Configura el inicio de sesión único (SSO) y el aprovisionamiento de Canva Universidades

Canva Universidades es la solución de Canva para educación superior que se implementa en todo el campus. Tu equipo de TI gestiona de forma centralizada el aprovisionamiento y la autenticación de las personas usuarias a través de una única organización de Canva.

Esta guía cubre:

• Configuración de inicio de sesión único (SSO)
• Aprovisionamiento de usuarios
• Integración con sistema de gestión del aprendizaje (LMS) y resolución de problemas para administradores de TI.

En la esquina inferior izquierda de Canva, selecciona tus iniciales.

• Asegúrate de estar en tu equipo de Universidades (no en una cuenta personal o Pro).
• Ve a
  Configuración.
• En el menú de la izquierda, selecciona Configuración de la organización y, a continuación, inicio de sesión único (SSO) y aprovisionamiento.

• Si no ves esta opción, ponte en contacto con tu contacto de Canva.

A continuación, selecciona Empezar y confirma los permisos y el acceso a las herramientas de configuración. Para continuar, selecciona Ir a la configuración del inicio de sesión único (SSO) .

1. En Verificar los dominios con los que quieres usar el inicio de sesión único (SSO), selecciona Añadir un dominio.
2. Introduce tu(s) dominio(s) y luego selecciona Enviar.
3. Copia el token de registro TXT que se muestra.
4. En tu proveedor de dominio (por ejemplo, GoDaddy, Namecheap):
   • Ve a Configuración de DNS.
   • Añade un registro TXT con el token.
   • Guarda los cambios.
5. La verificación tarda entre 24 y 72 horas. Recibirás un correo electrónico una vez que tu dominio esté verificado.
   • Para comprobar el estado, usa mxtoolbox.com.

Selecciona tu proveedor de identidad a continuación para consultar una guía sobre cómo añadir Canva. Tenemos guías para los siguientes proveedores de identidad, pero siempre que tu proveedor de identidad sea compatible con SAML 2.0, podrás usarlo.

• Configuración de SAML para Azure AD/ Entra ID (para Canva Enterprise)
• Configuración de ADFS SAML
• Configuración de SAML de Okta
• Configuración de SAML de G Suite (Google)
• Configuración de SAML de Duo Security
• Configuración de SAML de OneLogin
• Configuración de SAML para Salesforce

Si el tuyo no está en la lista, usa:

• URL de ACS/URL de respuesta: https://www.canva.com/login/saml
• ID/identificador de la entidad: https://www.canva.com
• Atributos de SAML: NameID, Email, FirstName, LastName, TeamId (obligatorios para la configuración de Universidades con estudiantes)*
• Texto de metadatos (si es necesario)

Asegúrate de que tu aserción SAML incluya una firma. Verifica tu configuración para verificar.

• Propósito: Distingue y asigna la licencia correcta a estudiantes y no a empleados.
• Requisito: Al menos dos valores únicos (por ejemplo, estudiantes, personal).
• Se puede asignar a partir de grupos o atributos de IdP existentes.
• Con Shibboleth, Canva es compatible con el esquema eduPersonAffiliation para TeamId (ponte en contacto con el equipo de Ayuda o con un representante de cuenta de Canva para habilitarlo).

En Canva:

Ve a

La configuración de TeamId es fundamental para otorgar licencias premium a los grupos de usuarios correctos (sobre todo para gestionar las licencias de estudiantes).

Las instituciones que usan Entra ID (Microsoft 365) deben ir a la aplicación de Canva Enterprise. Selecciona Inicio de sesión único, Atributos y notificaciones y, por último, Editar para configurar la notificación TeamId.

Tanto "TeamId" como "TeamID" se aceptan como nombres de reclamación. Para la mayoría de las implementaciones en campus, la opción 1 (Reclamación de grupo) es la mejor práctica recomendada. La opción 2 es una buena alternativa si ya existe un atributo de usuario adecuado en tu directorio.

Crea un grupo de seguridad de Entra exclusivo para cada equipo de Canva. El nombre visible del grupo se envía como el valor TeamId, y Canva enruta a los usuarios en consecuencia. Este es el enfoque más limpio y fácil de mantener.

1. En Atributos y reclamaciones, seleccione Añadir una reclamación de grupo.
2. Asigne el nombre TeamId a la reclamación.
3. Configure el envío de nombres para mostrar de grupo.

Importante: Los grupos incluidos en este reclamo deben coincidir exactamente con los valores de Canva TeamId, y no se debe enviar ningún otro grupo como parte del mismo reclamo.

Una buena opción si tu directorio ya tiene un atributo que distingue de forma fiable al personal de los estudiantes (por ejemplo, tipo de empleado, departamento o un atributo de extensión).

1. En Atributo & Declaraciones, seleccione Agregar nueva declaración.
2. Asigne a la declaración el nombre TeamId.
3. Establezca Origen en Atributo y seleccione el atributo de directorio relevante.
4. Asegúrese de que los valores de atributo coincidan con los valores de TeamId que haya configurado en Canva para cada equipo.

Nota: Si bien este enfoque puede funcionar, las condiciones para reclamar el ID de Entra tienen limitaciones y peculiaridades conocidas (por ejemplo, comportamiento de pedido de condiciones, casos límite con pertenencias a grupos que se superponen). Las opciones 1 y 2 suelen ser más fiables para implementaciones en universidades.

Si continúas, especifica manualmente qué valor de TeamId quieres enviar en función de la pertenencia al grupo de Entra.

1. En Atributos y Reclamaciones, selecciona Agregar nueva reclamación.
2. Nombra la reclamación como TeamId.
3. Selecciona Condiciones de la reclamación.
4. Para cada grupo (personal, estudiantes), establece el tipo de usuario en Miembros, selecciona los grupos de Entra relevantes e introduce el valor TeamId correspondiente (p. ej., "personal" o "estudiantes").
5. Guarda la reclamación.

Utilízalo si el personal y tus estudiantes tienen dominios de correo diferentes (por ejemplo, @personal.universidad.edu o @estudiante.universidad.edu). Se extrae el dominio de correo electrónico y se usa como valor de TeamId.

1. En Atributo y Reclamaciones, seleccione Agregar nueva reclamación.
2. Asigne a la reclamación el nombre TeamId.
3. Establezca el Origen en Transformación.
4. Aplicar la transformación Extract con la opción After matching on en @, utilizando user.userPrincipalName o user.mail como origen.

Asegúrate de que los valores de TeamId establecidos en Canva coinciden con las cadenas del dominio extraídas.

En las instituciones que usan Okta, TeamId se configura como un atributo SAML. Antes de continuar, asegúrate de que la aplicación Canva Okta esté configurada, que los grupos de Okta estén asignados a la aplicación de Canva y que la configuración de SAML esté configurada en Canva. Para obtener instrucciones completas sobre la configuración, consulta la Guía de configuración de SAML de Okta en el Centro de Ayuda de Canva.

Crea grupos de Okta cuyos nombres para mostrar coincidan con los valores de tu TeamId de Canva (por ejemplo, un grupo llamado "campus-staff" se asigna a TeamId "campus-staff"). Okta filtra y envía el nombre del grupo coincidente como el valor TeamId al iniciar sesión.

1. En Okta, ve a Directorio, luego selecciona Grupos y crea grupos utilizando una convención de nomenclatura coherente (p. ej., todos los grupos de Universidades empiezan por "campus-").
2. Ve a Aplicaciones, luego selecciona Canva. Ve a General, luego a Configuración de SAML y selecciona editar. Selecciona Siguiente hasta que llegues a la pantalla Configurar SAML.
3. En Declaraciones de Atributos de Grupo, añade:
   1. Nombre: TeamId
   2. Filtro: Empieza por, luego introduce tu prefijo de convención de nomenclatura (p. ej., "campus-")
4. Guarda. Okta enviará el nombre de grupo coincidente como valor de TeamId.

Usa esta opción si no puedes usar una convención de nomenclatura o si necesitas mapear grupos específicos por su ID de Okta.

1. Para cada grupo, ábrelo en Okta y registra el ID de grupo de la URL (la cadena alfanumérica después de la última /).
2. Navega a Aplicaciones, luego selecciona Canva. Ve a General, luego selecciona Configuración de SAML, y selecciona editar. Selecciona Siguiente.
3. En Declaraciones de Atributo (no Declaraciones de Atributo de Grupo), agrega:
   1. Nombre: TeamId
   2. Valor: Arrays.toCsvString(getFilteredGroups({"",""},"group.name",50))
   3. Reemplaza <group_id_1> y <group_id_2> con los ID de grupo del Paso 1.

4. Seleccione Siguiente, luego acabado.

Google Workspace no admite notificaciones SAML condicionales basadas en grupos como Entra ID, pero hay dos formas sencillas de rellenar TeamId para tu implementación universitaria.

Opción 1: Usa un atributo de directorio existente (o personalizado)

Es mejor si ya haces un seguimiento de un valor que distingue al personal de los estudiantes, o si estás dispuesto a añadir uno.

1. En Google Admin, ve al perfil de una persona usuaria y busca (o añade) un atributo personalizado como, por ejemplo, un campo Centro de costes en un esquema personalizado “Información sobre el personal” (junto con campos como el ID de empleado, el título, el departamento, el ID del edificio, etc. ).
2. Rellena ese campo con un valor que identifique el grupo del usuario. Por ejemplo, establece el Centro de costes en estudiante para las cuentas de estudiantes y en empleado para las cuentas de personal. Cualquier atributo existente que ya distinga a las dos poblaciones funciona igual de bien; El centro de costes es solo un campo conveniente si no cabe nada más.
3. En Google Admin, ve a Aplicaciones > Web y apps para móviles > Canva > Mapeo de atributos.
4. En Atributos, selecciona Añadir asignación, selecciona el campo del directorio (por ejemplo, Detalles del empleado > Centro de costes) a la izquierda y escribe TeamId como el atributo de la aplicación a la derecha.
5. Guarda. Ahora, Google enviará el valor de ese campo como el atributo TeamId en cada aserción SAML.

Opción 2: usar Grupos de Google

Es mejor si prefieres administrar esto por membresía que por campo por usuario.

1. En Google Admin, crea dos grupos: uno para el personal (p. ej., "Empleados") y otro para estudiantes (p. ej., "Estudiantes") y añade a los usuarios relevantes a cada uno.
2. En la misma app SAML de Canva (Aplicaciones > Web y apps para dispositivos móviles > Canva > Mapeo de atributos), desplázate hasta Pertenencia al grupo (opcional).
3. Añade ambos grupos y establece el atributo App en TeamId.
4. Guarda. Google enviará el nombre del grupo que coincida como el valor de TeamId para cada usuario.

De cualquier manera: los valores que envíes (por ejemplo, “estudiante”/”empleado” o los nombres de tus grupos) deben coincidir exactamente con los valores de TeamId configurados en los equipos correspondientes en Configuración de la organización de Canva > Equipos.

Recógelos de tu proveedor de identidad:

• Punto de conexión SAML 2.0 (HTTP) (URL de inicio de sesión único (SSO))
• Emisor del proveedor de identidad (ID de entidad)
• Certificado público (x.509, codificado en Base64)

Introdúcelos en la página de configuración de inicio de sesión único (SSO) de Canva.

1. En Canva, ve a la configuración de la cuenta. Luego, selecciona Inicio de sesión único (SSO) y aprovisionamiento.
2. En Selecciona quién debe usar el inicio de sesión único (SSO), elige Inicio de sesión único (SSO) opcional para todos.
3. Cierra sesión y, en la página de inicio de sesión, selecciona Usar inicio de sesión único (SSO).
4. Prueba con:
   • Una cuenta de Estudiante
   • Una cuenta de empleado (si ambas están configuradas)

También puedes usar el botón Probar inicio de sesión único (SSO) en la página de configuración.

Opciones:

• Solo para los integrantes de tu equipo (recomendado para la mayoría de las universidades)
  • Permite que exalumnos u otras personas ajenas a tu equipo sigan usando Canva.
• Obligatorio para todo el mundo (captura de dominio)
  • La experiencia de inicio de sesión más limpia Todas las personas de tu dominio verificado deben iniciar sesión mediante inicio de sesión único (SSO). Recomendado para implementaciones universitarias completas.

Consulta Configurar los controles de inicio de sesión y registro por inicio de sesión único (SSO) para obtener más información.

Con el inicio de sesión único (SSO) habilitado (opcional u obligatorio), las personas usuarias deben iniciar sesión con SSO para unirse a los equipos de Universidades.

Pide al equipo de Ayuda de Canva o a un representante de Canva un enlace de inicio de sesión único (SSO) personalizado.

Puede que gran parte del personal docente ya tenga una cuenta personal de Canva vinculada a su dirección de correo del trabajo. Cuando el SSO esté habilitado, la primera vez que inicien sesión con SSO, se les pedirá a estas personas usuarias que vinculen su cuenta.

• Las personas usuarias deben completar la vinculación de las cuentas para que se puedan gestionar por completo mediante SCIM o mediante políticas de aprovisionamiento. Te recomendamos que avises al personal antes de la publicación para que sepa que puede esperar este mensaje.
• Si una persona tiene una cuenta de correo electrónico personal y otra de trabajo de Canva, se le pedirá que elija cuál vincular. Los diseños de cuentas desvinculadas no se pierden; se pueden copiar manualmente, pero las cuentas no se pueden fusionar.
• Las personas usuarias que se salten la vinculación o tengan un error al hacerlo pueden volver a ella más tarde a través de Configuración. Selecciona Inicio de sesión y seguridad y, a continuación, Vincula tu cuenta de SSO.

El aprovisionamiento de personas usuarias controla cómo se añade el personal y los estudiantes a sus respectivos Canva Equipos y cómo se eliminan cuando se van. Se admiten tres opciones. El inicio de sesión único (SSO) debe estar completamente configurado antes de activar cualquier método de aprovisionamiento.

Cómo funciona: tu proveedor de identidad envía grupos de usuarios a Canva a través de la API de SCIM. El motor de políticas de aprovisionamiento de Canva lee las pertenencias a esos grupos y coloca automáticamente a las personas usuarias en el equipo correcto (docentes o estudiantes) y en los subgrupos relevantes. Cuando se quita a una persona de un grupo de tu proveedor de identidad, se le da de baja automáticamente de Canva.

IdP compatibles: Microsoft Entra ID, Okta, PingFederate, PingOne.

Nota: Google Workspace no es compatible con el envío a grupos de SCIM. Usa las opciones 2 o 3.

Las políticas de aprovisionamiento de SCIM son una función opcional que Canva debe habilitar. Para solicitar acceso, ponte en contacto con el equipo de Ayuda

1. Habilitar SCIM en Canva: Ve a Configuración. Selecciona Inicio de sesión único (SSO) y Aprovisionamiento y, a continuación, selecciona Configurar aprovisionamiento. Activa Habilitar el aprovisionamiento SCIM y copia el token de la API de SCIM.

Toma nota del endpoint SCIM: https://www.canva.com/_scim/v2. Ponte en contacto con tu representante de Canva para habilitar las Políticas de aprovisionamiento SCIM para tu organización antes de continuar.

2. Configura SCIM en tu proveedor de identidad: Introduce el punto final SCIM y el token de la API en la configuración de aprovisionamiento de tu proveedor de identidad. Consulta las guías específicas del proveedor de identidad para Entra ID y Okta en el Centro de Ayuda de Canva.

3. Enviar grupos desde tu proveedor de identidad: Asigne los grupos que desea sincronizar a Canva (p. ej. canva-staff, canva-estudiantes).

4. Crear políticas de aprovisionamiento en Canva: Ve a Configuración. Selecciona Seguridad y luego Políticas de aprovisionamiento. Selecciona Crear política. Asígnale un nombre, selecciona el grupo de proveedor de identidad como condición, selecciona el Canva Equipos de destino y elige el Comportamiento de sincronización de grupos (crear un grupo nuevo o sincronizar con un grupo de Canva existente; los nombres deben coincidir exactamente). Como mínimo, crea dos políticas: una que asigne tu grupo de personal al equipo de personal y otra que asigne tu grupo de Estudiantes al equipo de Estudiantes.

Comportamientos clave:

• Retiro del aprovisionamiento: cuando se quita a una persona usuaria de un grupo de proveedor de identidad, se la quita automáticamente de su equipo de Canva y se bloquea su cuenta.
• Restaurando el acceso: si vuelves a añadir a la persona usuaria al proveedor de identidad SCIM, se volverá a aprovisionar automáticamente.
• Al eliminar una política, se eliminan todas las pertenencias a equipos/grupos de Canva a las que se aplica esa política. Usar con precaución.
• Los grupos creados mediante políticas de aprovisionamiento están bloqueados; No se pueden añadir ni quitar integrantes de Canva manualmente. El proveedor de identidad es la fuente de la verdad.
• Las personas usuarias de Canva deben completar la vinculación de cuentas inicio de sesión único (SSO) para que SCIM pueda gestionarlas por completo. Pide a las personas usuarias que inicien sesión mediante inicio de sesión único (SSO) antes de activar SCIM.
• SCIM no envía correos electrónicos de bienvenida cuando hay estudiantes en el equipo de estudiantes.
• Las políticas de aprovisionamiento solo controlan la asignación de equipos y grupos, no los roles. La asignación de funciones debe realizarse mediante la asignación de funciones SAML o configurarse manualmente.

Cómo funciona: la institución envía a Canva una lista de usuarios para que los aprovisione por adelantado. Canva sube a estas personas usuarias a los equipos correctos.

Ideal para: Instituciones cuyo proveedor de identidad (por ejemplo, Google Workspace) no es compatible con Group push SCIM, o para la creación inicial de equipos al comienzo de un semestre.

¿Cómo solicitar una subida de CSV:

1. Prepara una hoja de cálculo con las siguientes columnas: dirección de correo electrónico, asignación de equipo.
2. Envía el Archivo a tu representante de Canva o ponte en contacto con la Ayuda de Canva.
3. Canva procesará la subida y confirmará cuando esté completa.
4. El primer inicio de sesión de los usuarios debe ser a través del inicio de sesión único (SSO).

Nota: la subida de archivos CSV no está automatizada. Para las transiciones semestrales o los cambios de personal, se debe enviar un nuevo CSV a nuestro equipo de Ayuda. A los usuarios de Canva incluidos en el CSV se les pedirá que vinculen su cuenta existente la primera vez que inicien sesión mediante inicio de sesión único (SSO).

Cómo funciona: no hay usuarios precargados. Cuando una persona usuaria se autentica mediante inicio de sesión único (SSO) por primera vez, Canva lee sus atributos SAML, en concreto TeamId y, opcionalmente, rol, y la añade automáticamente al equipo correcto. Cada inicio de sesión posterior mantiene sincronizada la pertenencia a su equipo.

Importante: Si JIT es tu método de aprovisionamiento principal, Canva te recomienda encarecidamente que habilites la captura de dominio (obligatorio para todo el mundo) como tu control de inicio de sesión único (SSO). Sin la función de captura de dominio, las personas usuarias de tu dominio pueden omitir el inicio de sesión único (SSO), lo que significa que es posible que JIT no llegue a todas las personas usuarias y que el proceso de baja del dominio se deba gestionar manualmente.

Cómo funciona JIT:

1. El usuario navega a Canva y se autentica a través de su proveedor de identidad.
2. Canva lee el valor de TeamId en la aserción SAML.
3. El usuario se añade automáticamente al Canva Equipos cuyo TeamId coincide.
4. Si un Atributo de rol está presente, se asigna al usuario el rol correspondiente (diseñador para el personal, integrante para Estudiante).
5. En inicios de sesión posteriores, Canva revalida la pertenencia al equipo frente a la aserción SAML.

• Sin aprovisionamiento previo: los usuarios solo aparecen en Canva después de su primer inicio de sesión SSO. Las comunicaciones en lote o las plantillas compartidas no pueden dirigirse a usuarios que aún no hayan iniciado sesión.
• No se da de baja automáticamente: si quitas a una persona de tu proveedor de identidad, no la quitas de Canva. Puedes dar de baja el aprovisionamiento manualmente o a través de otra configuración de SCIM.
• No desactives JIT a menos que SCIM esté en pleno funcionamiento y configurado para gestionar todo el aprovisionamiento.

Canva para Universidades es compatible con LTI (interoperabilidad de herramientas de aprendizaje), lo que permite al personal docente insertar tareas de Canva en tu sistema de gestión del aprendizaje (LMS) y a los estudiantes enviar diseños de Canva como trabajo de clase.

El inicio de sesión único (SSO) debe estar configurado por completo antes de configurar LTI. Para obtener instrucciones de configuración específicas de la plataforma, consulta las guías de integración de sistema de gestión del aprendizaje (LMS).

El dominio de correo electrónico de la persona usuaria no está verificado en la configuración de inicio de sesión único (SSO) de Canva o no ha vinculado su cuenta de Canva al inicio de sesión único (SSO).

Confirma que el dominio de correo electrónico del usuario coincida con un dominio verificado en la configuración de inicio de sesión único (SSO) de Canva. Si tienen una cuenta de Canva preexistente, es posible que necesiten completar la vinculación de la cuenta; indícales que vayan a Configuración, luego a Inicio de sesión y seguridad, y seleccionen Vincular tu cuenta de SSO.

Para obtener orientación específica sobre errores, consulta Solución de problemas de errores de inicio de sesión único (SSO)en el Centro de Ayuda de Canva.

El valor TeamId enviado por tu proveedor de identidad no coincide exactamente con el TeamId configurado en Canva. Los valores de TeamId distinguen entre mayúsculas y minúsculas.

Compruebe que el valor de TeamId enviado por su proveedor de identidad coincide con el TeamId establecido en Canva (vaya a

Es posible que las políticas de aprovisionamiento no estén configuradas o habilitadas para tu organización, que el token de la API de SCIM ya no sea válido o que las personas usuarias de Canva no hayan completado su primer inicio de sesión único (SSO).

• Comprueba que las directivas de aprovisionamiento estén configuradas para asignar tus grupos de proveedores de identidad a los Canva Equipos correctos.
• Confirma que tu representante de Canva haya habilitado las directivas de aprovisionamiento para tu organización.
• Comprueba que el token de la API SCIM en tu proveedor de identidad esté actualizado, especialmente si SCIM se ha activado o desactivado recientemente.
• Si los usuarios afectados tienen cuentas de Canva preexistentes, pídeles que inicien sesión mediante el inicio de sesión único (SSO) una vez y, a continuación, vuelve a intentar la sincronización.

No se ha vuelto a aprovisionar a la persona usuaria a través de tu proveedor de identidad o la sincronización de SCIM no se ha completado.

Vuelve a añadir al usuario en tu proveedor de identidad y permite que SCIM se sincronice. Si el problema persiste, contacta con la Ayuda de Canva.

El estudiante no se ha asignado al equipo de estudiantes de la institución o está iniciando sesión con una cuenta personal de Canva en lugar de iniciar sesión mediante el inicio de sesión único (SSO).

Confirme que el equipo de Estudiante ha sido aprovisionado por Canva y que los Estudiantes están iniciando sesión mediante el inicio de sesión único (SSO). Los Estudiantes deben ser integrantes del equipo de Estudiante de la institución para acceder a las funciones premium; iniciar sesión con una cuenta personal no otorgará acceso.

¿El personal y los estudiantes pueden compartir contenido?

El personal y los estudiantes pertenecen a distintos Canva Equipos y no pueden compartir contenido directamente. Sin embargo, los enlaces de colaboración pueden usarse entre estudiantes y personal docente. El personal docente también puede compartir plantillas y tareas de Canva con sus estudiantes mediante la integración con tu sistema de gestión del aprendizaje (LMS).

¿Los exalumnos pueden conservar su acceso a Canva después de graduarse?

Con el inicio de sesión único (SSO) configurado en Solo para los integrantes de tu equipo, los usuarios eliminados de tus Canva Equipos pierden el acceso a las funciones para Universidades, pero conservan cualquier cuenta personal de Canva. Con Obligatorio para todos (captura de dominio), el acceso está vinculado a tu proveedor de identidad; los usuarios a quienes se les revoque el acceso al proveedor de identidad perderán el acceso a Canva en su dominio institucional.

Los estudiantes que quieran conservar sus diseños deberían tomar medidas para copiar o transferir su contenido antes de graduarse o abandonar la institución. Consulta Copiar diseños antes de graduarlos para obtener instrucciones detalladas.