Konfigurace SAML služby Azure AD/ Entra ID (pro vzdělávání)

Nastavte jednotné přihlašování (SSO) pro svůj tým pomocí řešení Azure Active Directory (AD)/ Entra ID od společnosti Microsoft.

1. V účtu správce Azure AD nebo Entra ID přejděte v nabídce portálu na ID Microsoft Entra .
2. V části Spravovat vyberte možnost Podnikové aplikace.
3. Klikněte na možnost Nová aplikace.
4. Do panelu hledání zadejte výraz Canva a pak ji vyberte v seznamu výsledků.

5. Kliknutím na možnost Vytvořit aplikaci přidejte.

6. Vyberte možnost Nastavit jednotné přihlášení.

7. Přijměte a uložte nastavení jednotného přihlášení. Identifikátor a adresa URL pro odpověď se předem vyplní prostřednictvím aplikace a není třeba je aktualizovat.

8. Volitelný krok: V oddílu Atributy a tvrzení – lze pro usnadnění aktualizovat názvy nároků na níže uvedené.

9. Ujistěte se, že jsou atributy nakonfigurovány tak, aby odpovídaly „názvům deklarace“, jak je uvedeno níže. Jednotlivé školy a jakákoli značka ve vzdělávání, které neuvádí rozpisy, nepotřebují atribut TeamID.

• Jedna škola

• Nastavení pro více škol, která nevytváří rozpisy

10. V části Podpisový certifikát SAML klikněte na

11. Dále v oddílu Nastavení Canvy zkopírujte následující údaje. Budete je potřebovat k dokončení nastavení v Canvě.

• Adresa URL pro přihlášení
• Identifikátor ID Azure AD/ Entra

1. Přejděte na stránku Vlastnosti ve službě Azure AD/Entra ID.
2. Nastavte přístup uživatelů ke Canvě. Vyberte jeden z následujících přístupů:

• Chcete-li umožnit všem uživatelům používat Canvu, nastavte v poli Povinné přiřazení uživatele hodnotu Ne.
• Chcete-li povolit používání Canvy jen určitým uživatelům, přejděte do části Uživatelé a skupiny a přidejte uživatele a skupiny, ke kterým chcete do Canvy udělit přístup.

Tímto krokem nám pomůžete určovat, kteří uživatelé jsou studenti a kteří jsou vyučující nebo personál. Tento krok je možné provést dvěma způsoby.

Pokud rozlišujete role uživatelů pomocí domény v e-mailu uživatele, můžete nastavit pravidlo, jež odesílá atribut Role na základě vyučujících, kteří mají doménu @okrsek.org (namísto @studenti.okrsek.org).

Deklaraci identity musíte v tomto kroku pojmenovat Role a pole Obor názvů musíte nechat prázdné.

Pokud rozlišujete role uživatelů pomocí členství ve skupinách, můžete nastavit pravidlo, které odesílá atribut Role s hodnotou „Vyučující“ pro uživatele, které jsou ve službě Azure/ Entra ID členy skupin personálu. Můžete to udělat v části Atributy a deklarace identity, a to tak, že přidáte novou deklaraci identity.

Deklaraci identity musíte v tomto kroku pojmenovat Role a pole Obor názvů musíte nechat prázdné.

Další informace najdete v článku společnosti Microsoft o přizpůsobení nároků vydaných v tokenu SAML pro podnikové aplikace.

V okrscích s více školami je třeba do Canvy přenést data rozpisu, abychom dokázali identifikovat, ke které škole máme přiřadit jednotlivé studenty.

Existuje několik různých způsobů. Vyberte si jednu z níže uvedených možností, která vašim potřebám nejlépe vyhovuje:

Pokud používáte službu Classlink, můžete nám odeslat data rozpisu přes RosterSync. Podívejte se na OneRoster Provisioning a zjistěte, jak na to.

Pro tuto možnost existuje několik způsobů:

Pokud v aplikaci SAML máte atribut s názvem školy, ID školy nebo jiným jedinečným identifikátorem školy, můžete daný atribut použít jako svůj atribut TeamId, abyste mohli odesílat informaci o tom, do které školy jednotliví uživatelé patří.

1. V aplikaci Canva ve službě Azure/ Entra ID vyberte možnost Jednotné přihlašování.
2. Upravte atributy a deklarace.
3. Přidejte deklaraci identity a pojmenujte ji TeamId.
4. Pro atribut Zdroj vyberte atribut, který odesílá jedinečný identifikátor školy.

Následně s Canvou sdílejte soubor CSV obsahující názvy jednotlivých škol a odpovídající hodnoty TeamId, které budou odesílány v rámci deklarace identity.

Také můžete vytvořit novou deklaraci identity a použít podmínky deklarace identity k odesílání hodnot atributu TeamId na základě skupin nebo jiných uživatelských atributů.

Můžete to udělat ručně tím, že nastavíte podmínky, jež sdělují aplikaci SAML, která hodnota atributu se má pro jednotlivé uživatele odesílat (na základě skupiny, ve které se uživatelé nachází).

Pokud jsou například studenti Základní školy Harmonie ve skupině „Studenti Harmonie“ a příslušný personál ve skupině „Personál Harmonie“, můžete aplikaci SAML sdělit, aby pomocí podmínek deklarace identity pro obě skupiny odesílala TeamId „Harmonie“.

1. V aplikaci Canva v Azure/ Entra ID vyberte možnost Jednotné přihlášení.
2. Upravte atributy a nároky.
3. Přidejte nárok a pojmenujte ho TeamId.
4. Vyberte možnost Podmínky nároku.
5. Pro každou sadu skupin, které dohromady tvoří školu, vyberte typ uživatele Členové a pak vyberte skupiny.
6. Vyberte možnost Atribut a pak zadejte hodnotu, která má sloužit jako jedinečný identifikátor školy.

Následně s Canvou sdílejte soubor CSV obsahující názvy jednotlivých škol a odpovídající hodnoty TeamId, které budou odesílány v rámci deklarace identity.

Také můžete v aplikaci SAML vytvořit deklaraci identity skupiny, která jako hodnotu deklarace identity odesílá název skupiny. K tomu je potřeba pro každou školu mít v aplikaci SAML jednu skupinu. Tato skupina musí obsahovat všechny uživatele ve škole (studenty i personál) a školní skupiny musí být jedinými skupinami odesílanými v rámci deklarace identity.

1. aplikaci Canva v Azure/Entra ID vyberte jednotné přihlašování.
2. Upravte Atributy a nároky.
3. Přidejte nárok skupiny a pojmenujte ho TeamId.
4. Postupujte podle pokynů ke konfiguraci deklarací skupiny pro aplikace prostřednictvím Azure Active Directory.

Následně s Canvou sdílejte soubor CSV obsahující názvy jednotlivých škol a odpovídající hodnoty TeamId, které budou odesílány v rámci deklarace identity.

1. Přihlaste se ke svému účtu Canva. Přejděte
2. na avatara ve svém profilu
3. a vyberte možnost Nastavení
4. . V postranní nabídce vyberte možnost Jednotné přihlašování a zřizování . Vyberte možnost
5. Jednotné přihlašování (SSO), potéSpravovat a poté Upravit metadata IdP. Do pole jednotné přihlašování nebo
6. přihlašovací URL vložte svou přihlašovací adresu URL . Do pole ID subjektu nebo Adresa URL poskytovatele vložte svůj identifikátor ID Entra/Azure AD/Entra
7. . Do pole Veřejný certifikát X.509 vložte veškerý obsah z vašeho podpisového certifikátu SAML v kódování Base64.
8. Klikněte na možnost Uložit a dále.

Existují dva jednoduché způsoby, jak můžete nastavení otestovat:

1. Přejděte na avatara ve svém profilu a poté
   Nastavení.
2. V postranní nabídce vyberte
   možnost Jednotné přihlašování a zřizování.
3. V části Jednotné přihlašování (SSO), vyberte možnost Spravovat a pak Testovat jednotné přihlašování.

1. Přejděte k
   jednotnému přihlašování a zřizování.
2. Vyberte možnost Jednotné přihlašování (SSO), poté Spravovat a poté Konfigurovat nastavení jednotného přihlašování.
3. Nastavte možnost nastavení jednotného přihlašování na hodnotu Nepovinné pro všechny.
4. Odhlaste se od svého účtu Canva.
5. Na přihlašovací stránce vyberte možnost Pokračovat s e-mailem a potom možnost Přihlásit se pomocí jednotného přihlašování.

Proveďte zkoušku pomocí účtu studenta a účtu vyučujícího. Jednotné přihlašování jste úspěšně nakonfigurovali, pokud platí následující:

• Přihlásili jste se jako učitel a můžete vidět stránku Lidé.
• Přihlásili jste se jako student a stránku Lidé nevidíte.

Vyberte, jak se mají lidé přihlašovat. Doporučujeme vyžadovat jednotné přihlašování pro všechny uživatele domény.

1. Na domovské stránce přejděte na avatara ve svém profilu a vyberte
   možnost Nastavení.
2. V postranní nabídce vyberte
   možnost Jednotné přihlašování a zřizování.
3. Vyberte možnost Jednotné přihlašování (SSO), poté Spravovat a poté Konfigurovat nastavení jednotného přihlašování.
4. Upravte nastavení jednotného přihlašování na hodnotu Povinné pro všechny (záznamy domény).
5. Klikněte na možnost Uložit připojení.