Konfigurer SSO og provisionering til Canva Campus

Canva for Campus er Canvas løsning til videregående uddannelser til implementering på hele campus. Brugerprovisionering og -godkendelse administreres begge centralt af dit it-team via én enkelt Canva-organisation.

Denne vejledning beskriver:

• SSO-konfiguration
• Brugerprovisionering
• LMS-integration og fejlfinding for it-administratorer.

Vælg dine initialer i nederste venstre hjørne af Canva.

• Sørg for, at du er en del af dit Campus-team (ikke en personlig konto eller en Pro-konto).
• Gå til
  Indstillinger.
• Vælg Organisationsindstillingeri menuen til venstre, og vælg derefter SSO og provisionering.

• Hvis du ikke kan se denne mulighed, skal du kontakte din Canva-kontakt.

Vælg derefter Kom i gang , og bekræft tilladelser og adgang til opsætningsværktøjerne. Vælg Send mig til SSO-konfiguration for at fortsætte.

1. Under Bekræft de domæner, du vil bruge SSO med, vælg Tilføj et domæne.
2. Deltag dit/dine domæne(r), vælg derefter Send.
3. Kopiér det viste TXT-post token.
4. I din domænehost (f.eks. GoDaddy, Namecheap):
   • Gå til DNS-indstillinger.
   • Tilføj en TXT-post med tokenet.
   • Gem ændringer.
5. Bekræftelse tager 24 til 72 timer. Du modtager en e-mail, når dit domæne er bekræftet.
   • For at kontrollere status, brug mxtoolbox.com.

Vælg din identitetsudbyder nedenfor for at få en hjælpelinje til, hvordan du tilføjer Canva. Vi har hjælpelinjer til følgende IdP'er, men så længe din identitetsudbyder understøtter SAML 2.0, kan du bruge den.

• SAML-konfiguration for Azure AD/Entra ID (for virksomheder)
• ADFS SAML-konfiguration
• Okta SAML-konfiguration
• SAML-konfiguration for G Suite (Google).
• Duo Security SAML-konfiguration
• OneLogin SAML-konfiguration
• Salesforce SAML-konfiguration

Hvis dit design ikke er angivet ovenfor, skal du bruge:

• ACS URL/Svar-URL: https://www.canva.com/login/saml
• Enheds-id/identifikator: https://www.canva.com
• SAML-attributter: NameID, E-mail, FirstName, LastName, TeamId (påkrævet til Campus-konfiguration med elever)*
• Metadatatekst (hvis påkrævet)

Sørg for, at dit SAML-udsagn indeholder en signatur. Kontrollér dine indstillinger for at bekræfte.

• Formål: Identificerer og tildeler den rigtige licens til elev i forhold til medarbejdere.
• Krav: Mindst to unikke værdier (f.eks. studerende, medarbejdere).
• Kan tilknyttes fra eksisterende Identitetsudbydergrupper eller -attributter.
• Med Shibboleth understøtter Canva skemaet eduPersonAffiliation til TeamId (kontakt Canvas Support/kontorepræsentant for at aktivere).

I Canva:

Gå til

Opsætning af TeamId er afgørende for at kunne tildele premiumlicenser til de korrekte brugergrupper (især til administration af licenser til elever).

Hvis du er institution, der bruger Entra-id (Microsoft 365), skal du gå til din Canva Enterprise-ansøgning. Vælg Single sign-on, derefter Attributter og krav og derefter Rediger for at konfigurere TeamId-kravet.

Både "TeamId" og "TeamID" accepteres som kravnavn. Til de fleste implementeringer på campus er mulighed 1 (gruppekrav) den bedste fremgangsmåde. Mulighed 2 er et godt alternativ, hvis der allerede findes en egnet brugerattribut i dit bibliotek.

Opret en dedikeret Entra-sikkerhedsgruppe for hvert Canva-team. Det viste navn for gruppen sendes som TeamId-værdi, og Canva dirigerer brugerne i overensstemmelse hermed. Dette er den reneste og mest vedligeholdende tilgang.

1. Under Attributter og krav, vælg Tilføj et gruppekrav.
2. Navngiv kravet TeamId.
3. Konfigurer til at sende gruppens viste navne.

Vigtigt: De grupper, der er inkluderet i dette krav, skal matche nøjagtigt dine Canva TeamId-værdier, og der må ikke sendes andre grupper som en del af det samme krav.

En god mulighed, hvis dit bibliotek allerede har en attribut, der pålideligt adskiller medarbejdere fra studerende (f.eks. EmployeeType, afdeling eller en udvidelsesattribut).

1. Under Attributter & Claims, vælg Tilføj nyt claim.
2. Navngiv claimet TeamId.
3. Sæt Kilde til Attribut, og vælg den relevante mappeattribut.
4. Sørg for, at attributværdierne matcher de TeamId-værdier, du har angivet i Canva for hvert team.

Bemærk: Selvom denne tilgang kan fungere, har betingelserne for Entra ID-krav kendte begrænsninger og særheder (f.eks. tilstandsrækkefølgeadfærd, kantensager med overlappende gruppemedlemskaber). Mulighed 1 og 2 er generelt mere pålidelige til Campus-implementeringer.

Hvis du fortsætter, skal du manuelt angive, hvilken TeamId-værdi der skal sendes, baseret på Entra-gruppemedlemskab.

1. Under Attributter og krav skal du vælge Tilføj nyt krav.
2. Navngiv kravet TeamId.
3. Vælg Kravbetingelser.
4. For hver gruppe (personale, elev) skal du indstille Brugertype til Medlem, vælge de relevante Entra-grupper og deltage den tilsvarende TeamId-værdi (f.eks. "staff" eller "elev").
5. Gem kravet.

Brug den, hvis dine medarbejdere og studerende har forskellige e-maildomæner (f.eks. @medarbejder.university.edu vs. @elev.university.edu). Dette udtrækker e-maildomænet og bruger det som TeamId-værdi.

1. Under Attributter & Claims, vælg Tilføj nyt claim.
2. Navngiv claimet TeamId.
3. Angiv Kilde til Transformation.
4. Aktivering af Udtræk-transformationen med Efter matching på @, ved brug af user.userPrincipalName eller user.mail som kilde.

Sørg for, at de TeamId-værdier, der er angivet i Canva, matcher de udtrukne domænestrenge.

For institutioner, der bruger Okta, er TeamId konfigureret som en SAML-attribut. Inden du fortsætter, skal du sørge for, at Canva Okta-appen er konfigureret, at Okta-grupper er knyttet til Canva-appen, og at SAML-indstillingerne er konfigureret i Canva. Du kan finde komplet vejledning til konfigurationen i Okta SAML-konfigurationsvejledningen i Hjælp til Canva.

Opret Okta-grupper, hvis viste navne matcher dine Canva TeamId-værdier (f.eks. er en gruppe med navnet "campus-staff" knyttet til TeamId "campus-staff"). Okta filtre og sender det matchende gruppenavn som TeamId-værdi ved login.

1. I Okta skal du gå til Directory, vælg derefter Groups og oprette grupper ved hjælp af en konsekvent navngivningskonvention (f.eks. starter alle Campus-grupper med "campus-").
2. Gå til Applikationer, vælg derefter Canva. Gå til Generelt, derefter SAML-indstillinger, og vælg rediger. Vælg Næste, indtil du når skærmen Konfigurer SAML.
3. Under Group Attribute Statements, tilføj:
   1. Navn: TeamId
   2. Filter: Starter med, og derefter indtast din navngivningskonventionspræfiks (f.eks. "campus-")
4. Gem. Okta sender det matchende gruppenavn som TeamId-værdien.

Brug denne indstilling, hvis du ikke kan bruge en navngivningsskik eller har brug for at tilknytte specifikke grupper efter deres Okta-id.

1. For hver gruppe skal du åbne den i Okta og notere gruppe-id'et fra URL'en (den alfanumeriske streng efter det sidste /).
2. Naviger til ansøgning, og vælg derefter Canva. Gå til Generelt, vælg derefter SAML-indstillinger, og vælg redigere. Vælg Næste.
3. Under Attributerklæringer (ikke Gruppe-attributerklæringer) tilføjes:
   1. Navn: TeamId
   2. Værdi: Arrays.toCsvString(getFilteredGroups({"",""},"group.name",50))
   3. Erstat <group_id_1> og <group_id_2> med gruppe-id'erne fra Trin 1.

4. Vælg Næste, derefter overflade.

Google Workspace understøtter ikke betingede gruppebaserede SAML-krav på samme måde, som Entra ID gør, men der er to enkle måder at udfylde TeamId til din Campus-implementering på.

Mulighed 1: Brug en eksisterende (eller tilpasset) mappeattribut

Bedst, hvis du allerede sporer en værdi, der adskiller medarbejdere fra elever, eller er villige til at tilføje en.

1. I Google Admin skal du gå til en brugers profil og finde (eller tilføj) en tilpasset attribut, f.eks. et Priscenter-felt under et tilpasset skema "Medarbejderoplysninger" (sammen med felter som Medarbejder-id, Jobtitel, Afdeling, Bygnings-id osv. ).
2. Udfyld dette felt med en værdi, der identificerer brugerens gruppe. Du kan f.eks. angive Priscenter til elev for elevkonti og medarbejder for medarbejderkonti. Alle eksisterende attributter, der allerede adskiller de to populationer, fungerer lige så godt. Priscenter er et praktisk felt, hvis intet andet passer.
3. I Google Admin skal du gå til Apps > Web- og mobilapps > Canva > Attributtilknytning.
4. Vælg Tilføj tilknytning under Attributter, vælg biblioteksfeltet (f.eks. medarbejderoplysninger > Omkostningscenter) til venstre og angiv TeamId som app-attribut til højre.
5. Gem. Google sender nu værdien for dette felt som TeamId-attributten for alle SAML-udsagn.

Mulighed 2: Brug Google Grupper

Bedst, hvis du hellere vil administrere dette via medlemskab end et felt pr. bruger.

1. I Google Admin skal du oprette to grupper: Én for medarbejdere (f.eks. "Medarbejdere") og én for studerende (f.eks. "Elever"). Tilføj de relevante brugere til hver gruppe.
2. I den samme Canva SAML-app (Apps > Web- og mobilapps > Canva > Attributtilknytning) skal du rulle til Gruppemedlemskab (valgfrit).
3. Tilføj begge grupper, og indstil app-attributten til TeamId.
4. Gem. Google sender det matchende gruppenavn som TeamId-værdi for hver bruger.

Uanset hvad: De værdier, du sender (f.eks. “elev”/”medarbejder” eller dine gruppenavne), skal matche nøjagtigt de TeamId-værdier, der er konfigureret for de tilsvarende teams under Canvas Organisationsindstillinger > Teams.

Indsaml disse fra din Identitetsudbyder:

• SAML 2.0-slutpunkt (HTTP) (SSO-webadresse)
• Udsteder af identitetsudbyder (enheds-id)
• Offentligt certifikat (x.509, Base64-kodet)

Indtast disse på siden med indstillinger for Canva SSO.

1. I Canva, gå til Kontoindstillinger. Vælg derefter SSO & provisionering.
2. Under Vælg, hvem der skal bruge SSO, vælg SSO valgfrit for alle.
3. Log ud, og vælg derefter Fortsæt med single sign-on (SSO) på loginside.
4. Test med:
   • En elevkonto
   • En medarbejderkonto (hvis begge er konfigureret)

Du kan også bruge knappen Test SSO på siden med indstillinger.

Valgmuligheder:

• Kun for medlemmer på dit team (anbefales til de fleste campusser)
  • Giver alumner/andre brugere uden for dit team mulighed for at fortsætte med at bruge Canva.
• Obligatorisk for alle (domænefastholdelse)
  • Den reneste loginoplevelse alle brugere på dit verificerede domæne skal logge på via SSO. Anbefalet til fuld udrulning på campus.

Se Konfiguration af SSO-login og tilmeldingskontroller for at få flere oplysninger.

Når SSO er aktiveret (valgfrit eller påkrævet), skal brugere logge på med SSO for at blive en del af Campus-teams.

Bed Canva Support eller din Canva-repræsentant om et tilpasset SSO-loginlink.

Mange medarbejdere og mange lærere har muligvis allerede en personlig Canva-konto knyttet til deres arbejdsmail-adresse. Når SSO er aktiveret, vil disse brugere se en éngangsprompt om at tilknytte deres eksisterende konto ved deres første SSO-login.

• Brugere skal gennemføre tilknytningen af konti, før de kan administreres fuldt ud via SCIM eller provisioneringspolitikker. Vi anbefaler, at du giver medarbejderne besked, inden de går live, så de ved, at de kan forvente denne prompt.
• Hvis en bruger har både en personlig Canva-konto og en Canva-arbejdsmail-konto, vil vedkommende blive bedt om at vælge, hvilken der skal tilknyttes. Design fra ikke-tilknyttede konti går ikke tabt. de kan kopieres manuelt, men konti kan ikke flettes.
• Brugere, der springer over eller oplever en fejl under tilknytningen, kan vende tilbage til den senere via Indstillinger. Vælg Login og sikkerhed, og vælg derefter Tilknyt din SSO-konto.

Brugerprovisionering styrer, hvordan medarbejdere og elever føjes til deres respektive Canva-teams og fjernes, når de forlader teamet. Der understøttes tre muligheder. SSO skal være fuldt konfigureret, før nogen provisioneringsmetoder aktiveres.

Sådan fungerer det: Din Identitetsudbyder sender brugergrupper til Canva via SCIM API'en. Canvas provisioneringspolitik læser disse gruppemedlemskaber og placerer automatisk brugerne i det rigtige team (medarbejdere eller elever) og i relevante undergrupper. Når en bruger fjernes fra en gruppe i din Identitetsudbyder, deprovisioneres brugeren automatisk fra Canva.

Understøttede IdP'er: Microsoft Entra ID, Okta, PingFederate, PingOne.

Bemærk: Google Workspace understøtter ikke SCIM-gruppe-push – brug mulighed 2 eller 3 i stedet.

SCIM-provisioneringspolitikker er en tilvalgsfunktion, der skal aktiveres af Canva. Hvis du vil anmode om adgang, skal du kontakte support

1. Aktivér SCIM i Canva: Gå til indstillinger. Vælg SSO & Provisionering, og vælg derefter Konfigurer provisionering. Slå Aktivér SCIM-provisionering til, og kopiér SCIM API-tokenet.

Noter SCIM-slutpunktet: https://www.canva.com/_scim/v2. Kontakt din Canva-repræsentant for at aktivere SCIM-provisioneringspolitikker for din organisation, før du fortsætter.

2. Konfigurer SCIM i din Identitetsudbyder: Indtast SCIM-slutpunktet og API-tokenet i din Identitetsudbyders provisioneringsindstillinger. Se Identitetsudbyder-specifikke vejledninger for Entra ID og Okta i Canva Hjælpecenter.

3. Overfør grupper fra din Identitetsudbyder: Tildel de grupper, du vil synkronisere til Canva (f.eks. canva-staff, canva-students).

4. Opret provisioneringspolitikker i Canva: Gå til indstillinger. Vælg Sikkerhed, og vælg derefter Provisioneringspolitikker. Vælg Opret politik. Giv den et navn, vælg Identitetsudbyder-gruppen som betingelse, vælg mål-Canva Team, og vælg gruppsynkroniseringsadfærd (Opret en ny gruppe, eller synkroniser med en eksisterende Canva-gruppe – navne skal stemme helt overens). Opret mindst to politikker: én, der knytter din personale-gruppe til personale-teamet, og én, der knytter din elev-gruppe til elev-teamet.

Vigtig adfærd:

• Deprovisionering: Når en bruger fjernes fra en Identitetsudbydergruppe, fjernes vedkommende automatisk fra sit Canva Teams, og brugerens konto låses.
• Gendan adgang: Hvis du tilføjer brugeren igen i IdP SCIM, bliver vedkommende automatisk klargjort igen.
• Hvis du sletter en politik, fjernes alle Canva Teams-/gruppe-medlemskaber, der er gældende for den politik. Brug det med forsigtighed.
• Grupper, der oprettes via provisioneringspolitikker, er låst. Canva-medlemmer kan ikke tilføjes eller fjernes manuelt. IdP'en er kilden til sandheden.
• Eksisterende Canva-brugere skal gennemføre tilknytningen af SSO-konti, før SCIM fuldt ud kan administrere dem. Prompt disse brugere om at logge på via SSO, inden du aktiverer SCIM.
• SCIM sender ikke velkomstmails, når elever provisioneres til elevteamet.
• Provisioneringspolitikker styrer kun opgave af Teams og grupper – ikke rollerne. Rolletildeling skal håndteres via SAML-rolletilknytning eller angives manuelt.

Sådan fungerer det: Institutionen sender på forhånd Canva en liste over brugere, der skal provisionering. Canva uploade disse brugere til de rigtige teams.

Bedst til: Institutioner, hvis Identitetsudbyder (f.eks. Google Workspace) ikke understøtter SCIM-gruppe-push, eller til indledende teamudfyldning i begyndelsen af et semester.

Sådan anmoder du om et CSV-uploade:

1. Forbered et regneark med følgende kolonner: e-mailadresse, teamtildeling.
2. Send filen til din Canva-repræsentant eller kontakt Canva Support.
3. Canva vil behandle uploaden og bekræfte, når det er udført.
4. Brugernes første login skal være via SSO.

Bemærk: CSV-upload er ikke automatiseret. I forbindelse med semesterovergange eller medarbejderskift skal der indsendes en ny CSV-fil til vores supportteam. Eksisterende Canva-brugere, der er inkluderet i CSV-filen, bliver bedt om at tilknytte deres eksisterende konto ved første SSO-login.

Sådan fungerer det: Der er ingen brugere forudindlæst. Når en bruger godkender via SSO for første gang, læser Canva deres SAML-attributter, specifikt TeamId og eventuelt rolle, og føjer dem automatisk til det rigtige team. Hvert efterfølgende login synkroniserer deres teammedlemskab.

Vigtigt: Hvis JIT er din primære provisioneringsmetode, anbefaler Canva på det kraftigste, at du aktiverer Domænefastholdelse (påkrævet for alle) som din SSO-loginkontrol. Uden domæneregistrering kan brugere på dit domæne omgå SSO. Det betyder, at JIT muligvis ikke når ud til alle brugere, og deprovisionering skal håndteres manuelt.

Sådan fungerer JIT:

1. Brugeren navigerer til Canva og godkender via din Identitetsudbyder.
2. Canva læser TeamId-værdien i SAML-påstanden.
3. Brugeren tilføjes automatisk til det Canva Teams, hvis TeamId matcher.
4. Hvis et rolleattribut findes, tildeles brugeren den tilsvarende rolle (designer for personale, medlem for elever).
5. Ved efterfølgende logins genvaliderer Canva teammedlemskab mod SAML-påstanden.

• Ingen forudgående provisionering: Brugere vises kun i Canva efter deres første SSO-login. Massekommunikation eller deling af skabeloner må ikke målrettes mod brugere, der ikke er logget på endnu.
• Ingen automatisk deprovisionering: Hvis du fjerner en bruger fra din Identitetsudbyder, fjernes vedkommende ikke fra Canva. Deprovisionering skal ske manuelt eller via en separat SCIM-opsætning.
• Deaktiver ikke JIT, medmindre SCIM er fuldt operationelt og konfigureret til at håndtere al provisionering.

Canva Campus understøtter LTI (Learning Tools Interoperability), som giver fakultetsmedarbejdere mulighed for at integrere Canva-opgaver i dit eget LMS og elever kan indsende Canva-design som kursusarbejde.

SSO skal være fuldt konfigureret, før du konfigurerer LTI. Du kan finde platformspecifikke konfigurationsvejledninger i Vejledninger til LMS-integration.

Brugerens e-maildomæne er ikke bekræftet i dine SSO-indstillinger for Canva, eller vedkommende har ikke knyttet sin eksisterende Canva-konto til SSO.

Bekræft, at brugerens e-mail-domæne stemmer overens med et bekræftet domæne i dine Canva SSO-indstillinger. Hvis de har en eksisterende Canva-konto, skal de muligvis fuldføre kontolinkning; bed dem om at gå til Indstillinger, derefter Login & sikkerhed, og vælge Tilknyt din SSO-konto.

For fejlspecifik vejledning, se Fejlfinding af SSO-fejli Canva Hjælpecenteret.

Den TeamId-værdi, der sendes af din identitetsudbyder, matcher ikke helt det TeamId, der er konfigureret i Canva. Der skelnes mellem store og små bogstaver i TeamId-værdier.

Kontroller, at TeamId-værdien sendt af din Identitetsudbyder matcher det TeamId, der er angivet i Canva (gå til

Provisioneringspolitikker vil muligvis ikke være konfigureret eller aktiveret for din organisation, SCIM API-tokenet er muligvis ikke gyldigt, eller eksisterende Canva-brugere har muligvis ikke fuldført deres første SSO-login.

• Kontrollér, at provisioneringspolitikker er indstillet til at knytte dine Identitetsudbyder-grupper til de korrekte Canva Teams.
• Bekræft, at provisioneringspolitikker er blevet aktiveret for din organisation af din Canva-repræsentant.
• Kontrollér, at SCIM API-tokenet i din Identitetsudbyder er opdateret, især hvis SCIM for nylig er blevet slået til eller fra.
• Hvis berørte brugere har eksisterende Canva-kontoer, skal du få dem til at logge på via SSO én gang og derefter prøve synkroniseringen igen.

Brugeren er ikke blevet provisioneret igen via din identitetsudbyder, eller SCIM-synkroniseringen er ikke fuldført.

Gen-tilføj brugeren i din Identitetsudbyder, og tillad SCIM at synkronisere. Hvis problemet fortsætter, skal du kontakte Canva Support.

Den studerende er ikke blevet provisioneret til institutionens elevteam, eller han eller hun logger på med en personlig Canva-konto i stedet for SSO.

Bekræft, at elevteamet er blevet provisioneret af Canva, og at eleverne logger ind via SSO. Elever skal være medlem af institutionens elevteam for at få adgang til premium-funktioner — at logge ind med en personlig konto giver ikke adgang.

Kan medarbejdere og elever dele indhold med hinanden?

Medarbejdere og elever tilhører separate Canva-teams og kan ikke dele indhold direkte. Der kan dog anvendes samarbejdslinks mellem studerende og medarbejdere (fakultet). Fakultetet kan også dele Canva-skabeloner og opgaver med studerende via din LMS-integration.

Kan alumner beholde deres Canva-adgang, når de har dimission?

Når SSO er angivet til Kun for medlemmer i dit team, mister brugere, der fjernes fra dine Canva-teams, adgangen til Campus-funktionerne, men de beholder deres personlige Canva-konto. Med Påkrævet for alle (Domænefastholdelse) er adgangen knyttet til din IdP. brugere, hvis IdP-adgang er tilbagekaldt, vil miste adgangen til Canva på deres institutionsdomæne.

Studerende, der ønsker at beholde deres design, skal tage skridt til at kopiere eller overføre deres indhold, inden de dimitterer uddannelsen eller forlader institutionen. Se Kopiering af design før dimission for at få detaljerede instruktioner.