Notion セキュリティ対策 - SAMLによるSSO -

みなさん、こんにちは。

今回はタイトルにもあります通り、Notionのセキュリティ対策についてお話ししたいと思います。

SSOを行う目的

SSOはシングルサインオンの略称で認証先のシステムを統合し、一度ログインすれば他連携しているサービスにもシームレスにサインオンすることが可能になります。SSOを構成することで利用者は一つのIDとパスワードを管理するだけでサービスを利用することができます。つまりID管理の複雑性が解消されることになります。

さらに、認証基盤を統一することでアクセス制御を連携しているサービスも適用することができます。クラウド化が進み、これまで社内で保管してきていた電子データは、いまではクラウド(インターネット)上に保存されている状態が当たり前になりました。

インターネットを介して誰でもアクセスできてしまうような状況は、不正アクセスによるデータ漏洩や盗難などのセキュリティリスクが課題になります。
このSSOの仕組みを利用し、認証システムを一つにまとめてしまえば、社内で定義したアクセス制御ルールを利用しているサービスにも幅広く適用することができるので、不正アクセスに対す流セキュリティ対策につながります。

Notionとは

一言で伝えると、組織内でナレッジ管理、タスク管理、スケジュール管理ができるとても優秀なツールです。

引用元

さらに、Slack、Youtube、Figmaなどの外部ツールとの連携性も優れています。
本日の記事ではNotionをより安全かつ堅牢に使用するための手法を紹介します。

AzureAD(Azure Active Directory)とは

Microsoft が提供するクラウドベースの ID およびアクセス管理サービス。現在では認証以外にも特権管理やアクセス制御など様々な機能も追加されている。本記事ではこのAzureADとNotionを認証連携し、Notionへアクセスする際に必ずAzureADの認証を行わせるように設定する。

SAMLとは

SAML 2.0(Security Assertion Markup Language)の略称。OASISで定義された異なるインターネット上でユーザー認証を行うためのXMLをベースにした認証プロトコル。
SAMLを使うにあたり、以下の用語については押さえておく必要がある。

導入手順

エンタープライズプランへの切り替え

NotionにSSO導入するためには「エンタープライズ」プランに変更する必要があります。

月額払いだと「25ドル」、年額一括払いだと月額換算「20ドル」となり少しお得になります。

支払いが完了すると下記のようなエンタープライズ管理者のページになります。

Notionにドメイン設定を追加

ここから、本日のメインパートとなります！

管理者設定画面の「認証とプロビジョニング」をクリックします。エンタープライズ切り替え後はドメイン設定などは初期値です。

「ドメインの追加」ボタンをクリックし管理対象のドメインを追加します。ドメインを入力後「次へ」をクリックします。

続いてドメインホストのDNSにTXTレコードを追加します。表示されている認証コードをコピーしてお使いの管理サービス上で設定を実施します。

参考）私たちは「お名前.com」でドメイン購入してますので、管理ページで下記のように認証コードをTXTレコードとして追加しています。

レコード追加後、Notion画面の「検証する」をクリックして確認が完了するとドメイン追加が完了となります。

ドメイン追加が正常に完了すると検証済みドメインに表示されます。

SAML SSOの有効化

Azure AD エンタープライズアプリケーションページより「Notion」を追加します。

これでAzure AD側の事前準備が完了で、再びNotionに戻ります。「SAML SSOを有効にする」をクリックすると下記画面が表示されます。

「基本的なSAML構成」->「応答URL」に上記NotionのACS URLを貼り付けます。

続いてメタデータURLを設定します。Azure ADの下記画面で表示される「アプリのフェデレーション メタデータURL」をコピーします。

Azure ADでコピーしてきたメタデータURLを、Notionの「IDプロバイダーのURL」項目に入力します。

以上で、Notion側でのSSOが有効となります。設定後、ログイン方法を「SAML SSOのみ」に変更します。

まとめ

いかがでしたでしょうか？ 私たちは普段よりDXにつながるサービスのセキュリティ検証をしております。

Notionに限らずご用命があればどんなツールも検証しますので是非お声がけください！