Konfigurace SAML pro službu GSuite (Google) (pro vzdělávání)

Nastavte jednotné přihlašování (SSO) pro svůj školní systém pomocí aplikace GSuite (Google).

1. Z administrátorské konzole Google přejděte do nabídky Aplikace > Webové a mobilní aplikace.
2. Klikněte na Přidat aplikaci a pak Hledejte aplikace.
3. Do pole hledání zadejte Canva. Vyberte aplikaci Canva Web (SAML).
4. Na stránce podrobností Google Identity Provider zkopírujte nebo si zapište SSO URL a ID subjektu. Budete je potřebovat v dalších krocích. Ujistěte se, že je zaškrtnuto políčko Podepsaná odpověď.

5. Na stejné stránce si stáhněte Certifikát a klikněte na Pokračovat.
6. V okně Název poskytovatele služby ponechejte většinu nastavení tak, jak jsou. Další informace najdete níže. Klikněte na Pokračovat.
7. V části Atributy zkontrolujte, že pole vypadají jako uvedený příklad, a klikněte na Dokončit.

Detaily poskytovatele služby - NameId: Doporučujeme odeslat vlastní atribut s jedinečným identifikátorem jiným než e-mailem. Pokud takový nemáte, můžete použít primární e-mail, ale pro Canvu tak bude obtížnější automaticky aktualizovat e-mailové adresy, když je uživatelé změní nebo pokud vaše instituce změní svou e-mailovou doménu.

Aby nedocházelo k problémům, nepoužívejte jako NameId křestní jméno ani příjmení.

Tímto krokem nám pomůžete určovat, kteří uživatelé jsou studenti a kteří jsou vyučující nebo personál. Tento krok je možné provést několika způsoby.

Canva dokáže přiřazovat role studentů či vyučujících na základě společných vzorů e-mailových adres. Například:

• Studenti na jedné e-mailové doméně, personál na druhé
• Studenti mají na začátku číslo, personál nikoli

Pokud si to chcete aktivovat na svém účtu, dokončete proces nastavení jednotného přihlašování a poté kontaktujte náš tým podpory a aktivujte mapování rolí na doméně.

Pokud do administrátorské konzole Google zadáváte data z jiného zdroje, můžete daný zdroj nastavit tak, aby odesílal data do služby Google ve formě, kterou potřebujete.

Ve zdrojové databázi (Active Directory nebo sis) vytvořte mapování, které odesílá do služby Google slovo „staff“ (personál) jako hodnotu „Nákladové centrum“ pro vyučující nebo personál. Hodnota pro studenty může zůstat prázdná, případně pro ni můžete zadat slovo „student“.

Uživatelský atribut Nákladové centrum v uživatelském profilu administrátorské konzole Google doporučujeme používat, protože je k dispozici v procesu SAML, ale obvykle není okrsky používáno.

Pokud do administrátorské konzole Google zadáváte data ručně, pomocí hromadného importu ze souboru CSV nebo pomocí externího skriptovacího nástroje (jako je GAM nebo Gopher), můžete k vyplnění atributu role použít stejné postupy.

Ve službě Google zadejte slovo „staff“ (personál) jako hodnotu „Nákladové centrum“ pro vyučující a personál. Hodnota pro studenty může zůstat prázdná, případně pro ni můžete zadat slovo „student“.

Uživatelský atribut Nákladové centrum v uživatelském profilu administrátorské konzole Google doporučujeme používat, protože je k dispozici v procesu SAML, ale obvykle není okrsky používáno.

V obvodech s více školami je třeba do Canvy přenést data rozpisu, abychom dokázali identifikovat, ke které škole máme přiřadit jednotlivé studenty. Tento krok je možné provést několika způsoby.

Pokud používáte službu Classlink, můžete nám odeslat data rozpisu přes RosterSync. Podívejte se na OneRoster Provisioning a zjistěte, jak na to.

Tato možnost nabízí několik variant postupu.

Pokud v aplikaci SAML máte atribut s názvem školy, ID školy nebo jiným jedinečným identifikátorem školy, můžete daný atribut použít jako svůj atribut TeamId, abyste mohli odesílat informaci o tom, do které školy jednotliví uživatelé patří.

1. V aplikaci Canva ve službě Google Workspace přejděte do části Mapování atributů SAML.
2. Vyberte možnost Přidat nové mapování.
3. V části Atribut adresáře Google vyberte atribut, který obsahuje jedinečný identifikátor školy.
4. Zadejte TeamId jako atribut aplikace.

Následně s Canvou sdílejte soubor CSV obsahující názvy jednotlivých škol a odpovídající hodnoty TeamId, které budou odesílány v rámci deklarace identity.

Také můžete v aplikaci SAML vytvořit deklaraci identity skupiny, která jako hodnotu deklarace identity odesílá název skupiny. K tomu je potřeba pro každou školu mít v aplikaci SAML jednu skupinu. Tato skupina musí obsahovat všechny uživatele ve škole (studenty i personál) a školní skupiny musí být jedinými skupinami odesílanými v rámci deklarace identity.

1. V aplikaci Canva ve službě Google Workspace přejděte do části Mapování atributů SAML.
2. Přejdi do části Členství ve skupině.
3. V části Skupiny Google zadejte názvy jednotlivých školních skupin. Každá škola by měla mít jen jednu skupinu.
4. Jako atribut aplikace zadejte TeamId.

Poté s Canvou sdílejte soubor CSV obsahující názvy jednotlivých škol a přesné názvy skupin Google pro dané školy.

Pomocí organizačních jednotek můžete sestavit jednu dynamickou skupinu pro každou školu ve své organizaci. Dynamické skupiny mohou sestávat z několika organizačních jednotek.

1. Pro každou školu vytvořte dynamickou skupinu. Přejděte do části Adresář > Skupiny.
2. Vyberte možnost Vytvořit dynamické skupiny.
3. Pokud bude skupina obsahovat několik organizačních jednotek, v logice filtrování vyberte možnost nebo.
4. Pomocí níže uvedených údajů nastavte filtr. Pokud jsou studenti a vyučující v odlišných organizačních jednotkách, budete potřebovat dvě podmínky, jak je znázorněno níže.

5. Zaškrtněte pole Vyloučit pozastavené uživatele.
6. Kliknutím na možnost Náhled potvrďte e-maily. Pak klikněte na Vytvořit dynamickou skupinu.
7. Zadejte následující údaje:
   • Název skupiny - název, který bude předán do Canvy
   • E-mail skupiny - musí být stejný jako název skupiny
8. Vyberte možnost Uložit.

1. Přihlaste se k účtu Canva.
2. Na domovské stránce vyberte profil účtu a otevřete nabídku.
3. Vyberte
   Nastavení.
4. V postranní nabídce vyberte kartu
   SSO a provisioning.
5. V části Jednotné přihlášení (SSO) klikněte na Spravovat > Upravit metadata IdP.
6. Zadejte následující podrobnosti z aplikace GSuite (Google).
   1. SSO nebo přihlašovací adresa URL: Vložte adresu URL SSO.
   2. Entity ID (ID subjektu) a Issuer URL (URL poskytovatele): Vložte Entity ID (ID subjektu).
   3. X.509 Veřejný certifikát: Vložte veškerý obsah svého certifikátu.
7. Klikněte na Uložit a další.

1. Přihlaste se do administrátorské konzole.
2. Přejděte do nabídky Aplikace > Webové a mobilní aplikace.
3. Vyberte aplikaci Canva.
4. Přejděte do Nastavení > Přístup uživatele.
5. Pokud chcete zapnout Canvu pro všechny uživatele v okrsku, vyberte možnost Zapnuto pro všechny a pak klikněte na možnost Uložit.
6. Pokud chcete zapnout Canvu pro organizační jednotku, vyberte příslušnou organizační jednotku a pak vyberte možnost Zapnuto.

Přečtěte si další informace o organizačních jednotkách a nastaveních skupiny.

Existují dva jednoduché způsoby, jak otestovat nastavení jednotného přihlašování:

Pokud jste stále na stránce Nastavení jednotného přihlašování, přejděte do části Test připojení jednotného přihlašování a klikněte na Test jednotného přihlašování. Pokud místo toho začínáte na domovské stránce Canvy:

1. Na domovské stránce vyberte profil účtu a otevřete nabídku.
2. Vyberte
   nastavení.
3. V postranní nabídce klikněte na kartu
   SSO and provisioning.
4. V části Jednotné přihlášení (SSO) > Spravovat > Testovat SSO.

To vám umožní rychle zkontrolovat, zda vše funguje bez odhlášení.

1. Před odhlášením přejděte na kartu
   SSO a poskytování.
2. Klikněte na Jednotné přihlášení (SSO) > Spravovat > Konfigurovat nastavení jednotného přihlášení.
3. Nastavte možnost přihlášení na Volitelné pro všechny.
4. Odhlaste se od svého účtu Canva.
5. Na přihlašovací stránce klikněte na možnost Pokračovat s e-mailem a pak vyberte možnost Přihlásit se pomocí jednotného přihlašování.

Proveďte zkoušku pomocí účtu studenta a účtu vyučujícího. Jednotné přihlašování jste úspěšně nakonfigurovali, pokud platí následující:

• Přihlásili jste se jako učitel a můžete vidět stránku Lidé.
• Přihlásili jste se jako student a stránku Lidé nevidíte.

Vyberte, jak se mají lidé přihlašovat. Doporučujeme vyžadovat jednotné přihlašování pro všechny uživatele domény.

1. Na domovské stránce vyberte profil účtu a otevřete nabídku.
2. Vyberte nastavení.
3. Klikněte na Jednotné přihlášení (SSO) > Spravovat > Konfigurovat nastavení jednotného přihlášení.
4. Vyberte Povinné pro všechny (záznamy domény).
5. Klikněte na možnost Uložit změny.