Configura l'inici de sessió únic i l'aprovisionament per a Canva Campus

Canva Campus és la solució d'educació superior de Canva per a la implementació a tot el campus. El teu equip de TI gestiona l'aprovisionament d'usuaris i l'autenticació de manera centralitzada a través d'una sola organització de Canva.

Aquesta guia tracta:

• Configuració de l'inici de sessió únic
• Aprovisionament d'usuaris
• Integració amb LMS i resolució de problemes per a administradors de TI.

A l'extrem inferior esquerre de Canva, selecciona les teves inicials.

• Assegura't que formes part del teu equip de Campus (no és un compte personal o Pro).
• Ves a
  Configuració.
• Al menú de l'esquerra, selecciona Configuració de l'organització i, a continuació, inici de sessió únic i aprovisionament.

• Si no veus aquesta opció, posa't en contacte amb el teu contacte de Canva.

A continuació, selecciona Comença i confirma els permisos i l'accés a les eines de configuració. Selecciona Porta'm a la configuració de l'inici de sessió únic per continuar.

1. A sota de Verifiqueu els dominis amb els quals voleu utilitzar l'Inici de sessió únic, seleccioneu Afegeix un domini.
2. Introduïu el vostre domini(s) i, a continuació, seleccioneu Envia.
3. Copieu el testimoni de registre TXT mostrat.
4. En el vostre proveïdor de domini (p. ex., GoDaddy, Namecheap):
   • Aneu a Configuració de DNS.
   • Afegiu un registre TXT amb el testimoni.
   • Deseu els canvis.
5. La verificació triga de 24 a 72 hores. Rebreu un correu electrònic un cop el vostre domini estigui verificat.
   • Per comprovar l'estat, utilitzeu mxtoolbox.com.

Selecciona el teu proveïdor d'identitat a continuació per veure una guia sobre com afegir Canva. Tenim guies per als IdP següents, però sempre que el teu proveïdor d'identitat admeti SAML 2.0, pots fer-ho servir.

• Configuració de SAML d'Azure AD/ Entra ID (per a Canva Enterprise)
• Configuració SAML d'ADFS
• Configuració SAML d'Okta
• Configuració de SAML de GSuite (Google).
• Configuració de SAML de seguretat de Duo
• Configuració SAML de OneLogin
• Configuració SAML de Salesforce

Si el teu no apareix a la llista anterior, fes servir:

• URL d'ACS/URL de resposta: https://www.canva.com/login/saml
• ID/identificador de l'entitat: https://www.canva.com
• Atributs SAML: NameID, Correu electrònic, FirstName, LastName, TeamId (obligatori per a la configuració del campus amb alumnes)*
• Text de metadades (si cal)

Assegura't que l'afirmació SAML inclogui una signatura. Comprova la configuració per verificar-ho.

• Finalitat: distingeix i assigna la llicència correcta als alumnes i als empleats.
• Requisit: almenys dos valors únics (p. ex., alumnes, personal).
• Es pot assignar a partir de grups o atributs d'un Proveïdor d'identitat existents.
• Amb Shibboleth, Canva admet l' esquema eduPersonAffiliation per a TeamId (contacta amb el servei d'Assistència o el representant del compte de Canva per activar-lo).

A Canva:

Ves a

La configuració de TeamId és fonamental per atorgar llicències prèmium als grups d'usuaris correctes (sobretot per gestionar les llicències d'alumnes).

En el cas de les institucions que utilitzen Entra ID (Microsoft 365), ves a la teva aplicació Canva Enterprise. Selecciona Inici de sessió únic, Atributs i reclamacions i Edita per configurar la reclamació de TeamId.

"TeamId" i "TeamID" s'accepten com a nom de reclamació. Per a la majoria de desplegaments de campus, la pràctica recomanada és l'opció 1 (reclamació de grup). L'opció 2 és una bona alternativa si ja hi ha un atribut d'usuari adequat al teu directori.

Crea un grup de seguretat d'Entra dedicat per a cada equip de Canva. El nom de visualització del grup s'envia com a valor TeamId i Canva dirigeix els usuaris en conseqüència. Aquest és l'enfocament més net i fàcil de mantenir.

1. A Atributs & reclamacions, seleccioneu Afegeix una reclamació de grup.
2. Anomeneu la reclamació TeamId.
3. Configureu l'enviament de noms de visualització de grup.

Important: els grups inclosos en aquesta reclamació han de coincidir exactament amb els teus valors de Canva TeamId i no s'ha d'enviar cap altre grup com a part de la mateixa reclamació.

Una bona opció si el teu directori ja té un atribut que distingeix de manera fiable el personal dels alumnes (p. ex., employeeType, departament o un atribut d'extensió).

1. A sota de Atributs i Reclamacions, selecciona Afegeix una reclamació nova.
2. Anomena la reclamació TeamId.
3. Defineix Font com a Atribut, i selecciona l'atribut de directori rellevant.
4. Assegura't que els valors dels atributs coincideixen amb els valors de TeamId que has definit a Canva per a cada equip.

Nota: tot i que aquest enfocament pot funcionar, les condicions de reclamació d'ID d'Entra tenen limitacions i peculiaritats conegudes (p. ex., el comportament d'ordenació de condicions, casos extrems amb pertinences a grups superposades). Les opcions 1 i 2 solen ser més fiables per als desplegaments de Campus.

Si continues, especifica manualment el valor de TeamId que vols enviar en funció de la pertinença al grup Entra.

1. A Atributs i Reclamacions, selecciona Afegeix una nova reclamació.
2. Anomena la reclamació TeamId.
3. Selecciona Condicions de la reclamació.
4. Per a cada grup (personal, estudiants), estableix el tipus d'usuari a Membres, selecciona els grups d'Entra rellevants i introdueix el valor TeamId corresponent (p. ex., "staff" o "students").
5. Desa la reclamació.

Fes-ho servir si el personal i els alumnes tenen dominis de correu electrònic diferents (p. ex., @staff.university.edu o @student.university.edu). Això extreu el domini de correu electrònic i l'utilitza com a valor TeamId.

1. A Atributs i Reclamacions, seleccioneu Afegeix una reclamació nova.
2. Anomena la reclamació TeamId.
3. Defineix l'Origen com a Transformació.
4. Apliqueu la transformació Extract amb Després de coincidir amb @, utilitzant user.userPrincipalName o user.mail com a origen.

Assegura't que els valors de TeamId definits a Canva coincideixen amb les cadenes del domini extretes.

Per a les institucions que utilitzen Okta, TeamId es configura com a atribut SAML. Abans de continuar, assegura't que la sol·licitud Canva Okta estigui configurada, que s'assignin grups Okta a la sol·licitud Canva i que la configuració de SAML estigui configurada a Canva. Per obtenir informació sobre la configuració completa, consulta la guia de configuració de SAML d'Okta al Centre d'ajuda de Canva.

Crea grups d'Okta els noms de visualització dels quals coincideixin amb els teus valors de Canva TeamId (p. ex., un grup anomenat "campus-staff" s'assigna a TeamId "campus-staff"). Okta filtra i envia el nom del grup coincident com a valor TeamId en iniciar la sessió.

1. A Okta, aneu a Directory, després seleccioneu Groups i creeu grups utilitzant una convenció de noms coherent (per exemple, tots els grups de Campus comencen amb "campus-").
2. Aneu a sol·licitud, després seleccioneu Canva. Aneu a General, després a SAML configuració, i seleccioneu edita. Seleccioneu Següent fins que arribeu a la pantalla Configure SAML.
3. A sota de Group Attribute Statements, afegiu:
   1. Nom: TeamId
   2. filtres: Comença per, després participa el vostre prefix de convenció de noms (per exemple, "campus-")
4. Deseu. Okta enviarà el nom del grup coincident com a valor de TeamId.

Fes-ho servir si no pots fer servir una convenció de nomenclatura o necessites assignar grups específics pel seu ID Okta.

1. Per a cada grup, obre'l a Okta i registra l'ID del grup des de l'URL (la cadena alfanumèrica després de l'última /).
2. Ves a Sol·licituds, després selecciona Canva. Ves a General, després selecciona Configuració de SAML, i selecciona Edita. Selecciona Següent.
3. A sota de Declaracions d'atributs (no Declaracions d'atributs de grup), afegeix:
   1. Nom: TeamId
   2. Valor: Arrays.toCsvString(getFilteredGroups({"",""},"group.name",50))
   3. Substitueix <group_id_1> i <group_id_2> pels ID de grup del pas 1.

4. Selecciona Següent, i a continuació acabat.

Google Workspace no admet reclamacions de SAML basades en grups condicionals de la mateixa manera que Entra ID, però hi ha dues maneres senzilles d'emplenar TeamId per al teu desplegament Campus.

Opció 1: utilitza un atribut de directori existent (o personalitzat).

És millor si ja fas un seguiment d'un valor que distingeix el personal dels alumnes o vols afegir-ne un.

1. A l'Administració de Google, ves al perfil d'un usuari i cerca (o afegeix) un atribut personalitzat, per exemple, un camp Centre de costos sota un esquema personalitzat "Informació de l'empleat" (al costat de camps com ara ID d'empleat, Càrrec, departament, ID d'edifici, etc.). ).
2. Emplena aquest camp amb un valor que identifiqui el grup d'usuaris, p. ex., defineix Centre de costos com a compte d'alumne per als comptes d'alumnes i empleat per als comptes de personal. Qualsevol atribut existent que ja distingeix les dues poblacions funciona igual de bé; El centre de cost és un camp convenient si no encaixa res més.
3. A Administració de Google, ves a Aplicacions > Aplicacions web i mòbils > Canva > Assignació d'atributs.
4. A Atributs, selecciona Afegeix una assignació, selecciona el camp del directori (p. ex., Detalls de l'empleat > Centre de costos) a l'esquerra i introdueix TeamId com a atribut de l'aplicació a la dreta.
5. Desa. Ara Google enviarà el valor d'aquest camp com a atribut TeamId en cada afirmació SAML.

Opció 2: utilitza Grups de Google

El millor és si prefereixes gestionar-ho per pertinença a un camp per usuari.

1. A l'Administració de Google, crea dos grups: un per al personal (p. ex., "Empleats") i un altre per als estudiants (p. ex., "Alumnes") i afegeix els usuaris rellevants a cadascun.
2. A la mateixa aplicació SAML de Canva (Aplicacions > Aplicacions web i mòbils > Canva > Assignació d'atributs), desplaça't fins a Pertinença a un grup (opcional).
3. Afegeix els dos grups i defineix l'atribut App en TeamId.
4. Desa. Google enviarà el nom del grup coincident com a valor TeamId per a cada usuari.

De qualsevol manera: els valors que enviïs (p. ex., “alumne”/”empleat” o els noms del grup) han de coincidir exactament amb els valors d'Id de TeamId configurats als equips corresponents a Configuració de l'organització de Canva > Equips.

Recull aquests elements del teu Proveïdor d'identitat:

• Punt final de SAML 2.0 (HTTP) (URL d'Inici de sessió únic)
• Emissor del proveïdor d'identitat (ID d'entitat)
• Certificat públic (x.509, codificació en Base64)

Introdueix-les a la pàgina de configuració de l'inici de sessió únic de Canva.

1. A Canva, ves a configuració del compte. A continuació, selecciona Inici de sessió únic i aprovisionament.
2. A l'apartat Tria qui ha d'utilitzar l'inici de sessió únic, selecciona Inici de sessió únic opcional per a tothom.
3. Tanca la sessió i, a la pàgina d'inici de sessió, selecciona continua amb l'inici de sessió únic (SSO).
4. Prova-ho amb:
   • Un compte d'alumne
   • Un compte d'empleat (si tots dos estan configurats)

També pots fer servir el botó Prova l'inici de sessió únic de la pàgina de configuració.

Opcions:

• Només per a membres del teu equip (recomanat per a la majoria de campus)
  • Permet als antics alumnes o altres usuaris de fora de l'equip continuar fent servir Canva.
• Obligatori per a tothom (captura de domini)
  • L'experiència d'inici de sessió més clara Tots els usuaris del teu domini verificat han d'iniciar la sessió mitjançant l'inici de sessió únic. Recomanat per a llançaments complets del campus.

Consulta Configuració dels controls d'Inici de sessió únic i registre per obtenir més informació.

Amb l'inici de sessió únic habilitat (opcional o obligatori), els usuaris han d'iniciar la sessió amb l'inici de sessió únic per unir-se als equips del campus.

Demana al servei d'assistència de Canva o al teu representant de Canva un enllaç d'inici de sessió d'inici de sessió únic personalitzat.

És possible que molts membres del personal ja tinguin un compte de Canva personal vinculat al seu correu electrònic de l'empresa. Quan l'Inici de sessió únic està activat, aquests usuaris veuran un sol·licitud d'un sol cop per vincular el seu compte existent en el primer Inici de sessió únic.

• Els usuaris han de completar l'enllaç del compte per poder gestionar-los completament mitjançant SCIM o polítiques d'aprovisionament. Et recomanem que avisis el personal abans del llançament perquè sàpiguen que s'espera aquest avís.
• Si un usuari té un compte de Canva personal i un correu electrònic de l'empresa de Canva, se li demanarà que triï quin enllaçar. Els dissenys dels comptes desvinculats no es perden; es poden copiar manualment, però els comptes no es poden combinar.
• Els usuaris que s'ometin un error o trobin un error durant l'enllaç poden tornar-hi més tard a través de Configuració. Selecciona Inici de sessió i seguretat i, després, Enllaça el teu compte d'inici de sessió únic.

L'aprovisionament d'usuaris controla com el personal i els alumnes s'afegeixen als seus respectius Canva Teams i s'eliminen quan marxin. S'admeten tres opcions. L'inici de sessió únic s'ha de configurar completament abans d'activar qualsevol mètode d'aprovisionament.

Com funciona: el teu IdP envia grups d'usuaris a Canva mitjançant l'API de SCIM. El motor de polítiques d'aprovisionament de Canva llegeix les pertinences a grups i col·loca automàticament els usuaris a l'equip correcte (personal o alumnes) i als subgrups rellevants. Quan un usuari s'elimina d'un grup del teu IdP, es cancel·la automàticament l'aprovisionament de Canva.

IdP admesos: Microsoft Entra ID, Okta, PingFederate, PingOne.

Nota: Google Workspace no admet l'inserció de grups SCIM. Utilitza l'opció 2 o 3.

Les polítiques d'aprovisionament de SCIM són una característica d'activació que Canva ha d'habilitar. Per sol·licitar accés, posa't en contacte amb el servei d'assistència

1. Habilita SCIM a Canva: Ves a Configuració. Selecciona Inici de sessió únic i Aprovisionament, aleshores selecciona Configura l'aprovisionament. Activa Habilita l'aprovisionament SCIM i copia el testimoni de l'API de SCIM.

Pren nota de l'endpoint SCIM: https://www.canva.com/_scim/v2. Contacta amb el teu representant de Canva per habilitar les Polítiques d'aprovisionament SCIM per a la teva organització abans de continuar.

2. Configura SCIM al teu Proveïdor d'identitat: Introdueix el punt final SCIM i el testimoni de l'API a la configuració d'aprovisionament del teu Proveïdor d'identitat. Consulta les guies específiques del Proveïdor d'identitat per a Entra ID i Okta al Centre d'ajuda de Canva.

3. Envia els grups des del teu Proveïdor d'identitat: Assigna els grups que vols sincronitzar a Canva (per exemple, canva-staff, canva-students).

4. Creeu polítiques d'aprovisionament a Canva: Aneu a Configuració. Seleccioneu Seguretat, després seleccioneu Polítiques d'aprovisionament. Seleccioneu Crea política. Poseu-li un nom, seleccioneu el grup del proveïdor d'identitat com a condició, seleccioneu l'equip de destí de Canva, i trieu el comportament de sincronització de grups (creeu un grup nou, o sincronitzeu-vos amb un grup de Canva existent, els noms han de coincidir exactament). Com a mínim, creeu dues polítiques: una que mapegi el vostre grup de personal a l'equip del personal, i una que mapegi el vostre grup d'alumnes a l'equip d'alumnes.

Comportaments clau:

• Cancel·lació de l'aprovisionament: quan un usuari s'elimina d'un grup d'IdP, s'elimina automàticament del seu Canva Teams, i el seu compte queda bloquejat.
• S'està restaurant l'accés: torna a afegir l'usuari a l'IdP SCIM el tornarà a aprovisionar automàticament.
• En suprimir una política, s'eliminaran totes les pertinences a Canva Teams o grups aplicades per aquesta política. Fes-ho servir amb precaució.
• Els grups creats mitjançant polítiques d'aprovisionament estan bloquejats; Els membres de Canva no es poden afegir ni eliminar manualment. L'IdP és la font de la veritat.
• Els usuaris de Canva preexistents han de completar l'enllaç del compte d'inici de sessió únic perquè SCIM els pugui gestionar completament. Demana a aquests usuaris que iniciïn la sessió mitjançant l'inici de sessió únic abans d'activar SCIM.
• SCIM no envia correus electrònics de benvinguda quan els alumnes s'aprovisionen a l'equip d'alumnes.
• Les polítiques d'aprovisionament només controlen l'assignació de l'equip i el grup, no les funcions. L'assignació de funcions s'ha de gestionar mitjançant l'assignació de funcions SAML o definir-la manualment.

Com funciona: la institució envia a Canva una llista d'usuaris per aprovisionar-los per endavant. Canva carrega aquests usuaris als equips correctes.

Ideal per a: institucions el Proveïdor d'identitat de les quals (p. ex., Google Workspace) no admet l'inserció de grup SCIM, o per a la població inicial de l'equip a l'inici d'un semestre.

Com sol·licitar una càrrega de CSV:

1. Prepara un full de càlcul amb les columnes següents: adreça de correu electrònic, tasca d'equip.
2. Envia el fitxer al teu representant de Canva o contacta amb l'Assistència de Canva.
3. Canva processarà la càrrega i confirmarà quan estigui completa.
4. El primer inici de sessió dels usuaris ha de ser mitjançant Inici de sessió únic.

Nota: la càrrega CSV no està automatitzada. Per a les transicions semestrals o els canvis de personal, s'ha d'enviar un fitxer CSV nou al nostre equip d'assistència. Els usuaris de Canva preexistents inclosos al fitxer CSV se'ls demanarà que vinculin el seu compte existent en iniciar la sessió amb l'inici de sessió únic.

Com funciona: no hi ha cap usuari carregat prèviament. Quan un usuari s'autentica mitjançant l'inici de sessió únic per primera vegada, Canva llegeix els seus atributs SAML, concretament TeamId i, opcionalment, la funció, i els afegeix automàticament a l'equip correcte. Cada sessió posterior manté la pertinença a l'equip sincronitzada.

Important: si JIT és el mètode d'aprovisionament principal, Canva et recomana activar la Captura de domini (obligatòria per a tothom) com a control d'inici de sessió d'inici de sessió únic. Sense la captura del domini, els usuaris del teu domini poden evitar l'inici de sessió únic, de manera que és possible que JIT no arribi a tots els usuaris i la cancel·lació d'aprovisionament s'ha de gestionar manualment.

Com funciona JIT:

1. L'usuari navega a Canva i s'autentica mitjançant el teu Proveïdor d'identitat.
2. Canva llegeix el valor de TeamId a l'afirmació SAML.
3. L'usuari s'afegeix automàticament al Canva Teams el TeamId del qual coincideix.
4. Si hi ha un atribut de rol present, s'assigna a l'usuari el rol corresponent (dissenyador per a personal, membre per a alumnes).
5. En inicis de sessió posteriors, Canva revalida la pertinença a l'equip enfront de l'afirmació SAML.

• Sense aprovisionament previ: els usuaris només apareixen a Canva després del primer inici de sessió d'inici de sessió únic. Les comunicacions massives o l'ús compartit de plantilles no es poden orientar a usuaris que encara no hagin iniciat la sessió.
• Sense cancel·lació automàtica de l'aprovisionament: en eliminar un usuari del teu IdP no se suprimeix de Canva. La cancel·lació d'aprovisionament s'ha de fer manualment o mitjançant una configuració SCIM independent.
• No desactivis JIT tret que SCIM estigui completament operatiu i estigui configurat per gestionar tot l'aprovisionament.

Canva Campus admet LTI (interoperabilitat d'eines d'aprenentatge), cosa que permet als professors inserir tasques de Canva al teu sistema de gestió de l'aprenentatge (LMS) i als alumnes enviar dissenys de Canva com a treballs del curs.

L'inici de sessió únic ha d'estar completament configurat abans de configurar LTI. Per obtenir instruccions de configuració específiques de la plataforma, consulta les guies d'integració amb sistema de gestió de l'aprenentatge (LMS).

El domini de correu electrònic de l'usuari no està verificat a la configuració de l'inici de sessió únic de Canva o bé no ha vinculat el seu compte de Canva actual a l'inici de sessió únic.

Confirmeu que el domini de correu electrònic de l'usuari coincideix amb un domini verificat a la vostra configuració d'Inici de sessió únic de Canva. Si tenen un compte de Canva preexistent, és possible que hagin de completar la vinculació del compte; indiqueu-los que vagin a Configuració, després a Inici de sessió i seguretat, i seleccionin Vincula el teu compte d'Inici de sessió únic.

Per obtenir orientació específica sobre errors, consulta Resolució de problemes amb errors de l'Inici de sessió únical Centre d'ajuda de Canva.

El valor de TeamId enviat pel teu proveïdor d'identitat no coincideix exactament amb el TeamId configurat a Canva. Els valors de TeamId distingeixen entre majúscules i minúscules.

Comprova que el valor de l'identificador d'equip (TeamId) enviat pel teu Proveïdor d'identitat coincideix amb el valor de l'identificador d'equip (TeamId) establert a Canva (ves a

És possible que les polítiques d'aprovisionament no estiguin configurades o habilitades per a la teva organització, que el testimoni de l'API de SCIM ja no sigui vàlid o que els usuaris de Canva preexistents no hagin iniciat el primer inici de sessió d'inici de sessió únic.

• Comproveu que les polítiques d'aprovisionament estiguin configurades per assignar els vostres grups de Proveïdors d'identitat als Canva Teams correctes.
• Confirmeu que el vostre representant de Canva ha habilitat les polítiques d'aprovisionament per a la vostra organització.
• Comproveu que el testimoni de l'API SCIM del vostre Proveïdor d'identitat estigui actualitzat, especialment si SCIM s'ha activat o desactivat recentment.
• Si els usuaris afectats tenen comptes de Canva preexistents, feu que iniciïn la sessió mitjançament l'Inici de sessió únic un cop i, a continuació, torneu a intentar la sincronització.

No s'ha tornat a aprovisionar l'usuari a través del teu proveïdor d'identitat, o bé la sincronització de SCIM no s'ha completat.

Torneu a afegir l'usuari al vostre Proveïdor d'identitat i permeteu que SCIM se sincronitzi. Si el problema persisteix, poseu-vos en contacte amb l'Assistència de Canva.

L'alumne no s'ha aprovisionat per a l'equip d'estudiants de la institució, o bé està iniciant la sessió amb un compte de Canva personal en comptes de l'inici de sessió únic.

Confirmar que l'equip d'alumnes ha estat aprovisionat per Canva i que els alumnes inicien sessió mitjançant l'Inici de sessió únic. Els alumnes han de ser membres de l'equip d'alumnes de la institució per accedir a les característiques premium — iniciar sessió amb un compte personal no permetrà l'accés.

El personal i els alumnes poden compartir contingut entre ells?

El personal i els alumnes pertanyen a equips de Canva independents i no poden compartir contingut directament. Tanmateix, els enllaços de col·laboració es poden utilitzar entre els alumnes i el personal (docent). El professorat també pot compartir plantilles i tasques de Canva amb els alumnes mitjançant la integració amb el sistema de gestió de l'aprenentatge (LMS).

Els antics alumnes poden mantenir el seu accés a Canva després de la graduació?

Amb l'inici de sessió únic definit en Només per a membres de l'equip, els usuaris eliminats dels teus Canva Teams perdran l'accés a les característiques de Campus, però conservaran els comptes de Canva personals. Amb Obligatori per a tothom (captura de domini), l'accés està vinculat al teu IdP; els usuaris que tinguin l'accés d'IdP revocats perdran l'accés a Canva al seu domini institucional.

Els alumnes que vulguin conservar els seus dissenys han de copiar o transferir el seu contingut abans de graduar-se o deixar la institució. Consulta Com copiar dissenys abans de graduar-te per obtenir instruccions detallades.