직원이 퇴사하면 IT팀은 체크리스트를 보며 사내 계정을 하나씩 지워나갑니다. 메일, 그룹웨어, 노션… 항목이 많을수록 빠뜨리는 항목도 늘어납니다. 노션 계정 하나를 지우는 걸 깤박했다면, 퇴사한 직원이 몇 주 동안 사내 문서에 그대로 접근할 수 있는 상태가 될 수 있습니다. 이 글에서는 SSO와 SCIM을 연결해 입사·퇴사 시 노션 계정이 자동으로 생성·비활성화되도록 설계하는 방법을 다룹니다.
Before / After
Before (수동 오프보딩 체크리스트)
\\사내서버\공유\IT팀\퇴사자_계정해지_체크리스트_2026.xlsx
HR이 퇴사자를 메일로 통보하면 IT담당자가 이 엑셀 체크리스트를 열어 노션, 슬랙, 메일 등을 하나씩 수동으로 제거합니다. IT담당자가 휴가이거나 바빠면 처리가 며칠 미뤄지고, 그 사이 퇴사자의 계정은 그대로 살아있습니다.
After (SSO + SCIM 자동화)
IdP(Okta, Microsoft Entra ID 등)에서 HR 담당자가 해당 직원의 계정을 비활성화하는 순간, SCIM이 자동으로 노션에 신호를 보내 해당 계정의 로그인 세션을 즉시 만료시킵니다. IT담당자가 노션을 따로 기억할 필요가 없습니다.
미니 사례
B사는 퇴사자 엑셀 체크리스트에서 노션 항목이 누락된 적이 있어, 퇴사한 마케팅팀원이 2주간 회사 전략 문서가 있는 팀스페이스에 여전히 접근 가능한 상태였습니다. 보안팀이 이를 발견한 후 SAML SSO와 SCIM을 도입했고, 이후 HR 시스템에서 퇴사 처리를 누르는 즈시 노션 접근도 함께 차단되도록 바뀜었습니다.
Step-by-Step: SAML SSO 연결하기
- 워크스페이스 이름을 클릭해 워크스페이스 전환기를 열고 "Manage organization"을 선택합니다.
- 💡 팁: 이 메뉴는 Enterprise 플랜의 조직 관리자에게만 보입니다.
- 조직 설정의 General 탭에서 "Enable SAML SSO" 토글을 켜줍니다.
- 표시되는 ACS URL과 Config ID를 IdP(Okta/Entra ID 등) 관리 콘솔의 "SAML 앱 추가" 화면에 입력합니다.
- ⚠️ 주의: Enterprise는 IdP를 여러 개 연결할 수 있으므로, 부서별로 다른 IdP를 쓰는 회사라면 연결을 추가할 때마다 새 Config ID가 발급된다는 점을 기억하세요.
- IdP 쪽에서 테스트 계정으로 SSO 로그인을 시도해, 노션으로 정상 리다이렉트되는지 확인합니다.
Step-by-Step: SCIM으로 자동 프로비저닝/디프로비저닝 연결하기
- 노션
Settings→ Identity & provisioning → SCIM Configuration으로 이동해 SCIM 토큰을 발급받습니다. - ⚠️ 주의: SCIM은 Enterprise 플랜 전용이며, 반드시 앞서 SAML SSO가 먼저 활성화되어 있어야 설정이 가능합니다.
- 발급된 토큰을 IdP 관리 콘솔의 "프로비저닝" 또는 "SCIM" 설정 화면에 붙여넣습니다. 이제 IdP와 노션이 계정 정보를 주고받을 수 있는 연결이 완성됩니다.
- 💡 팁: 토큰은 한 번만 표시되는 경우가 많으므로, 발급 즉시 비밀번호 관리자(1Password 등)에 저장해두세요.
- IdP에서 테스트용 사용자 계정 1개를 생성해, 지정된 그룹에 추가해봅니다. 몇 분 내에 노션 워크스페이스에 해당 계정이 자동으로 추가되어야 합니다.
- 동일한 테스트 계정을 IdP에서 이번에는 비활성화(또는 그룹에서 제거)해보고, 노션 세션이 즉시 만료되는지 확인합니다. 해당 계정은 다시 로그인을 시도해도 차단됩니다.
- 테스트가 성공하면, HR의 퇴사 처리 절차(IdP 계정 비활성화) 안에 "이 단계가 노션 접근도 자동으로 차단한다"는 설명을 추가해 IT/HR 두 팀 모두에게 공지합니다.
초기 사용자가 흔히 하는 실수 2가지
실수 1: SAML SSO만 켜면 퇴사자 계정도 자동으로 비활성화될 거라고 착각한다
SSO는 "로그인 수단"을 통합할 뿐, 계정 생명주기(생성/제거) 자체를 관리하지는 않습니다. SSO만 설정해놓고 SCIM을 연결하지 않으면, IdP에서 계정을 비활성화해도 노션 즈으로는 별도 제거를 해줘야 하고, 이 사실을 IT팀이 알지 못해 고스란이 그대로 지속되는 경우가 흔합니다.
→ 방지법: SSO와 SCIM은 완전히 별개 기능임을 명확히 구분하고, 위 Step 5~9의 SCIM 연결을 반드시 추가로 완료하세요. SSO만 도입하고 멈처들었다면 지금 바로 SCIM Configuration 화면이 비어있는지 점검하세요.
실수 2: SCIM이 그룹(Group) 멤버십까지 자동으로 동기화해줄 거라고 오해한다
SCIM을 도입하면 사용자 계정만이 아니라 IdP의 그룹까지 그대로 노션 Teamspace/그룹에 반영된다고 생각하는 경우가 많습니다. 실제로는 현재 노션 SCIM은 그룹 프로비저닝/디프로비저닝을 지원하지 않아, 특정 팀스페이스에서 사람을 빼고 넣는 작업은 여전히 누군가 수동으로 해야 합니다.
→ 방지법: SCIM 도입 후에도 팀스페이스 멤버 관리는 별도 체크리스트로 남겨두세요. "계정 생성/삭제는 SCIM이 자동화하지만, 특정 프로젝트 팀스페이스 추가/제거는 여전히 수동"이라는 점을 온보딩 문서에 명시해두세요.
심화/응용: 도입 ROI와 예외 상황
- ROI 관점: IT팀이 퇴사자 당 평균 몇 분의 수동 작업을 절감하는 것뿐만 아니라, "누락 없이 당일 차단"이 보장되는 것 자체가 보안 사고 리스크를 줄이는 정량화 가능한 효과입니다. 경영진 보고 시 "퇴사자 평균 계정 해지 소요시간"을 도입 전사후로 비교해 제시하면 설득력이 높아집니다.
- 복수 IdP를 쓰는 조직: 인수/합병으로 두 개 이상의 IdP(예: 엑션 법인은 Entra ID, 본사는 Okta)를 동시에 쓰는 경우, Step 3에서 말했듯 Config ID가 IdP별로 분리되므로 각 IdP의 사용자 그룹이 서로 섞이지 않도록 명확히 문서화해두세요.
- Business 플랜(Enterprise 미도입) 조직: SAML SSO는 사용할 수 있지만 SCIM은 Enterprise 전용이므로, 자동 디프로비저닝은 지원되지 않습니다. 이 경우에는 HR 시스템의 퇴사 워크플로우에 "노션 계정 제거" 체크리스트 항목을 명시적으로 남겨 수동 프로세스를 보완해야 합니다.
- 자주 나오는 예외: 퇴사가 아닌 "부서 이동"으로 IdP 그룹만 바뀜는 경우 — 이때는 계정 자체는 비활성화되지 않으므로 노션 접근은 유지되지만, 실수 2에서 설명한 대로 Teamspace 멤버십은 자동으로 바뀜지 않습니다. 부서 이동 시에도 관리자가 수동으로 구 Teamspace에서 제거·새 Teamspace에 추가하는 절차를 함께 안내해야 합니다.
핵심 요약
- 워크스페이스 전환기 → Manage organization → General 탭에서 Enable SAML SSO를 먼저 켜고 IdP와 연결한다
Settings→ Identity & provisioning → SCIM Configuration에서 토큰을 발급해 IdP에 연결한다 (SAML SSO 선행 필수)
- IdP에서 계정을 비활성화하면 SCIM이 자동으로 노션 세션을 즉시 차단한다
- SSO만으로는 자동 디프로비저닝이 되지 않으므로 SCIM 연결이 반드시 필요하다
- 그룹/Teamspace 멤버십은 SCIM으로 자동화되지 않으므로 별도 수동 관리 체계를 유지한다