Configura el SSO y el aprovisionamiento de Canva Universidades

Canva Universidades es la solución de Canva para educación superior que se implementa en todo el campus. Tu equipo de TI gestiona el aprovisionamiento y la autenticación de las personas usuarias de forma centralizada a través de una sola organización de Canva.

Esta guía abarca lo siguiente:

• Configuración de SSO
• Aprovisionamiento de personas usuarias
• Integración con un LMS y solución de problemas para personas a cargo de TI.

En la esquina inferior izquierda de Canva, selecciona tus iniciales.

• Asegúrate de estar en tu equipo de Universidades (no en una cuenta personal o Pro).
• Accede a
  “ Configuración” .
• En el menú de la izquierda, selecciona Configuración de la organización y, después, SSO y aprovisionamiento.

• Si no ves esta opción, contáctate con tu persona de contacto de Canva.

Luego, selecciona “Empezar”y confirma los permisos y el acceso a las herramientas de configuración. Para continuar, selecciona “Configurar el SSO” .

1. Debajo de Verifique los dominios que desea usar con SSO, seleccione Agregar un dominio.
2. Ingrese su(s) dominio(s) y, a continuación, seleccione Enviar.
3. Copie el token del registro TXT que se muestra.
4. En su proveedor de dominio (por ejemplo, GoDaddy, Namecheap):
   • Vaya a Configuración de DNS.
   • Agregue un registro TXT con el token.
   • Guarde los cambios.
5. La verificación tarda entre 24 y 72 horas. Recibirá un correo electrónico una vez que su dominio esté verificado.
   • Para verificar el estado, utilice mxtoolbox.com.

A continuación, selecciona tu proveedor de identidad para ver una guía sobre cómo agregar Canva. Tenemos guías para los siguientes proveedores de identidad, pero puedes usarlo siempre que tu proveedor de identidad sea compatible con SAML 2.0.

• Configuración de SAML para Azure AD/ Entra ID (para Canva Empresas)
• Configuración de ADFS SAML
• Configuración de SAML de Okta
• Configuración de SAML de G Suite (Google)
• Configuración de SAML de Duo Security
• Configuración de SAML para OneLogin
• Configuración de SAML de Salesforce

Si el tuyo no está en la lista, usa lo siguiente:

• URL de ACS/URL de respuesta: https://www.canva.com/login/saml
• ID/identificador de la entidad: https://www.canva.com
• Atributos de SAML: NameID, Correo, FirstName, LastName, TeamId (obligatorio para configurar la Universidad con estudiantes)*
• Texto de metadatos (si es necesario)

Asegúrate de que tu aserción SAML incluya una firma. Para realizar la verificación, verifica tu configuración.

• Propósito: distingue y asigna la licencia correcta a estudiantes en lugar de a empleados.
• Requisito: Al menos dos valores únicos (p. ej., estudiantes, personal).
• Se puede mapear a partir de grupos o atributos de proveedores de identidad existentes.
• Con Shibboleth, Canva es compatible con el esquema eduPersonAffiliation para TeamId (para habilitarlo, comunícate con el equipo de Ayuda o un representante de cuenta de Canva).

En Canva:

Accede a

La configuración de TeamId es fundamental para otorgar licencias prémium a los grupos de usuarios correctos (en especial, para administrar las licencias de estudiantes).

Las instituciones que usan Entra ID (Microsoft 365) deben acceder a la aplicación de Canva Empresas. Para configurar el reclamo TeamId, selecciona Inicio de sesión único, Atributos y reclamos y, después, Editar.

Se aceptan tanto "TeamId" como "TeamID" como nombre de reclamo. Para la mayoría de las implementaciones en universidades, la opción 1 (Reclamo de grupo) es la práctica recomendada. La opción 2 es una buena alternativa si ya existe un atributo de usuario adecuado en tu directorio.

Crea un grupo de seguridad de Entra exclusivo para cada equipo de Canva. El nombre para mostrar del grupo se envía como el valor de TeamId, y Canva enruta a las personas en consecuencia. Este es el enfoque más limpio y fácil de mantener.

1. En Atributos y reclamaciones, seleccione Agregar una reclamación de grupo.
2. Asigne el nombre TeamId a la reclamación.
3. Configure para enviar nombres para mostrar de grupo.

Importante: Los grupos incluidos en este reclamo deben coincidir exactamente con los valores de Canva TeamId. No se deben enviar otros grupos como parte del mismo reclamo.

Es una buena opción si tu directorio ya tiene un atributo que permite distinguir de manera confiable al personal de los estudiantes (p. ej., un atributoFechaEmpleado, Departamento o Extensión).

1. En Atributos y Reclamaciones, seleccione Agregar nueva reclamación.
2. Nombre la reclamación como TeamId.
3. Establezca Fuente en Atributo y seleccione el atributo de directorio relevante.
4. Asegúrese de que los valores del atributo coincidan con los valores de TeamId que haya configurado en Canva para cada equipo.

Importante: Si bien este enfoque puede funcionar, las condiciones para reclamar un ID de Entra tienen limitaciones y peculiaridades conocidas (p. ej., condicionar el comportamiento de ordenar, casos límite con membresías de grupos superpuestas). Por lo general, las opciones 1 y 2 son más confiables para implementaciones en universidades.

Si continúas, tendrás que especificar de forma manual el valor de TeamId que quieras enviar según el grupo al que pertenezcas en Entra.

1. En Atributos y Reclamaciones, seleccione Agregar nueva reclamación.
2. Asigne el nombre TeamId a la reclamación.
3. Seleccione Condiciones de reclamación.
4. Para cada grupo (personal, estudiantes), establezca el tipo de usuario en Miembros, seleccione los grupos Entra relevantes e introduzca el valor de TeamId correspondiente (p. ej., "staff" o "estudiantes").
5. Guardar la reclamación.

Se usa si tu personal y tus estudiantes tienen dominios de correo diferentes (p. ej., @personal.universidad.edu o @estudiante.universidad.edu). Esta acción extrae el dominio del correo electrónico y lo usa como el valor de TeamId.

1. En Atributos y Reclamaciones, seleccione Agregar nueva reclamación.
2. Asigne el nombre TeamId a la reclamación.
3. Establezca Origen en Transformación.
4. Aplique la transformación de Extracción con Después de la coincidencia en @, utilizando user.userPrincipalName o user.mail como origen.

Asegúrate de que los valores de TeamId configurados en Canva coincidan con las cadenas extraídas del dominio.

En las instituciones que usan Okta, TeamId se configura como un atributo de SAML. Antes de continuar, asegúrate de que Okta de la aplicación de Canva esté configurado, que los grupos de Okta estén asignados a la aplicación de Canva y que los ajustes de SAML estén configurados en Canva. Para obtener instrucciones de configuración completas, consulta la guía de configuración de SAML de Okta en el Centro de ayuda de Canva.

Crea grupos de Okta cuyos nombres para mostrar coincidan con los valores de TeamId de Canva (p. ej., un grupo que se llame “personal-universitario” se corresponda con TeamId “personal-universitario”). Okta filtra y envía el nombre del grupo que coincida como el valor de TeamId al iniciar sesión.

1. En Okta, vaya a Directorio, luego seleccione Grupos y cree grupos utilizando una convención de nomenclatura consistente (p. ej., todos los grupos de Universidades comienzan con "campus-").
2. Navegue a Aplicaciones, luego seleccione Canva. Vaya a General, luego a Configuración SAML y seleccione editar. Seleccione Siguiente hasta que llegue a la pantalla Configurar SAML.
3. En Declaraciones de Atributos de Grupo, agregue:
   1. Nombre: TeamId
   2. filtro: Comienza con, luego introduzca el prefijo de su convención de nomenclatura (p. ej., "campus-")
4. Guardar. Okta enviará el nombre del grupo coincidente como el valor de TeamId.

Usa esta opción si no puedes usar una convención de nomenclatura o si necesitas mapear grupos específicos por su ID de Okta.

1. Para cada grupo, ábralo en Okta y registre el ID de grupo de la URL (la cadena alfanumérica después de la última /).
2. Vaya a Aplicaciones, luego seleccione Canva. Vaya a General, luego seleccione Configuración de SAML y seleccione Editar. Seleccione Siguiente.
3. En Declaraciones de atributo (no Declaraciones de atributo de grupo), agregue:
   1. Nombre: TeamId
   2. Valor: Arrays.toCsvString(getFilteredGroups({"",""},"group.name",50))
   3. Reemplace <group_id_1> y <group_id_2> con los ID de grupo del Paso 1.

4. Seleccione Siguiente, luego acabado.

Google Workspace no admite notificaciones SAML condicionales basadas en grupos como Entra ID, pero hay dos formas sencillas de completar TeamId para la implementación de tus Universidades.

Opción 1: Usa un atributo de directorio existente (o uno personalizado)

Es mejor si ya haces un seguimiento de un valor que distingue al personal de los estudiantes, o si estás dispuesto a agregar uno.

1. En Google Admin, ve al perfil de alguien y busca (o agrega) un atributo personalizado, por ejemplo, un campo “Centro de costos” en un esquema personalizado “Información del personal”, junto con campos como el Id. de empleado, Puesto, departamento, Id. del edificio, etc. ).
2. Completa el campo con un valor que identifique el grupo al que pertenece la persona usuaria. Por ejemplo, configura Centro de costos como estudiante para las cuentas de estudiantes y como empleado para las cuentas del personal. Cualquier atributo existente que ya distinga a las dos poblaciones funciona igual de bien; El centro de costos es solo un campo conveniente si nada más cabe.
3. En Google Admin, accede a Apps > Web y apps para dispositivos móviles > Canva > Mapeo de atributos.
4. En Atributos, selecciona Agregar mapeo, elige el campo del directorio a la izquierda (p. ej., Información del empleado > Centro de costos) e ingresa TeamId como el atributo de la app a la derecha.
5. Guardar. A partir de ahora, Google enviará el valor de ese campo como el atributo TeamId en cada aserción SAML.

Opción 2: usa Grupos de Google

Es mejor si prefieres administrar esto por membresía en lugar de por usuario.

1. En Google Admin, crea dos grupos: uno para el personal (p. ej., “Empleados”) y otro para estudiantes (p. ej., “Estudiantes”) y agrega a las personas relevantes a cada uno.
2. En la misma app SAML de Canva (Aplicaciones > Web y apps móviles > Canva > Mapeo de atributos), desplázate hasta Membresía del grupo (opcional).
3. Agrega los dos grupos y configura el atributo App como TeamId.
4. Guardar. Google enviará el nombre del grupo que coincida como el valor de TeamId para cada persona usuaria.

De cualquier manera, los valores que envíes (p. ej., “estudiante”/”empleado” o los nombres de tu grupo) deben coincidir exactamente con los valores de TeamId configurados en los equipos correspondientes en la configuración de Canva Organización > Equipos.

Recíbelas con tu proveedor de identidad:

• Punto de conexión de SAML 2.0 (HTTP) (URL de SSO)
• emisor del proveedor de identidad (ID de la entidad)
• Certificado público (x.509, codificado en Base64)

Ingresa estos datos en la página de configuración de inicio de sesión único (SSO) de Canva.

1. En Canva, ve a Configuración de la cuenta. Luego selecciona SSO & Aprovisionamiento.
2. En la sección de Elegir quién debe usar SSO, selecciona SSO opcional para todos.
3. Cierra sesión, luego en la página de inicio de sesión, selecciona Usar inicio de sesión único (SSO).
4. Prueba con:
   • Una cuenta de estudiante
   • Una cuenta de empleado (si ambas están configuradas)

También puedes usar el botón “Probar el inicio de sesión único” en la página de configuración.

Opciones:

• Solo para las personas de tu equipo (recomendado para la mayoría de las universidades)
  • Permite que exalumnas y otras personas ajenas a tu equipo sigan usando Canva.
• Obligatorio para todas las personas (captura de dominio)
  • Inicio de sesión más limpio Todas las personas usuarias de tu dominio verificado deben iniciar sesión a través del SSO. Se recomienda para despliegues de universidades completas.

Para obtener más información, consulta “Configurar los controles de inicio de sesión y registro por SSO” .

Con el SSO habilitado (opcional u obligatorio), las personas usuarias deben iniciar sesión con el SSO para unirse a los equipos de Canva para Universidades.

Pídele al equipo de soporte de Canva o a un representante de Canva que te proporcione un enlace personalizado para iniciar sesión con el inicio de sesión único (SSO).

Es posible que gran parte del cuerpo docente ya cuente con una cuenta personal de Canva vinculada a su dirección de correo empresarial. Cuando el SSO esté habilitado, la primera vez que inicien sesión con el SSO, se les indicará a estas personas que vinculen su cuenta existente.

• Para que las personas usuarias puedan gestionarse por completo a través de SCIM o de políticas de aprovisionamiento, tienen que completar la vinculación de las cuentas. Te recomendamos que avises a tu personal antes de la publicación para que sepa qué esperar de esta instrucción.
• Si una persona usuaria tiene una cuenta de correo personal y otra de trabajo de Canva, se le pedirá que elija cuál quiere vincular. Los diseños de las cuentas desvinculadas no se pierden. se pueden copiar de forma manual, pero no se pueden combinar.
• Las personas usuarias que omitan el enlace o tengan un error al intentarlo pueden volver más tarde a través de “Configuración”. Selecciona Inicio de sesión y seguridad y, después, Vincula tu cuenta de SSO.

El aprovisionamiento de personas usuarias controla la forma en que el personal y los estudiantes se agregan a sus respectivos Canva Equipos y cómo se eliminan cuando se van. Hay tres opciones disponibles. El SSO debe estar configurado por completo antes de activar cualquier método de aprovisionamiento.

Cómo funciona: tu proveedor de identidad atrae a los grupos de personas usuarias a Canva a través de la API de SCIM. El motor de políticas de aprovisionamiento de Canva lee las pertenencias a esos grupos y, de forma automática, ubica a las personas usuarias en el equipo (de personal o de estudiantes) y en los subgrupos correspondientes. Cuando se quita a una persona de un grupo de tu proveedor de identidad, se le da de baja de Canva de forma automática.

IdP compatibles: Microsoft Entra ID, Okta, PingFederate, PingOne.

Importante: Google Workspace no es compatible con Group push de SCIM. Usa las opciones 2 o 3.

Las políticas de aprovisionamiento de SCIM son una función opcional que Canva debe habilitar. Para solicitar acceso, contáctate con soporte

1. Habilitar SCIM en Canva: Ve a Configuración. Selecciona SSO & Aprovisionamiento y, a continuación, selecciona Configurar Aprovisionamiento. Activa Habilitar aprovisionamiento SCIM y copia el token de la API de SCIM.

Tenga en cuenta el punto de conexión SCIM: https://www.canva.com/_scim/v2. Comuníquese con su representante de Canva para habilitar las políticas de aprovisionamiento SCIM para su organización antes de continuar.

2. Configure SCIM en su proveedor de identidad: Introduzca el punto de conexión SCIM y el token de API en la configuración de aprovisionamiento de su proveedor de identidad. Consulte las guías específicas del proveedor de identidad para Entra ID y Okta en el Centro de ayuda de Canva.

3. Sincronice grupos desde su proveedor de identidad: Asigne los grupos que desea sincronizar con Canva (por ejemplo, canva-staff, canva-estudiantes).

4. Crear políticas de aprovisionamiento en Canva: Ve a Configuración. Selecciona Seguridad, luego selecciona Políticas de aprovisionamiento. Selecciona Crear política. Asígnale un nombre, selecciona el grupo del proveedor de identidad como condición, selecciona el equipo de Canva de destino y elige el comportamiento de sincronización de grupo (crea un nuevo grupo, o sincroniza con un grupo de Canva existente; los nombres deben coincidir exactamente). Como mínimo, crea dos políticas: una que mapee tu grupo de personal al equipo de personal y otra que mapee tu grupo de estudiantes al equipo de estudiantes.

Comportamientos clave:

• Desaprovisionamiento: cuando se quita a una persona usuaria de un grupo de proveedor de identidad, se la quita automáticamente de su Canva Equipo, y se bloquea su cuenta.
• Restaurar el acceso: si vuelves a agregar a la persona en el SCIM del proveedor de identidad, se volverá a aprovisionar de forma automática.
• Eliminar una política, se eliminan todos los Canva Equipos/grupos que aplica dicha política. Usar con precaución.
• Los grupos creados a partir de políticas de aprovisionamiento están bloqueados. No es posible agregar o quitar personas de Canva de forma manual. El proveedor de identidad es la fuente de la verdad.
• Las personas usuarias de Canva deben completar el SSO para que SCIM pueda administrarlas por completo. Antes de activar SCIM, pídeles que inicien sesión con el inicio de sesión único (SSO).
• SCIM no envía correos de bienvenida cuando los estudiantes forman parte del equipo de estudiantes.
• Las políticas de aprovisionamiento solo controlan la asignación de equipos y grupos, no los roles. La asignación de roles debe realizarse a través del mapeo de roles SAML o configurarse de forma manual.

Cómo funciona: la institución envía a Canva una lista de personas usuarias para que se aprovisionen de antemano. Canva sube a estas personas usuarias a los equipos correctos.

Ideal para: instituciones cuyo proveedor de identidad (p. ej., Google Workspace) no es compatible con Group push de SCIM o para completar el equipo al inicio del semestre.

Cómo solicitar una carga de CSV:

1. Prepara una hoja de cálculo con las siguientes columnas: dirección de correo electrónico, actividad de equipo.
2. Envía el Archivo a tu representante de Canva o ponte en contacto con el soporte de Canva.
3. Canva procesará el subir y confirmará cuando esté completa.
4. El primer inicio de sesión de los usuarios debe ser a través de SSO.

Importante: la subida de CSV no está automatizada. En el caso de cambios semestrales o cambios de personal, es necesario enviar un nuevo CSV a nuestro equipo de Soporte. A las personas usuarias de Canva incluidas en el CSV se les pedirá que vinculen sus cuentas existentes la primera vez que inicien sesión con el SSO.

Cómo funciona: no hay usuarios predefinidos. Cuando una persona usuaria se autentica a través del SSO por primera vez, Canva lee sus atributos SAML, en especial TeamId y, opcionalmente, rol, y la agrega de forma automática al equipo correcto. Con cada inicio de sesión, la membresía del equipo se mantendrá sincronizada.

Importante: Si tu método de aprovisionamiento principal es JIT, Canva te recomienda habilitar la función Captura de dominio (obligatoria para todo el mundo) como control del inicio de sesión de inicio de sesión único (SSO). Sin la función de captura de dominio, las personas usuarias de tu dominio podrían omitir el inicio de sesión único (SSO), lo que significa que JIT podría no llegar a todas las personas usuarias, y la cancelación del acceso se tendría que hacer de forma manual.

Cómo funciona JIT:

1. El usuario navega a Canva y se autentica a través de su proveedor de identidad.
2. Canva lee el valor de TeamId en la aserción SAML.
3. El usuario se añade automáticamente al Canva Equipos cuyo TeamId coincide.
4. Si un atributo de rol está presente, se asigna al usuario el rol correspondiente (diseñador para personal, persona para estudiante).
5. En inicios de sesión posteriores, Canva revalida la membresía del equipo contra la aserción SAML.

• Sin aprovisionamiento previo: las personas usuarias solo aparecen en Canva después de iniciar sesión con el SSO por primera vez. Las comunicaciones en lote o las plantillas compartidas no pueden dirigirse a personas que todavía no hayan iniciado sesión.
• No se da de baja de forma automática: si quitas a una persona de tu proveedor de identidad, no se la quita de Canva. Tienes que cancelar el aprovisionamiento de forma manual o a través de otra configuración de SCIM.
• No desactives JIT a menos que SCIM esté en pleno funcionamiento y configurado para gestionar todo el aprovisionamiento.

Canva Universidades es compatible con LTI (interoperabilidad de herramientas de aprendizaje), lo que les permite a los docentes incorporar actividades de Canva en tu LMS y a tus estudiantes enviar sus diseños de Canva como trabajo de clase.

El SSO debe estar configurado por completo antes de configurar LTI. Para ver las instrucciones de configuración específicas de la plataforma, consulta las guías de integración con LMS.

El dominio del correo electrónico de la persona usuaria no está verificado en la configuración de SSO de Canva, o la persona usuaria no vinculó su cuenta de Canva al SSO.

Confirma que el dominio de correo electrónico del usuario coincida con un dominio verificado en tu configuración de SSO de Canva. Si tienen una cuenta de Canva preexistente, es posible que necesiten completar la vinculación de la cuenta; indícales que vayan a Configuración, luego a Inicio de sesión y seguridad, y seleccionen Vincular tu cuenta SSO.

Para obtener orientación específica sobre errores, consulta Solución de problemas de SSOen el Centro de Ayuda de Canva.

El valor de TeamId que envió tu proveedor de identidad no coincide exactamente con el valor de TeamId configurado en Canva. Los valores de TeamId distinguen entre mayúsculas y minúsculas.

Verifica que el valor de TeamId enviado por tu proveedor de identidad coincida con el TeamId establecido en Canva (ve a

Es posible que no estén configuradas o habilitadas las políticas de aprovisionamiento para tu organización, que el token de la API de SCIM ya no sea válido o que las personas usuarias de Canva no hayan completado su primer inicio de sesión SSO.

• Comprueba que las políticas de aprovisionamiento estén configuradas para asignar tus grupos de proveedor de identidad a los Canva Equipos correctos.
• Confirma que tu representante de Canva haya habilitado las políticas de aprovisionamiento para tu organización.
• Comprueba que el token de la API SCIM en tu proveedor de identidad esté actualizado, especialmente si SCIM se activó o desactivó recientemente.
• Si los usuarios afectados tienen cuentas de Canva preexistentes, pídeles que inicien sesión mediante SSO una vez y, luego, vuelve a intentar la sincronización.

No se reasignó a la persona usuaria a través de tu proveedor de identidad o no se completó la sincronización de SCIM.

Vuelve a añadir al usuario en tu proveedor de identidad y permite que SCIM se sincronice. Si el problema persiste, contacta con el Soporte de Canva.

El estudiante no ha sido aprovisionado al equipo de estudiantes de la institución, o está iniciando sesión con una cuenta personal de Canva en lugar de SSO.

Confirme que el equipo de estudiantes ha sido aprovisionado por Canva y que los estudiantes inicien sesión a través de SSO. Los estudiantes deben ser un miembro del equipo de estudiantes de la institución para acceder a las funciones prémium — iniciar sesión con una cuenta personal no otorgará acceso.

¿El personal y los estudiantes pueden compartir contenido?

El personal y los estudiantes pertenecen a equipos de Canva distintos y no pueden compartir contenido de forma directa. Sin embargo, se pueden usar enlaces de colaboración entre estudiantes y el personal (docentes). El personal docente también puede compartir las plantillas y las actividades de Canva con sus estudiantes a través de la integración con tu LMS.

¿Los exalumnos pueden conservar su acceso a Canva después de graduarse?

Si el SSO está configurado en Solo para las personas de tu equipo, las personas que quites de tus Canva Equipos perderán acceso a las funciones para Universidades, pero conservarán sus cuentas personales de Canva. Con la opción Obligatorio para todas las personas (captura de dominio), el acceso depende de tu proveedor de identidad; Las personas a las que se les revoque el acceso al proveedor de identidad ya no podrán acceder a Canva en su dominio institucional.

Quienes quieran conservar sus diseños deben tomar medidas para copiar o transferir su contenido antes de graduarse o egresar de la institución. Para obtener instrucciones detalladas, consulta “Copiar diseños antes de graduarte” .