ADFS SAML-Konfiguration (For Education)

Richte Single Sign-on (SSO) für deine Schule mit Microsoft Active Directory Federation Services (ADFS) ein.

1. Melde dich bei deinem ADFS-Server an. Wenn du Hilfe bei der Bereitstellung von ADFS benötigst, lies diesen Leitfaden.
2. Öffne die ADFS-Verwaltungskonsole und wähle Vertrauensstellungen > Vertrauensstellungen der vertrauenden Seite.
3. Klicke im Menü „Aktionen“ auf Vertrauensstellung der vertrauenden Seite hinzufügen. Dadurch wird ein Assistent geöffnet, der dich durch den Vorgang führt.
4. Wähle im Schritt Datenquelle auswählen die Option Daten über die vertrauende Seite manuell eingeben.

5. Gib im Schritt Anzeigename festlegen „Canva“ ein.

6. Wähle im Schritt Profilauswahl wählen die Option AD FS Profil.

7. Behalte im Schritt Zertifikat konfigurieren die Standardwerte für die Zertifikatseinstellungen bei.
8. Wähle im Schritt URL konfigurieren die Option Unterstützung für SAML 2.0 WebSSO-Protokoll aktivieren und gib den SAML-Service-Endpunkt von Canva ein: „https://www.canva.com/login/saml“.

9. Gib im Schritt Identifikatoren konfigurieren „https://www.canva.com“ ein und klicke auf Hinzufügen.

10. Im nächsten Schritt kannst du optional eine mehrstufige Authentifizierung hinzufügen.
11. Wähle im Schritt Regeln zur Issuer-Autorisierung festlegen die Option Allen Benutzern den Zugriff auf diese vertrauenswürdige Partei erlauben. Klicke auf Weiter und überprüfe deine Einstellungen.
12. Vergewissere dich auf dem letzten Bildschirm, dass die Option Den Dialog „Anspruchsregeln bearbeiten“ für Vertrauensstellung der vertrauenden Seite öffnen, wenn der Assistent beendet wird aktiviert ist. Klicke auf Schließen.

Nachdem du Canva zu ADFS hinzugefügt hast, öffnet sich der Editor für Anforderungsregeln, über den du Regeln oder Assertion-Anforderungen erstellen kannst.

Du benötigst zwei Regeln: eine für Canva-Attribute und eine für NameID. Canva erhält nur die Attribute und Werte der ausgehenden Regelart, sodass die Liste der Attribute anders aussehen könnte.

1. Klicke auf Regel hinzufügen.

2. Erstelle eine Regel, um LDAP-Attribute als Anforderung zu versenden. Füge ausgehende Anspruchsarten für E-Mail, Vorname und Nachname hinzu (Hinweis: bei ausgehenden Anspruchsarten bitte Groß-/Kleinschreibung beachten).

3. Erstelle eine weitere Regel, um einen eingehenden Anspruch umzuwandeln. Öffne die erforderliche Anspruchsregel NameID und ändere das Format der ausgehenden NameID in Persistent Identifier. Klicke zum Speichern auf Fertigstellen.

In diesem Schritt erfahren wir, welche Benutzer Lernende und welche Lehrkräfte oder Mitarbeitende sind. Hierfür gibt es zwei Möglichkeiten.

Canva kann die Rollen für Lernende und Lehrkräfte auf der Grundlage gängiger E-Mail-Muster zuweisen. Zum Beispiel:

• Lernende auf einer E-Mail-Domain, Mitarbeitende auf einer anderen
• Lernende haben am Anfang eine Nummer, Mitarbeitende nicht

Wenn du möchtest, dass wir dies für dein Konto aktivieren, schließe den Vorgang der SSO-Einrichtung ab und kontaktiere unser Support-Team, um die domainbasierte Rollenzuordnung zu aktivieren.

Wenn es kein Muster für die E-Mail-Adressen gibt, kann Canva eine Analyse durchführen, um Rollen zuzuweisen. Folge diesen Schritten:

1. Erstelle eine Regel, um eine Gruppenmitgliedschaft als Anspruch zu senden. Du musst das Wort „Mitarbeiter“ für jeden Benutzer senden, der ein Mitarbeiter ist. Nenne diese Regel Temporär.
2. Sieh dir die Regelformulierung in Schritt 1 an und kopiere sie.
3. Erstelle eine neue Regel und wähle Ansprüche mit einer benutzerdefinierten Regel senden.
4. Klicke auf Weiter.
5. Nenne die Regel Rolle und füge dann die Regelformulierung aus Schritt 2 ein.
6. Löschen Sie "http://schemas.microsoft.com/ws/2008/06/identity/claims/".
7. Lösche deine temporäre Regel.

Bei Bezirken mit mehreren Schulen musst du die Dienstplandaten an Canva übermitteln, um uns bei der Identifizierung der Schule zu unterstützen, der ein Benutzer zugewiesen werden soll.

Hierfür gibt es verschiedene Möglichkeiten. Wähle eine der folgenden Optionen, die deinen Anforderungen am besten entspricht.

Wenn du Classlink nutzt, kannst du uns deine Dienstplandaten über RosterSync schicken. Unter OneRoster Provisioning erfährst du, wie du vorgehst.

Hierfür gibt es verschiedene Möglichkeiten.

Wenn du in deiner SAML-App ein Attribut mit dem Schulnamen, der Schul-ID oder einer anderen eindeutigen Kennung für die Schule hast, kannst du dieses als „TeamId“-Attribut verwenden, um Informationen darüber zu senden, zu welcher Schule die einzelnen Benutzer gehören.

Erstelle einen Anspruch in deiner SAML-App, der dieses Attribut sendet, und nenne den Anspruch „TeamId“.

Anschließend teilst du eine CSV-Datei mit Canva, die den Namen jeder Schule und den entsprechenden „TeamId“-Wert enthält, der über den Anspruch gesendet wird.

Du kannst auch einen Gruppenanspruch in deiner SAML-App erstellen, der den Gruppennamen als Anspruchswert sendet. Damit das funktioniert, musst du für jede Schule eine eigene Gruppe in deiner SAML-App haben. Diese Gruppe muss alle Benutzer der Schule (Lernende und Mitarbeitende) enthalten. Diese Schulgruppen müssen die einzigen Gruppen sein, die im Rahmen des Anspruchs gesendet werden.

Nenne den Anspruch „TeamId“ und übermittle Canva eine CSV-Datei mit den Namen der einzelnen Schulen und dem entsprechenden „TeamId“-Wert, der über den Anspruch gesendet wird.

1. Melde dich in deinem Canva-Konto an.
2. Gehe auf der Startseite zu deinem Profil-Avatar und wähle dann
   Einstellungen aus.
3. Klicke im Seitenmenü auf
   SSO und Bereitstellung.
4. Klicke unter Single Sign-on (SSO) auf Verwalten und dann auf IdP-Metadaten bearbeiten.
5. Gib die SAML 2.0-Endpunkt-URL (auch SAML 2.0/W-Federation-URL genannt) in das Feld SSO oder Login-URL ein.
6. Gib den Identity Provider-Aussteller in das Feld Entity-ID oder Issuer-URL ein.
7. Füge den gesamten Inhalt des heruntergeladenen Zertifikats (Beispielzertifikat) in das Feld X.509 Öffentliches Zertifikat ein.
8. Klicke auf Speichern und dann auf Weiter.

Es gibt zwei einfache Möglichkeiten, dein Setup zu testen:

1. Gehe zu deinem Profil-Avatar und dann zu
   Einstellungen.
2. Wähle im Seitenmenü
   SSO und Bereitstellung aus.
3. Wähle unter Single Sign-on (SSO) die Option Verwalten und dann SSO testen aus.

1. Gehen Sie zu
   SSO und Bereitstellung
2. Wähle Single Sign-on (SSO) aus, dann Verwalten und dann SSO-Einstellungen konfigurieren.
3. Stellen Sie die Option SSO-Einstellungen auf Optional für alle ein.
4. Melde dich von deinem Canva-Konto ab.
5. Wähle auf der Anmeldeseite die Option Mit E-Mail-Adresse fortfahren und dann Mit SSO anmelden aus.

Verwende zum Testen unbedingt ein Konto für Lernende und ein Konto für Lehrkräfte. Die SSO-Konfiguration war erfolgreich wenn:

• Sie haben sich als Lehrer angemeldet und können die Seite Personen sehen.
• Sie haben sich als Student angemeldet und können die Seite Personen nicht sehen.

Hier legst du fest, wie sich Mitglieder anmelden sollen. Wir empfehlen, SSO für alle in deiner Domain zu verlangen.

1. Gehe auf der Startseite zu deinem Profil-Avatar und wähle dann
   Einstellungen aus.
2. Wähle im Seitenmenü
   SSO und Bereitstellung aus.
3. Wähle Single Sign-on (SSO) aus, dann Verwalten und dann SSO-Einstellungen konfigurieren.
4. Stellen Sie die SSO-Einstellungen auf Erforderlich für alle (Domain-Erfassung).
5. Wähle Verbindung speichern aus.