为 Notion MCP 设置企业托管连接

企业托管连接让你的 IT 团队可以在一个地方统一管理 Claude 等第三方 AI 工具如何连接到 Notion。无需每个人自行批准连接，管理员只需为所有人设置一次即可。Notion 仍会在每次请求时检查每个人的访问权限以及你工作空间的管理员设置。你可以通过两种方式进行设置：使用你自己的身份提供商（例如 Okta），或者信任 Claude 来确认谁是你的团队成员，这样任何单点登录提供商均可使用。

• 你的工作空间需要使用企业版。

• 你将选择一个颁发者，即负责验证你成员身份的系统：

  • 你自己的身份提供商，例如 Okta。你的 Notion 登录必须通过该提供商进行。

  • Claude 自动连接（测试版），用于确认谁是你的团队成员。你可以通过任何 SAML 单点登录提供商登录 Notion。

• 如果选择 Claude 方案，你还需要在 Notion 中设置 SAML 单点登录（任何身份提供商均可），并由你的 Notion 组织验证邮箱域名。

• 该 AI 工具需要支持企业托管连接。目前，Claude 是唯一具备此一键设置功能的 AI 工具。

• 要进行此设置，你需要一位 Notion 组织所有者（如果你的工作空间不属于某个组织，则为工作空间所有者）和一位 Claude 管理员。如果你使用 Okta 进行设置，你还需要一位 Okta 管理员。

Notion MCP 通常会要求每个用户批准其应用与 Notion 帐号之间的连接。使用企业托管连接后，你的团队将无需执行此批准步骤。

根据你选择的颁发者，其工作方式有两种。

使用你自己的身份提供商（例如 Okta）：

1. 成员使用贵公司的 Okta SSO 登录 Claude。

2. 当 Claude 需要 Notion 时，Okta 会根据管理员设定的规则确认是否允许该连接。

3. Notion 会检查请求是否确实来自 Okta，将成员与其 Notion 帐号进行匹配，并授予 Claude 该成员已拥有的 Notion 访问权限。仅此而已。

使用 Claude 作为颁发者：

1. 成员在 Claude 中使用 Notion。

2. Claude 会根据电子邮件地址检查此人目前是否为你的 Claude 组织成员。它不会核查此人是否通过你的身份提供商登录，也不会核查其是否完成多重身份验证。

3. Notion 会检查该成员的邮箱域名是否已由你的组织验证，将该成员与其 Notion 帐号匹配，并授予 Claude 与该成员现有权限相同的 Notion 访问权限。仅此而已。

成员不会看到 Notion 批准屏幕。每个连接一次最多保持活跃八小时，且 Notion 会在每次请求时检查你工作空间的设置。如果你在 Okta 中移除了某人的访问权限，或将其从你的 Claude 组织中移除，他们将无法发起新的连接，但已处于活跃状态的连接可以继续工作直到过期。若要立即停止某人的访问权限，请在 Notion 中解除其连接。

首先，选择你的颁发者。如果你使用 Okta 登录 Notion，请按照下方的 Okta 步骤操作。如果你更希望由 Claude 来确认谁是你的团队成员，请跳至下方的 设置 Claude 自动连接（测试版）。

使用 Okta 进行设置需要三个步骤：

• 在 Okta 中连接应用

• 在 Notion 中启用企业托管连接

• 在 Claude 中启用连接器

Okta 管理员可以按照以下步骤连接 Claude 和 Notion MCP：

1. 在 Okta 管理控制台中，确保已为你的 Claude 和 Notion 应用开启 SSO，并确保可使用跨应用访问 (Cross App Access)。

2. 添加 Claude 和 Notion MCP 之间的连接，并分配它应覆盖的用户或群组。

3. 记下你的 Okta 组织颁发者 URL（例如 https://acme.okta.com）。你稍后会在 Notion 中输入它。

有关详细信息，请参阅 Okta 帮助中心中的 配置跨应用访问。

Notion 组织所有者（如果你未使用组织，则为工作空间所有者）可以按照以下步骤将你的 Okta 帐号连接到你的 Notion 工作空间：

1. 转到 设置 → 身份 → 企业托管连接。如果 SAML 由 Notion 组织管理，请打开关联的组织控制台。

2. 开启企业托管连接并确认你的 Okta 颁发者 URL。它必须与你用来运行 Notion SAML 单点登录的 Okta 地址相匹配。

3. 选择此连接管理的一个工作空间，然后选择 开启。

Claude 管理员可以按照以下步骤将 Notion 添加为组织连接器：

1. 在 Claude 的管理设置中，转到 连接器 并添加 Notion 连接器 (https://mcp.notion.com/mcp)。

2. 为该连接器开启 企业托管身份验证。

3. 运行连接测试。当所有检查通过后，成员即可立即在 Claude 中使用 Notion。

如果你不使用 Okta，可以让 Claude 来确认谁是你的团队成员。你可以在 Claude 中进行此设置，无需手动复制任何内容。

开始之前，你需要：

• 企业版。

• 已在 Notion 中设置 SAML 单点登录。任何身份提供商均可使用。

  • 如果你的组织在 Notion 中拥有多个 SAML 身份提供商，

    连接 Notion

    无法选择其中一个并会报错停止。请告知管理员联系支持团队。

  • 拥有一个 SAML 身份提供商的组织可以为一个工作空间使用 Claude。如果该提供商已管理另一个工作空间，请先在那里解除连接。

• 经你的 Notion 组织验证的电子邮件域名。

• 团队版或企业版的 Claude 管理员。此人可以是 Notion 所有者。

设置从 Claude 开始，Claude 管理员需执行以下步骤：

1. 在 Claude 中，前往 组织设置 → 连接器 → Notion → 托管授权，然后选择 设置。

2. 选择 Claude 颁发 作为身份来源，然后点击 连接 Notion。

3. 在 Notion 中批准连接。Notion 组织所有者（如果你未使用组织，则为工作空间所有者）可以批准；同一个人可以完成这两个步骤。拥有管理企业托管连接权限的组织自定义管理员也可以批准。当你看到

   信任 Claude 以连接成员？，选择此连接将管理的工作空间，然后点击 信任 Claude。

4. 回到 Claude，点击 运行测试。

5. 当所有检查通过后，点击 启用并继续，然后选择谁可以使用该连接器。

6. 邮箱域名已由你的组织验证的成员现在可以在 Claude 中使用 Notion。

谁可以连接

只有邮箱域名已由你的 Notion 组织验证的成员才能连接，而且他们在 Claude 和 Notion 中使用的邮箱地址必须一致。如果成员无法连接，请检查其邮箱域名是否已验证，以及两个邮箱地址是否一致。

每个工作空间一个颁发者

每个工作空间一次仅信任一个颁发者。若要切换，请先在 Notion 的“身份”设置中移除当前设置，然后设置新的颁发者。每个 Claude 颁发者只能连接到一个 Notion 工作空间或组织。

你需要从 Claude 进行设置，不用在 Notion 设置中输入任何内容。之前粘贴的 Claude 颁发者仍可继续使用。如果 连接 Notion 无法正常工作，请联系支持团队。

• 随时关闭。 在 企业托管连接 中关闭连接。Notion 会阻止新的请求，并解除通过这种方式建立的成员连接。如果你是通过 Claude 设置的，请前往 Claude 的 托管授权 → 禁用 将其关闭。若要彻底停止信任 Claude，还需在 Notion 中将其关闭。

• 移除一名成员。 在 Okta 中将该成员从连接中移除，使其无法重新连接。若要立即终止现有连接，请在“身份”设置的 已解除连接的成员 列表（或 MCP 客户端成员列表）中解除该成员的连接。如果你是通过 Claude 设置的，请将该成员从你的 Claude 组织中移除，使其无法重新连接，然后在 Notion 中解除其连接，立即终止其访问权限。Claude 的目录同步会移除已删除的用户，但不会移除已暂停的用户，因此请确保该成员已从 Claude 中删除。

• 重复使用邮件地址。 Notion 根据邮件地址匹配成员。将前成员的邮件地址分配给新人之前，请移除前成员的 Notion 帐号，以免新人继承前成员的访问权限。

• 查看谁已连接。 托管连接会显示在你工作空间已连接的 AI 应用列表中，并带有 IdP 托管徽章。

• 全面审计。 每个成员的首次托管连接都会记录在 工作空间审计日志 中；如果你已设置审计日志事件流，还会发送到你的安全监控工具。

在 Claude 中，点击 运行测试 以查看连接情况。它会运行几项检查，每一项都会指出需要修复的内容。