Configuración de SAML con GSuite (Google) (Canva Educación)

Configura el inicio de sesión único (SSO) para tu sistema escolar con GSuite (Google)

1. En la consola de Google Admin, ve a Apps > Apps web y para dispositivos móviles.
2. Haz clic en Agregar app y en Buscar apps.
3. En el campo de búsqueda, escribe Canva. Selecciona la app Canva Web (SAML).
4. En la página con la información del Proveedor de identidad de Google, copia o escribe la URL de SSO y el ID de la entidad. Vas a necesitarlos más adelante. Asegúrate de que la casilla Respuesta firmada esté marcada.

5. En la misma página, descarga el Certificado y haz clic en Continuar.
6. En la ventana Información del proveedor de servicio, deja la configuración como está. Hay más información al respecto en la nota de abajo. Haz clic en Continuar.
7. En la sección Atributos, asegúrate de que los campos estén como los que te mostramos a continuación y haz clic en Finalizar.

Service Provider Details NameId (Identificador NameID de la información del proveedor de servicios): recomendamos que envíes un atributo personalizado con un identificador único que no sea un correo electrónico. Si no cuentas con uno, puedes usar el atributo “Primary email” (Correo principal), pero entonces, Canva podría tener dificultades para actualizar las direcciones de correo de forma automática si las personas usuarias las modifican o si tu institución cambia de dominio de correo.

Para evitar problemas, no uses el atributo “First Name” (Nombre) o ”Last Name” (Apellido) como el identificador NameId.

Este paso nos ayudará a identificar quiénes son estudiantes y quiénes son docentes o parte del personal. Hay algunas formas de hacerlo.

Canva puede asignar los roles de estudiante o docente en función de patrones de correo electrónico en común. Por ejemplo:

• un dominio de correo electrónico para estudiantes y otro para docentes
• Cada estudiante tiene un número al principio; el personal no lo tiene

Si quieres activar esto en tu cuenta, completa el proceso de configuración del SSO y pónte en contacto con nuestro equipo de soporte para activar el mapeo de roles basado en dominios.

Si completas Google Admin con datos de otra fuente, puedes configurar la fuente para que envíe los datos a Google en la forma que necesitas.

En la base de datos de la fuente, ya sea Active Directory o SIS, crea un mapeo que envíe a Google la palabra “personal” como el valor de “Cost Center” (Centro de costos) para docentes y el personal. El valor para estudiantes puede quedar en blanco o ser “estudiante”.

Recomendamos usar el atributo de persona usuaria “Cost Center” (Centro de costos) en el perfil de la persona usuaria de Google Admin, ya que está disponible en el proceso de SAML, pero los distritos no suelen usarlo.

Si completas Google Admin de forma manual, importando archivos CSV en masa, o usando una herramienta de comandos externa o una como GAM o Gopher, puedes realizar los mismos procesos para completar un atributo de rol.

En Google, usa la palabra “staff” (personal) para el valor de “Cost Center” (Centro de costos) para docentes y el personal. El valor para estudiantes puede quedar en blanco o puedes usar “student” (estudiante).

Recomendamos usar el atributo de persona usuaria “Cost Center” (Centro de costos) en el perfil de la persona usuaria de Google Admin, ya que está disponible en el proceso de SAML, pero los distritos no suelen usarlo.

En el caso de los distritos con una implementación en muchas escuelas, tendrás que transferir los datos de tu grupo a Canva para que podamos determinar a qué escuela debemos asignar a cada persona. Hay algunas formas de hacerlo.

Si usas ClassLink, puedes enviarnos los datos de tu grupo a través de RosterSync. Para descubrir cómo hacerlo, consulta Aprovisionamiento con OneRoster.

Hay varias formas de hacerlo.

Si tienes un atributo en la app de SAML con el nombre de la escuela, el identificador de la escuela o cualquier otro identificador único relacionado con la escuela, puedes usarlo como el atributo “TeamId” para enviar información sobre la escuela a la que pertenece cada persona usuaria.

1. En la app de Canva en Google Workspace, accede a Mapeo de atributos de SAML.
2. Selecciona Añadir una nueva asignación.
3. En Atributo del directorio de Google, selecciona el atributo que contenga el identificador único de la escuela.
4. Introduce TeamId como atributo de la app.

Después, comparte con Canva un archivo CSV que contenga el nombre de cada escuela y el valor correspondiente de “TeamId” que se enviará en la notificación.

En tu app de SAML, también puedes crear una notificación de grupo que envíe el nombre del grupo como un valor de notificación. Para que esto funcione, debe haber un grupo para cada escuela en tu app de SAML. El grupo tiene que incluir a todas las personas de la escuela (estudiantes y personal), y estos grupos escolares tienen que ser los únicos grupos que se envíen en la notificación.

1. En la app de Canva en Google Workspace, accede a Mapeo de atributos de SAML.
2. Accede a la sección Membresía de grupo.
3. En Grupos de Google, introduce el nombre de cada grupo escolar. Cada escuela debe tener un solo grupo.
4. Introduce TeamId como atributo de la app.

Después, comparte con Canva un archivo CSV que contenga el nombre de cada escuela y el nombre exacto del grupo de Google que le corresponde a cada escuela.

Puedes usar las unidades organizativas para formar un grupo dinámico para cada escuela de tu organización. Los grupos dinámicos pueden estar compuestos por varias unidades organizativas.

1. Crea un grupo dinámico para cada escuela. Ve a Directorio > Grupos.
2. Selecciona Crear grupos dinámicos.
3. En la lógica de filtros, selecciona O si el grupo va a contener varias unidades organizacionales.
4. Configura el filtro con la información que te damos a continuación. Si hay una unidad organizacional para estudiantes y otra para docentes, necesitarás dos condiciones como se muestra abajo.

5. Marca la casilla Excluir personas usuarias suspendidas.
6. Para confirmar los correos, haz clic en Ver vista previa. Después, haz clic en Crear grupo dinámico.
7. Ingresa esta información:
   • Nombre del grupo: es el nombre que se enviará a Canva
   • Correo electrónico del grupo: debe ser igual que el nombre del grupo
8. Selecciona Guardar.

1. Inicia sesión en tu cuenta de Canva.
2. Selecciona el perfil de tu cuenta en la página de inicio para abrir el menú.
3. Selecciona
   Configuración.
4. En el menú lateral, selecciona la pestaña
   Inicio de sesión único (SSO) y aprovisionamiento.
5. En Inicio de sesión único (SSO), haz clic en Gestionar > Editar metadatos de IdP.
6. Introduce la información siguiente de GSuite (Google).
   1. URL del inicio de sesión o del SSO: pega la URL del SSO.
   2. ID de entidad o URL del emisor: pega tu ID de entidad.
   3. X.509 Certificado público: Pegue todo el contenido de su Certificado.
7. Haz clic en Save (Guardar) y Next (

1. Inicia sesión en la Consola del administrador.
2. Ve a Aplicaciones > Aplicaciones web y móviles.
3. Selecciona la aplicación de Canva.
4. Vaya a Configuración > Acceso de usuario.
5. Para activar Canva para todas las personas de tu distrito, selecciona Activado para todas las personas y haz clic en Guardar.
6. Para activar Canva para una unidad organizacional, selecciona la unidad organizacional y, a continuación, selecciona Activado.

Obtén más información sobre la configuración de unidades organizativas y grupos.

Hay dos formas sencillas de probar tu configuración de inicio de sesión único:

Si todavía estás en la página Configurar SSO, desplázate hasta la sección Probar tu conexión SSO y haz clic en Probar SSO. Si empiezas desde la página de inicio de Canva, sigue estos pasos:

1. Selecciona el perfil de tu cuenta en la página de inicio para abrir el menú.
2. Selecciona
   Configuración.
3. En el menú lateral, haz clic en la pestaña
   Inicio de sesión único (SSO) y aprovisionamiento.
4. En Inicio de sesión único (SSO) > Gestionar > Probar SSO.

Esto te permite comprobar rápidamente si todo funciona sin cerrar sesión.

1. Antes de cerrar la sesión, ve a la pestaña de
   inicio de sesión único (SSO) y aprovisionamiento.
2. Haz clic en Inicio de sesión único (SSO) > Gestionar > Configurar ajustes de SSO.
3. Establece la opción de inicio de sesión en Opcional para todos.
4. Cierra sesión en tu cuenta de Canva.
5. En la página de inicio de sesión, haz clic en Usar tu correo y, a continuación, selecciona Usar el SSO.

Asegúrate de hacer una prueba con una cuenta de estudiante y una de docente. Configuraste el SSO de forma correcta si ocurre lo siguiente:

• Has iniciado sesión como profesor y puedes ver la página de Personas.
• Has iniciado sesión como estudiante y no puedes ver la página Personas.

Elige cómo quieres que las personas inicien sesión. Recomendamos solicitar el SSO a todas las personas en tu dominio.

1. Selecciona el perfil de tu cuenta en la página de inicio para abrir el menú.
2. Selecciona Configuración.
3. Haz clic en Inicio de sesión único (SSO) > Gestionar > Configurar ajustes de SSO.
4. Selecciona Obligatorio para todo el mundo (captura de dominio).
5. Haz clic en Guardar cambios.