Configuración de SAML con Azure AD/ID de Entra (Canva para Educación)

Configura el inicio de sesión único (SSO) de tu equipo usando Azure Active Directory (AD)/ID de Entra de Microsoft.

1. En tu cuenta de administración de Azure AD o Entra ID, ve a Microsoft Entra ID en el menú del portal.
2. En Manage (Administrar), selecciona Enterprise applications (Aplicaciones empresariales)
3. Haz clic en Nueva aplicación.
4. En la barra de búsqueda, escribe Canva y selecciónala en la lista de resultados.

5. Haz clic en Create (Crear) para añadir la aplicación.

6. Selecciona Configurar inicio de sesión único.

7. Acepta y guarda la configuración del inicio de sesión único. El identificador y la Reply URL (URL de respuesta) se rellenan automáticamente mediante la app y no hace falta que las cambies.

8. Opcional: En la sección Attributes & Claims (Atributos y reclamaciones), los nombres de las reclamaciones se pueden actualizar por los que se indican más abajo para que sean más comprensibles.

9. Asegúrate de que tus atributos se han configurado de forma que coincidan totalmente con los nombres de la notificación, exactamente como se muestra a continuación. Ten en cuenta que no hace falta el atributo TeamID si se trata de un único centro educativo o de marcas de Canva para Educación cuyos datos no se están procesando.

• Un único centro educativo

• Implementaciones para más de un centro educativo cuyos datos no se están procesando

10. En la sección SAML Signing Certificate (Certificado de firma de SAML), haga clic en

11. Más abajo, en la sección Configurar Canva, copia la información que figura a continuación. Los necesitarás para completar la configuración en Canva.

• URL de inicio de sesión
• Identificador de Azure AD/ID de Entra

1. En Azure AD/ID de Entra, ve a Properties (Propiedades).
2. Configura los permisos de acceso a Canva. Elige una de las siguientes opciones:

• Para permitir que todas las personas usen Canva, cambia el campo User assignment required (Se requiere la asignación de personas usuarias) a No.
• Para permitir que solo algunas personas usen Canva, ve a Users and groups (Usuarios y grupos) y añade a las personas y grupos a los que quieres dar acceso a Canva.

Este paso nos ayudará a identificar quiénes son estudiantes y quiénes son docentes o parte del personal. Hay dos formas de hacerlo:

Si es posible distinguir los roles de las personas por el dominio de su correo, puedes configurar una regla que envíe el atributo de rol de docente si el dominio es @grupo.org y no @estudiante.grupo.org.

En este paso, asegúrate de que el nombre de tu notificación sea Rol y de que su campo Espacio para el nombre esté en blanco.

Si es posible distinguir los roles de cada persona por los grupos a los que pertenecen, podrás configurar una regla que mande el atributo de rol Docente a quienes haya en grupos de personal en Azure/ID de Entra. Puedes hacerlo en la sección Attributes & Claims (Atributos y notificaciones) añadiendo una notificación.

En este paso, asegúrate de que el nombre de tu notificación sea Rol y de que su campo Espacio para el nombre esté en blanco.

Para obtener más información, consulta el artículo de Microsoft Personalización de las notificaciones de token de SAML.

En el caso de las zonas educativas con implementación en múltiples centros, tendrás que transferir los datos de tu grupo a Canva para que podamos identificar a qué centro deberíamos asignar cada persona.

Hay diferentes formas de hacerlo. Elige la opción que más se ajuste a tus necesidades:

Si usas ClassLink, puedes enviarnos los datos de tu grupo a través de RosterSync. Para descubrir cómo hacerlo, consulta Aprovisionamiento con OneRoster.

Hay varias formas de hacerlo:

Si tienes un atributo en tu app de SAML con el nombre del centro educativo, el ID del centro o cualquier otro identificador único relacionado con el centro, puedes usarlo como atributo TeamId para enviar información sobre el centro al que pertenece cada persona.

1. En la app de Canva, en Azure/ID de Entra, selecciona Single Sign-on (Inicio de sesión único).
2. Edita los valores de Attributes & Claims (Atributos y notificaciones).
3. Añade una notificación con el nombre TeamId (ID del equipo).
4. En el caso de Source attribute (Atributo fuente), selecciona el atributo que envía el identificador único del centro educativo.

Después, comparte con Canva un archivo CSV que contenga el nombre de cada centro educativo y el valor correspondiente de TeamId que se enviará en la notificación.

También puedes crear una nueva notificación y usar las condiciones para enviar valores del atributo TeamId en función de los grupos o de otros atributos.

Puedes hacerlo creando de forma manual un conjunto de condiciones que le indiquen a tu app de SAML el valor de atributo que tiene que enviar para cada persona en función del grupo al que pertenecen.

Por ejemplo, si hay estudiantes del centro de educación primaria Harmony en “Estudiantes de Harmony” y el personal pertenece a “Personal de Harmony”, puedes usar las condiciones de las notificaciones para indicarle a la app de SAML que envíe “Harmony” como “TeamId” de ambos grupos.

1. En la app de Canva, en Azure/ID de Entra, selecciona Single Sign-on (Inicio de sesión único).
2. Edita los valores de Attributes & Claims (Atributos y notificaciones).
3. Añade una notificación con el nombre TeamId (ID del equipo).
4. Selecciona Claim conditions (Condiciones de las notificaciones).
5. Por cada conjunto de grupos que forman un centro educativo, selecciona Members (Integrantes) como tipo de persona usuaria y, después, selecciona el grupo.
6. Selecciona Attribute (Atributo) e introduce el valor que quieres que sea el único identificador del centro educativo.

Después, comparte con Canva un archivo CSV que contenga el nombre de cada centro educativo y el valor correspondiente de TeamId que se enviará en la notificación.

También puedes crear una notificación de grupo en tu app de SAML para enviar el nombre del grupo como un valor de notificación. Para que puedas hacerlo, debe haber un grupo para cada centro educativo en tu app de SAML. Cada grupo tiene que incluir a todas las personas del centro educativo (estudiantes y personal). Además, estos grupos escolares tienen que ser los únicos grupos que se envíen como parte de la notificación.

1. la app de Canva en Azure/ID de Entra, selecciona Single Sign-on (Inicio de sesión único).
2. Edita los Attributes & Claims (Atributos y notificaciones).
3. Añade una notificación de grupo con el nombre TeamId (ID del equipo).
4. Siga las instrucciones sobre cómo configurar las reclamaciones de grupo para las aplicaciones a través de Azure Active Directory.

Después, comparte con Canva un archivo CSV que contenga el nombre de cada centro educativo y el valor correspondiente de TeamId que se enviará en la notificación.

1. Inicia sesión en tu cuenta de Canva.
2. Accede a tu avatar de perfil y selecciona
   Configuración.
3. En el menú lateral, selecciona
   SSO y aprovisionamiento.
4. Selecciona Inicio de sesión único (SSO), Gestionar y Editar metadatos de IdP.
5. En el campo URL de inicio de sesión o de inicio de sesión, pega tu URL de inicio de sesión.
6. En el campo ID de entidad o URL del emisor, pega tu Azure AD/Identificador de Entra ID.
7. En el campo Certificado público X.509, pega todo el contenido de tu Certificado de firma SAML, codificado en Base64.
8. Haz clic en Save (Guardar) y Next (

Hay dos formas sencillas de probar tu configuración:

1. Ve a tu avatar de perfil y, a continuación, a
   Ajustes.
2. En el menú lateral, selecciona
   SSO y aprovisionamiento.
3. En Inicio de sesión único (SSO), selecciona Gestionar y, a continuación, Prueba SSO.

1. Vaya a
   SSO y aprovisionamiento.
2. Seleccione Inicio de sesión único (SSO), a continuación, Gestionar y, a continuación, Configurar los ajustes de SSO.
3. Establezca la opción de configuración de SSO en Opcional para todos.
4. Cierra sesión en tu cuenta de Canva.
5. En la página de inicio de sesión, selecciona Usar tu correo y, después, Usar el SSO.

Asegúrate de hacer una prueba con una cuenta de estudiante y una de docente. Has logrado configurar el SSO si ocurre lo siguiente:

• Has iniciado sesión como profesor y puedes ver la página de Personas.
• Has iniciado sesión como estudiante y no puedes ver la página Personas.

Elige cómo quieres que las personas inicien sesión. Recomendamos solicitar el inicio de sesión único (SSO) para todas las personas en tu dominio.

1. En la página de inicio, ve a tu avatar de perfil y, a continuación, selecciona
   Configuración.
2. En el menú lateral, selecciona
   SSO y aprovisionamiento.
3. Seleccione Inicio de sesión único (SSO), a continuación, Gestionar y, a continuación, Configurar los ajustes de SSO.
4. Establezca la configuración de SSO en Obligatorio para todo el mundo (captura de dominio)
5. Haz clic en Guardar conexión.