Azure AD/Entra ID-SAML-Konfiguration (für Education)

Richte mit Azure Active Directory (AD)/Entra ID von Microsoft den Single Sign-On (SSO) für dein Team ein.

1. Rufe in deinem Azure AD- oder Entra ID-Administratorkonto im Portalmenü Microsoft Entra ID auf.
2. Wähle unter Verwalten die Option Unternehmensanwendungen aus.
3. Klicke auf Neue Anwendung.
4. Gib in der Suchleiste Canva ein und wähle es dann aus der Ergebnisliste aus.

5. Klicke auf Create (Erstellen), um die Anwendung hinzuzufügen.

6. Wähle Single Sign-On einrichten.

7. Akzeptiere und speichere die SSO-Einstellungen. Die Felder Bezeichner und Antwort-URL werden von der App vorausgefüllt und müssen nicht geändert werden.

8. Optional: Im Abschnitt Attribute und Ansprüche können die Anspruchsnamen wie folgt geändert werden, um die Verständlichkeit zu verbessern.

9. Achte darauf, dass deine Attribute so konfiguriert sind, dass sie genau den untenstehenden „Claim-Namen“ entsprechen. Beachten Sie, dass einzelne Schulen und Bildungseinrichtungen ohne gemeinsame Teams das TeamID-Attribut nicht benötigen.

• Einzelne Schule

• Setups mit mehreren Schulen ohne gemeinsame Teams

10. Klicke im Bereich SAML-Signaturzertifikat auf

11. Kopiere die folgenden Details im Bereich Canva einrichten . Du benötigst sie, um die Canva-Einrichtung abzuschließen.

• Anmelde-URL
• Azure AD/Entra ID-Bezeichner

1. Öffne in Azure AD/ Entra ID die Seite Eigenschaften.
2. Richte den Benutzerzugang zu Canva ein. Wähle eine der folgenden Methoden:

• Wenn alle Benutzer Zugang zu Canva haben sollen, setze das Feld Benutzerzuweisung erforderlich auf Nein.
• Wenn nur bestimmte Benutzer Zugang zu Canva haben sollen, gehe zu Benutzer und Gruppen und füge die Benutzer und Gruppen hinzu, die Zugang zu Canva haben sollen.

In diesem Schritt erfahren wir, welche Benutzer Lernende und welche Lehrkräfte oder Mitarbeitende sind. Hierfür gibt es zwei Möglichkeiten.

Wenn eine Rolle durch die Domain in der E-Mail-Adresse unterscheidbar ist, kannst du eine Regel einrichten, die das Rollenattribut „Lehrkraft“ durchlässt, wenn deren Adresse @district.org (im Gegensatz zu @students.district.org) lautet.

Der Name deines Anspruchs in diesem Schritt muss Rolle lauten und das Namensfeld muss leer sein.

Wenn Rollen durch die Gruppenzugehörigkeit unterscheidbar sind, kannst du eine Regel einrichten, die das Rollenattribut „Lehrkraft“ für Nutzer verfügbar macht, die Mitglieder von Mitarbeitergruppen in Azure/Entra ID sind. Erstelle dazu im Bereich Attribute und Ansprüche einen neuen Anspruch

Der Name deines Anspruchs in diesem Schritt muss Rolle lauten und das Namensfeld muss leer sein.

Weitere Informationen findest du im Microsoft-Artikel Anpassen von Ansprüchen im SAML-Token für Unternehmensanwendungen.

Bei Bezirken mit mehreren Schulen musst du die Dienstplandaten an Canva übermitteln, um uns bei der Identifizierung der Schule zu unterstützen, der ein Benutzer zugewiesen werden soll.

Hierfür gibt es verschiedene Möglichkeiten. Wähle eine der folgenden Optionen, die deinen Anforderungen am besten entspricht:

Wenn du Classlink nutzt, kannst du uns deine Dienstplandaten über RosterSync schicken. Unter OneRoster Provisioning erfährst du, wie du vorgehst.

Hierfür gibt es verschiedene Möglichkeiten:

Wenn du in deiner SAML-App ein Attribut mit dem Schulnamen, der Schul-ID oder einer anderen eindeutigen Kennung für die Schule hast, kannst du dieses als „TeamId“-Attribut verwenden, um Informationen darüber zu senden, zu welcher Schule die einzelnen Benutzer gehören.

1. Wähle in der Canva App in Azure/Entra ID Single Sign-on aus.
2. Öffne Attribute und Ansprüche.
3. Erstelle einen Anspruch und nenne ihn TeamId.
4. Wähle als Quellattribut das Attribut aus, das die eindeutige Kennung der Schule übermittelt.

Anschließend teilst du eine CSV-Datei mit Canva, die den Namen jeder Schule und den entsprechenden „TeamId“-Wert enthält, der über den Anspruch gesendet wird.

Du kannst auch einen neuen Anspruch erstellen und Anspruchsbedingungen verwenden, um „TeamId“-Attributwerte basierend auf Gruppen- oder anderen Benutzerattributen zu senden.

Du kannst manuell eine Reihe von Bedingungen erstellen, die deiner SAML-App mitteilen, welchen Attributwert sie für jeden Benutzer senden soll, je nachdem, zu welcher Gruppe die Person gehört.

Wenn zum Beispiel Lernende der Harmony Grundschule in der Gruppe „Harmony Lernende“ und Mitarbeitende in der Gruppe „Harmony Lehrkräfte“ sind, kannst du über Anspruchsbedingungen deine SAML-App anweisen, „Harmony“ als „TeamId“ für beide Gruppen zu senden.

1. Wähle in der Canva App in Azure/Entra ID Single Sign-on aus.
2. Öffne Attribute und Ansprüche.
3. Erstelle einen Anspruch und nenne ihn TeamId.
4. Wähle Anspruchsbedingungen aus.
5. Wähle für jede Gruppe, aus der eine Schule besteht, Mitglieder als Nutzertyp und dann die Gruppen aus.
6. Wähle Attribut aus und gib dann den Wert ein, der die eindeutige Kennung für die Schule sein soll.

Anschließend teilst du eine CSV-Datei mit Canva, die den Namen jeder Schule und den entsprechenden „TeamId“-Wert enthält, der über den Anspruch gesendet wird.

Du kannst auch einen Gruppenanspruch in deiner SAML-App erstellen, der den Gruppennamen als Anspruchswert sendet. Damit das funktioniert, musst du für jede Schule eine eigene Gruppe in deiner SAML-App haben. Diese Gruppe muss alle Benutzer der Schule (Lernende und Mitarbeitende) enthalten. Diese Schulgruppen müssen die einzigen Gruppen sein, die im Rahmen des Anspruchs gesendet werden.

1. wähle in der Canva App in Azure/ Entra ID Single Sign-on aus.
2. Öffne Attribute und Ansprüche.
3. Erstelle einen Gruppenanspruch und nenne ihn TeamId.
4. Befolgen Sie die Anweisungen zum Konfigurieren von Gruppenansprüchen für Anwendungen über Azure Active Directory.

Anschließend teilst du eine CSV-Datei mit Canva, die den Namen jeder Schule und den entsprechenden „TeamId“-Wert enthält, der über den Anspruch gesendet wird.

1. Melde dich in deinem Canva-Konto an.
2. Rufe deinen Profil-Avatar auf und wähle dann
   Einstellungen.
3. Wähle im Seitenmenü
   SSO und Bereitstellung aus.
4. Wähle Single Sign-on (SSO), dann Verwalten und dann IdP-Metadaten bearbeiten aus.
5. Füge deine Anmelde-URL in das Feld SSO oder Anmelde-URL ein.
6. Füge den Azure AD/ Entra ID-Bezeichner in das Feld Entity-ID oder Aussteller-URL ein.
7. Füge den gesamten Inhalt des SAML-Signaturzertifikats - Base64-codiert - in das öffentliche X.509-Zertifikatsfeld ein.
8. Klicke auf Speichern und dann auf Weiter.

Es gibt zwei einfache Möglichkeiten, dein Setup zu testen:

1. Gehe zu deinem Profil-Avatar und dann zu
   Einstellungen.
2. Wähle im Seitenmenü
   SSO und Bereitstellung aus.
3. Wähle unter Single Sign-on (SSO) die Option Verwalten und dann SSO testen aus.

1. Gehen Sie zu
   SSO und Bereitstellung.
2. Wähle Single Sign-on (SSO) aus, dann Verwalten und dann SSO-Einstellungen konfigurieren.
3. Stellen Sie die Option SSO-Einstellungen auf Optional für alle ein.
4. Melde dich von deinem Canva-Konto ab.
5. Wähle auf der Anmeldeseite die Option Mit E-Mail-Adresse fortfahren und dann Mit SSO anmelden aus.

Verwende zum Testen unbedingt ein Konto für Lernende und ein Konto für Lehrkräfte. Die SSO-Konfiguration war erfolgreich wenn:

• Sie haben sich als Lehrer angemeldet und können die Seite Personen sehen.
• Sie haben sich als Student angemeldet und können die Seite Personen nicht sehen.

Hier legst du fest, wie sich Mitglieder anmelden sollen. Wir empfehlen, SSO für alle in deiner Domain zu verlangen.

1. Gehe auf der Startseite zu deinem Profil-Avatar und wähle dann
   Einstellungen aus.
2. Wähle im Seitenmenü
   SSO und Bereitstellung aus.
3. Wähle Single Sign-on (SSO) aus, dann Verwalten und dann SSO-Einstellungen konfigurieren.
4. Stellen Sie die SSO-Einstellungen auf Erforderlich für alle (Domain-Erfassung)
5. Klicke auf Verbindung speichern.