCIM	Automático no primeiro login SAML
Tempo até o primeiro login para novo usuário	Requer que o admin envie convite e o usuário aceite	Imediato após o admin ativar o JIT
Função padrão para novos usuários	Definida durante o convite (Membro ou Convidado)	Sempre Membro
Mapeamento de atributos do provedor de identidade	Não necessário para criação de conta	Requer mapeamento do atributo de e-mail
Requisito de plano do workspace	Business ou Enterprise	Business ou Enterprise

Após ativar o provisionamento JIT, teste o fluxo com um novo usuário que nunca acessou o workspace. Confirme que o usuário aparece na lista de Pessoas com o endereço de e-mail correto e a função de Membro. Se você precisar atribuir permissões de proprietário ou administrador, faça isso manualmente logo após a criação da conta. Para organizações grandes, combine o provisionamento JIT com SCIM para gerenciamento de permissões baseado em grupos, embora o SCIM seja uma configuração separada.