Nastavte jednotné přihlašování a zřizování pro Canvu pro kampusy

Canva pro kampusy je řešení od Canvy pro vyšší vzdělávání pro nasazení v rámci celého kampusu. Zřizování a ověřování uživatelů jsou spravována centrálně vaším IT týmem prostřednictvím jedné Canvy organizace.

Tento průvodce se týká:

• Konfigurace jednotného přihlašování
• Zřizování uživatelů
• Integrace systému LMS a řešení problémů pro IT správce

V levém dolním rohu Canvy vyberte své iniciály.

• Ujistěte se, že jste členy týmu Kampus (nikoli osobní účet nebo účet Pro).
• Přejděte do
  Nastavení.
• V levé nabídce vyberte možnost Nastavení organizace apotom možnost Jednotné přihlašování a zřizování.

• Pokud tuto možnost nevidíte, obraťte se na kontaktní osobu pro Canvu.

Pak vyberte možnost Začít a potvrďte oprávnění a přístup k nástrojům pro nastavení. Vyberte možnost Přejít k nastavení jednotného přihlašování .

1. Pod položkou Ověřte domény, které chcete používat s Jednotným přihlašováním, vyberte Přidat doménu.
2. Zadejte své domény, poté vyberte Odeslat.
3. Zkopírujte zobrazený token záznamu TXT.
4. U svého poskytovatele domény (např. GoDaddy, Namecheap):
   • Přejděte na nastavení DNS.
   • Přidejte záznam TXT s tokenem.
   • Uložte změny.
5. Ověření trvá 24 až 72 hodin. Po ověření domény obdržíte e-mail.
   • Pro kontrolu stavu použijte mxtoolbox.com.

Níže vyberte svého poskytovatele identity, chcete-li získat průvodce přidáním Canvy. Máme průvodce pro následující IdP, ale pokud váš poskytovatel identity podporuje SAML 2.0, můžete ho používat.

• Konfigurace SAML pro Azure AD / Entra ID (pro podniky)
• Konfigurace ADFS SAML
• Konfigurace SAML pro systém Okta
• Konfigurace SAML G Suite (Google).
• Konfigurace SAML zabezpečení Duo
• Konfigurace OneLogin SAML
• Konfigurace SAML Salesforce

Pokud váš není uveden výše, použijte:

• Adresa URL ACS / URL pro odpověď: https://www.canva.com/login/saml
• ID/identifikátor subjektu: https://www.canva.com
• Atributy SAML: JménoID, E-mail, Jméno, Příjmení, TeamId (vyžadováno pro nastavení kampusu se studenty)*
• Text metadat (je-li vyžadován)

Ujistěte se, že kontrolní výraz SAML obsahuje podpis. Zkontrolujte svá nastavení.

• Účel: Rozlišuje a přiřazuje správnou licenci studentům vs. zaměstnancům.
• Požadavek: Alespoň dvě jedinečné hodnoty (např. studenti, zaměstnanci).
• Lze je namapovat z existujících skupin nebo atributů Poskytovatel identity.
• Díky Shibboleth Canva podporuje schéma eduPersonAffiliation pro TeamId (chcete-li tuto možnost povolit, obraťte se na podporu Canvy nebo zástupce účtu).

V Canvě:

Přejděte do

Nastavení TeamId je důležité pro udělení prémiových licencí správným skupinám uživatelů (zejména pro správu studentských licencí).

V případě institucí, které používají Entra ID (Microsoft 365), přejděte do aplikace Canva Enterprise. Vyberte možnost Jednotné přihlašování, poté Atributy a tvrzení a potom možnost Upravit, chcete-li nakonfigurovat deklaraci TeamId.

Jako název nároku akceptujeme „TeamId“ i „TeamID“. Pro většinu nasazení kampusu je varianta 1 (tvrzení skupiny) doporučeným postupem. Možnost 2 je dobrou alternativou, pokud už ve vašem adresáři existuje vhodný uživatelský atribut.

Vytvořte samostatnou skupinu zabezpečení Entra pro každý tým Canva. Zobrazované jméno skupiny se odesílá jako hodnota TeamId a Canva podle toho uživatele směruje. Jedná se o nejčistší a nejudržovatelnější přístup.

1. V části Atributy a deklarace vyberte Přidat deklaraci skupiny.
2. Pojmenujte deklaraci TeamId.
3. Nakonfigurujte odesílání zobrazovaných jmen skupin.

Důležité: Skupiny zahrnuté v tomto nároku se musí přesně shodovat s hodnotami Canva TeamId a žádné další skupiny by neměly být odeslány v rámci stejného nároku.

Dobrá volba, pokud váš adresář už obsahuje atribut, který spolehlivě odliší zaměstnance od studentů (např. zaměstnanecType, oddělení nebo rozšíření).

1. V části Atributy a deklarace vyberte Přidat novou deklaraci.
2. Pojmenujte deklaraci TeamId.
3. Nastavte Zdroj na Atribut a vyberte relevantní atribut adresáře.
4. Ujistěte se, že se hodnoty atributu shodují s hodnotami TeamId, které jste nastavili v Canvě pro každý tým.

Poznámka: I když tento přístup může fungovat, podmínky tvrzení Entra ID mají známá omezení a zvláštnosti (např. podmíněné řazení, okrajové případy s překrývajícími se členstvími ve skupině). Možnosti 1 a 2 jsou obecně spolehlivější pro nasazení pro kampusy.

Pokud budete pokračovat, ručně zadejte, která hodnota TeamId se má odeslat na základě členství ve skupině Entra.

1. V části Atributy a deklarace vyberte Přidat novou deklaraci.
2. Pojmenujte deklaraci TeamId.
3. Vyberte Podmínky deklarace.
4. Pro každou skupinu (zaměstnanci, studenti) nastavte Typ uživatele na Členy, vyberte relevantní skupiny Entra a zadejte odpovídající hodnotu TeamId (např. "staff" nebo "students").
5. Uložte deklaraci.

Použijte, pokud mají vaši zaměstnanci a studenti různé e-mailové domény (např. @staff.university.edu vs. @student.university.edu). Tím se extrahuje e-mailová doména a použije se jako hodnota TeamId.

1. V části Atributy a deklarace identity vyberte Přidat novou deklaraci identity.
2. Pojmenujte deklaraci identity TeamId.
3. Nastavte zdroj na Transformaci.
4. Použijte transformaci Extrahovat s volbou Po shodě na @ a jako zdroj použijte user.userPrincipalName nebo user.mail.

Ujistěte se, že se hodnoty TeamId nastavené v Canvě shodují s extrahovanými řetězci domény.

V případě institucí, které používají systém Okta, je TeamId nakonfigurováno jako atribut SAML. Než budete pokračovat, ujistěte se, že je aplikace Canva Okta nastavena, že jsou aplikace Canva přiřazeny skupiny Okta a v Canvě jsou nakonfigurována nastavení SAML. Úplné pokyny k nastavení najdete v průvodci konfigurací Okta SAML v centru nápovědy Canvy.

Vytvořte skupiny Okta, jejichž zobrazované názvy budou odpovídat vašim hodnotám TeamId v Canvě (např. skupina s názvem „campus-staff“ mapovaná na TeamId „campus-staff“). Okta filtruje a odešle odpovídající název skupiny jako hodnotu TeamId při přihlášení.

1. V Okta přejděte na Adresář, poté vyberte Skupiny a vytvořte skupiny pomocí konzistentní konvence pojmenování (např. všechny skupiny Kampus začínají na "campus-").
2. Přejděte na Aplikace, poté vyberte Canva. Přejděte na Obecné, poté Nastavení SAML a vyberte Upravit. Vyberte Další, dokud nedosáhnete obrazovky Konfigurovat SAML.
3. V části Prohlášení o atributech skupiny přidejte:
   1. Název: TeamId
   2. Filtr: Začíná na, poté zadejte předponu své konvence pojmenování (např. "campus-")
4. Uložit. Okta odešle odpovídající název skupiny jako hodnotu TeamId.

Tuto možnost použijte, pokud nemůžete použít konvence pojmenování nebo potřebujete namapovat konkrétní skupiny podle jejich Okta ID.

1. U každé skupiny ji otevřete v Okta a zaznamenejte ID skupiny z URL (alfanumerický řetězec za posledním /).
2. Přejděte na Žádosti, poté vyberte Canva. Přejděte na Obecné, poté vyberte nastavení SAML a vyberte upravit. Vyberte Další.
3. Pod Prohlášení o atributech (nikoli Prohlášení o skupinových atributech) přidejte:
   1. Název: TeamId
   2. Hodnota: Arrays.toCsvString(getFilteredGroups({"",""},"group.name",50))
   3. Nahraďte <group_id_1> a <group_id_2> ID skupinami z kroku 1.

4. Vyberte Další a poté Dokončit.

Google Workspace nepodporuje podmíněné skupinové deklarace SAML jako Entra ID, ale existují dva přímé způsoby, jak vyplnit TeamId pro nasazení v kampusu.

Možnost 1: Použijte existující (nebo vlastní) atribut adresáře

Nejlepší je, pokud už sledujete hodnotu, která zaměstnance odlišuje od studentů, nebo jste ochotni nějakou přidat.

1. Ve správci Google přejděte na profil uživatele a najděte (nebo přidejte) vlastní atribut, například pole Nákladové centrum v rámci vlastního schématu „Informace o zaměstnanci“ (vedle polí jako ID zaměstnance, funkce pracovní pozice, oddělení, ID budovy atd. ).
2. Vyplňte toto pole hodnotou, která identifikuje skupinu uživatele, např. nastavte nákladové středisko na student pro studentské účty a zaměstnanec pro účty zaměstnanců. Jakýkoli existující atribut, který odlišuje tyto dva základní soubory, funguje stejně dobře; Pole nákladové centrum je praktické jen pro případ, že už nic jiného nesedí.
3. Ve správci Google přejděte na Aplikace > Web a mobilní aplikace > Canva > Mapování atributů.
4. V oddílu Atributy vyberte možnost Přidat mapování, vyberte pole adresáře (např. Detaily zaměstnance > Nákladové středisko) vlevo a vpravo zadejte TeamId jako atribut aplikace.
5. Uložte. Google teď bude odesílat hodnotu tohoto pole jako atribut TeamId u každého tvrzení SAML.

Možnost 2: Použijte Skupiny Google

Nejlepší je, pokud chcete raději spravovat podle členství než pole podle uživatele.

1. V Google Správce vytvořte dvě skupiny: jednu pro zaměstnance (např. „Zaměstnanci“) a druhou pro studenty (např. „Studenti“) a do každé přidejte relevantní uživatele.
2. Ve stejné aplikaci Canva SAML (Aplikace > Web a mobilní aplikace > Canva > Mapování atributů) přejděte na Členství ve skupině (nepovinné).
3. Přidejte obě skupiny a nastavte atribut Aplikace na TeamId.
4. Uložte. Google pošle odpovídající název skupiny jako hodnotu TeamId pro každého uživatele.

Tak či onak: hodnoty, které budete odesílat (např. „student“/“employee“ nebo názvy vaší skupiny) se musí přesně shodovat s hodnotami TeamId nakonfigurovanými pro příslušné týmy v Canvě v nastavení organizace > Týmy.

Vyzvedněte si od svého Poskytovatel identity:

• Koncový bod SAML 2.0 (HTTP) (SSO URL)
• Emitent poskytovatele identity (ID subjektu)
• Veřejný certifikát (x.509, zakódováno Base64)

Zadejte je na stránce nastavení Canva Jednotné přihlašování.

1. V Canvě přejděte na Nastavení účtu. Poté vyberte Jednotné přihlašování & zřizování.
2. Pod Vyberte, kdo musí používat Jednotné přihlašování, vyberte Jednotné přihlašování volitelné pro všechny.
3. Odhlaste se a poté na přihlašovací stránce vyberte Pokračovat s jednotným přihlašováním (Jednotné přihlašování).
4. Otestujte s:
   • Studentským účtem
   • Zaměstnaneckým účtem (pokud jsou oba nakonfigurovány)

Můžete také použít tlačítko Otestovat jednotné přihlašování na stránce nastavení.

Možnosti:

• Jen pro členy vašeho týmu (doporučeno pro většinu kampusů)
  • Umožňuje absolventům / ostatním uživatelům mimo váš tým nadále používat Canvu.
• Povinné pro všechny (záznamy domény)
  • Nejčistší prostředí přihlašování Všichni uživatelé ve vaší ověřené doméně se musí přihlašovat pomocí jednotného přihlašování. Doporučeno pro zavedení v celém kampusu.

Další podrobnosti najdete v části Nastavení ovládacích prvků přihlašování a registrace pro jednotné přihlašování .

Je-li povoleno jednotné přihlašování (nepovinné nebo povinné), musí se uživatelé přihlásit pomocí jednotného přihlašování, aby se mohli připojit k týmům kampusu.

Požádejte podporu Canvy nebo svého zástupce pro Canvu o vlastní odkaz pro přihlášení pro jednotné přihlašování.

Mnoho zaměstnanců a pedagogů už může mít osobní účet Canva propojený s pracovní e-mail. Když je povoleno Jednotné přihlašování, zobrazí se těmto uživatelům při prvním přihlášení k Jednotné přihlašování jednorázová zadání k odkaz stávajícího účtu.

• Uživatelé musí dokončit propojení účtů, než mohou být plně spravováni prostřednictvím SCIM nebo zásad zřizování. Doporučujeme upozornit personál před zveřejněním, aby věděli, že toto zadání mají očekávat.
• Pokud má uživatel osobní i pracovní e-mailový účet Canva, bude vyzván k výběru toho, který účet propojit. Návrhy z odpojených účtů se neztratí; lze je zkopírovat ručně, ale účty sloučit nelze.
• Uživatelé, kteří budou odkazy přeskočit, nebo během kterých dojde k chybě, se k němu mohou vrátit později v Nastavení. Vyberte možnost Přihlášení a zabezpečení a potom možnost Propojit účet SSO.

Zřizování uživatelů řídí, jak jsou zaměstnanci a studenti přidáni do příslušných Canva Teams a jak je při jejich odchodu odebírán. Podporovány jsou tři možnosti. Než bude možné aktivovat jakoukoli metodu zřizování, musí být Jednotné přihlašování plně nakonfigurováno.

Jak to funguje: Váš IdP posílá skupiny uživatelů do Canvy prostřednictvím rozhraní SCIM API. Modul zásad zřizování v Canvě načítá tato členství ve skupinách a automaticky zařazuje uživatele do správného týmu (zaměstnanci nebo studenti) a do jakýchkoli relevantních podskupin. Když je uživatel odstraněn ze skupiny ve vašem IdP, je jeho přístup automaticky zrušen v Canvě.

Podporovaní IdP: Microsoft Entra ID, Okta, PingFederate, PingOne.

Poznámka: Google Workspace nepodporuje nabízení skupiny SCIM – použijte místo toho možnost 2 nebo 3.

Zásady zřizování SCIM jsou funkce, na které se můžete přihlásit a kterou musí Canva povolit. Chcete-li požádat o přístup, obraťte se na podporu

1. Povolte SCIM v Canvě: Přejděte do nastavení. Vyberte Jednotné přihlašování & zřizování, poté vyberte Nakonfigurovat zřizování. Zapněte Povolit zřizování SCIM a zkopírujte token SCIM API.

Všimněte si koncového bodu SCIM: https://www.canva.com/_scim/v2. Než budete pokračovat, kontaktujte zástupce společnosti Canva, aby pro vaši organizaci povolil zásady zřizování SCIM.

2. Nakonfigurujte SCIM ve vašem Poskytovateli identity: Zadejte koncový bod SCIM a API token v nastavení zřizování vašeho Poskytovatele identity. Viz vodítka specifická pro Poskytovatele identity pro Entra ID a Okta na Centru nápovědy Canva.

3. Odesílejte skupiny z vašeho Poskytovatele identity: Přiřaďte skupiny, které chcete synchronizovat do Canvy (např. canva-staff, canva-studenti).

4. Vytvořit zásady zřizování v Canvě: Přejděte do nastavení. Vyberte Zabezpečení a poté vyberte Zásady zřizování. Vyberte Vytvořit zásadu. Pojmenujte ji, vyberte skupinu Poskytovatel identity jako podmínku, vyberte cílový tým Canva a zvolte chování synchronizace skupin (vytvoření nové skupiny nebo synchronizace s existující skupinou Canva – názvy se musí přesně shodovat). Minimálně vytvořte dvě zásady: jednu mapující vaši skupinu zaměstnanců k týmu zaměstnanců a jednu mapující vaši skupinu studentů k týmu studentů.

Klíčové chování:

• Zrušení přístupu: Když je uživatel odstraněn ze skupiny Poskytovatel identity, je automaticky odstraněn ze svého týmu Canva a jeho účet se zablokuje.
• Obnovení přístupu: Pokud uživatele znovu přidáte do Poskytovatel identity, SCIM ho automaticky znovu zřídí.
• Smazání zásady odstraní všechna členství v týmu/skupině Canva, na kterou se vztahují dané zásady. Používejte ji opatrně.
• Skupiny vytvořené na základě zásad zřizování jsou uzamčeny. Členy Canvy nelze přidat ani odebrat ručně. Poskytovatel identity je zdrojem pravdy.
• Existující uživatelé Canvy musí dokončit propojení účtu Jednotné přihlašování, než je bude moct SCIM plně spravovat. Před aktivací SCIM požádejte tyto uživatele, aby se přihlásili prostřednictvím Jednotné přihlašování.
• SCIM neodesílá uvítací e-maily, když jsou studenti zařazeni do studentského týmu.
• Zásady zřizování řídí pouze přiřazení týmu a skupin, nikoli role. Přiřazení rolí je třeba zpracovat prostřednictvím mapování rolí SAML nebo nastavit ručně.

Jak to funguje: Instituce předem zašle Canvě seznam uživatelů ke zřizování. Canva tyto uživatele nahraje do správných týmů.

Ideální pro: instituce, jejichž Poskytovatel identity (např. Google Workspace) nepodporuje vkládání skupin SCIM, nebo pro počáteční seskupení týmů na začátku pololetí.

Jak požádat o nahrát CSV:

1. Připravte tabulku s následujícími sloupci: e-mailová adresa, týmové zadání úkolu.
2. Soubor zašlete svému zástupci společnosti Canva nebo se obraťte na Podporu Canva.
3. Canva zpracuje nahrání a potvrdí dokončení.
4. První přihlášení uživatelů musí proběhnout přes Jednotné přihlašování.

Poznámka: Nahrávání souboru CSV není automatické. V případě přechodů v rámci semestru nebo personálních změn je třeba našemu týmu podpory odeslat nový soubor CSV. Dříve existující uživatelé Canvy zahrnutí v souboru CSV budou vyzváni k propojení stávajícího účtu při prvním přihlášení k Jednotné přihlašování.

Jak to funguje: Nejsou přednačtení žádní uživatelé. Když se uživatel ověřuje prostřednictvím jednotného přihlašování poprvé, Canva načte jeho atributy SAML, konkrétně TeamId a volitelně roli, a automaticky ho přidá do správného týmu. Každé další přihlášení synchronizuje členství v týmu.

Důležité: Pokud je vaším primárním způsobem zřizování JIT, Canva důrazně doporučuje povolit jako ovládací prvek přihlašování pro jednotné přihlašování záznam domény (povinné pro všechny). Bez záznamu domény mohou uživatelé ve vaší doméně jednotné přihlašování obejít, což znamená, že JIT se nemusí dostat ke všem uživatelům a zrušením přístupu je třeba provést manuálně.

Jak funguje JIT:

1. Uživatel přejde na Canva a ověří se přes vašeho Poskytovatele identity.
2. Canva přečte hodnotu TeamId v tvrzení SAML.
3. Uživatel je automaticky přidán do Canva Teams, jehož TeamId se shoduje.
4. Pokud je přítomen atribut role, uživateli je přiřazena odpovídající role (návrhář pro zaměstnance, člen pro studenty).
5. Při následných přihlášeních Canva znovu ověří členství v týmu proti tvrzení SAML.

• Bez předběžného zřizování: Uživatelé se v Canvě objeví až po prvním přihlášení jednotného přihlašování. Hromadná komunikace ani sdílení šablon nemůže cílit na uživatele, kteří se ještě nepřihlásili.
• Žádné automatické rušení: odstranění uživatele od vašeho IdP ho neodstraní z Canvy. Zrušení je třeba provést ručně nebo prostřednictvím samostatného nastavení SCIM.
• JIT nezakazujte, dokud není SCIM plně funkční a nakonfigurován pro zpracování veškerého zřizování.

Canva pro kampusy podporuje LTI (interoperabilita výukových nástrojů), což vyučujícím umožňuje vkládat zadání úkolů z Canvy do vašeho systému LMS a studenti zase odesílané návrhy z Canvy jako práci kurzu.

Před nastavením LTI musí být plně nakonfigurováno jednotné přihlašování. Pokyny k nastavení pro konkrétní platformu najdete v příručkách k integraci systému LMS.

E-mailová doména uživatele není ověřena ve vašem nastavení Jednotné přihlašování u Canva nebo uživatel nepropojil svůj stávající účet Canva s Jednotné přihlašování.

Ověřte, zda e-mailová doména uživatele odpovídá ověřené doméně ve vašem nastavení jednotného přihlašování Canva. Pokud má uživatel již existující účet Canva, může být nutné dokončit propojení účtu; nasměrujte ho, aby přešel do nastavení, poté na Přihlášení a zabezpečení a vybral Propojit účet jednotného přihlašování.

Pro pokyny specifické pro chyby viz Odstraňování potíží s Jednotné přihlašovánív Centru nápovědy Canva.

Hodnota TeamId odesílaná vaším poskytovatelem identity se přesně neshoduje s hodnotou TeamId nakonfigurovanou v Canvě. V hodnotách TeamId se rozlišují velká a malá písmena.

Zkontrolujte, zda se hodnota TeamId odeslaná vaším poskytovatelem identity shoduje s hodnotou TeamId nastavenou v Canvě (přejděte do

Zásady zřizování nemusí být pro vaši organizaci nastaveny nebo povoleny, token SCIM API už není platný nebo existující uživatelé Canvy možná nedokončili své první přihlášení jednotného přihlašování.

• Zkontrolujte, zda jsou zásady zřizování nastaveny tak, aby mapovaly skupiny vašeho Poskytovatel identity do správných týmy Canva.
• Ověřte, zda vám zástupce společnosti Canva pro vaši organizaci povolil zásady zřizování.
• Zkontrolujte, zda je token rozhraní SCIM API ve vašem Poskytovatel identity aktuální, zejména pokud byla služba SCIM nedávno přepnuta.
• Pokud mají dotčení uživatelé již existující účty Canva, požádejte je, aby se jednou přihlásili pomocí jednotného přihlašování (SSO) a poté synchronizaci zopakovali.

Přístupnost uživatele nebyla znovu změněna prostřednictvím vašeho poskytovatele identity nebo nebyla dokončena synchronizace SCIM.

Znovu přidejte uživatele do svého Poskytovatele identity a povolte synchronizaci SCIM. Pokud problém přetrvává, kontaktujte Podporu Canva.

Student nebyl přidán do studentského týmu instituce nebo se místo Jednotného přihlašování přihlašuje pomocí osobní účet Canva.

Potvrďte, že studentský tým byl zřízen společností Canva a že se studenti přihlašují pomocí Jednotné přihlašování. Studenti musí být členy studentského týmu instituce, aby získali přístup k prémiovým funkcím – přihlášení pomocí osobního účtu přístup neposkytne.

Mohou zaměstnanci a studenti vzájemně sdílet obsah?

Zaměstnanci a student patří do samostatných Canva Teams a nemohou obsah sdílet přímo. Mezi student a zaměstnanci (vyučujícím) ale lze použít odkaz pro spolupráci. Vyučující mohou také sdílet šablona Canva a zadání úkolu se student prostřednictvím vaší integrace systému LMS.

Mohou si absolventi zachovat přístup ke Canvě i po dokončení studia?

Je-li Jednotné přihlašování nastavené na možnost Jen pro členy vašeho týmu, uživatelé odstranění z vašich Canva Teams ztratí přístup k funkcím Kampus, ale zůstanou jim jakýkoli účet Canva. V rámci služby Povinné pro všechny (Záznamy domény) je přístup svázán s Poskytovatel identity. uživatelé, jejichž přístup k Poskytovatel identity byl odvolán, přijdou o přístup ke Canva v doména své instituce.

Studenti, kteří si chtějí své návrhy ponechat, by měli jejich obsah zkopírovat nebo převést, než dokončí studium nebo opustí instituci. Podrobné pokyny najdete v části Kopírování návrhů před postoupením .