Configura el SSO y el aprovisionamiento de Canva Universidades

Canva Universidades es la solución para educación superior de Canva que se implementa en todo el campus. Tu equipo de TI gestiona el aprovisionamiento y la autenticación de las personas usuarias de forma centralizada a través de una sola organización de Canva.

Esta guía abarca lo siguiente:

• Configuración de SSO
• Aprovisionamiento de usuarios
• Integración con un sistema de gestión del aprendizaje (LMS) y solución de problemas para administradores de TI.

En la esquina inferior izquierda de Canva, selecciona tus iniciales.

• Asegúrate de formar parte de tu equipo de la universidad (no de una cuenta personal o Pro).
• Accede a
  Configuración.
• En el menú de la izquierda, selecciona Configuración de la organización y, luego, SSO y aprovisionamiento.

• Si no ves esta opción, comunícate con tu contacto de Canva.

Luego, selecciona “Empezar”y confirma los permisos y el acceso a las herramientas de configuración. Para continuar, selecciona Ir a la configuración del SSO .

1. En Verificar los dominios que quieres usar con SSO, selecciona Añadir un dominio.
2. Ingresa tus dominio(s), luego selecciona Enviar.
3. Copia el token de registro TXT mostrado.
4. En tu proveedor de dominio (p. ej., GoDaddy, Namecheap):
   • Ve a configuración de DNS.
   • Añade un registro TXT con el token.
   • Guarda los cambios.
5. La verificación tarda de 24 a 72 horas. Recibirás un correo electrónico una vez que tu dominio esté verificado.
   • Para comprobar el estado, usa mxtoolbox.com.

Selecciona tu proveedor de identidad a continuación para ver una guía sobre cómo agregar Canva. Tenemos guías para los siguientes proveedores de identidad, pero puedes usarlo siempre que tu proveedor de identidad sea compatible con SAML 2.0.

• Configuración de SAML para Azure AD/ Entra ID (para Canva Empresas)
• Configuración de ADFS SAML
• Configuración de SAML de Okta
• Configuración de SAML de G Suite (Google)
• Configuración de SAML de Duo Security
• Configuración de SAML de OneLogin
• Configuración de SAML para Salesforce

Si el tuyo no está en la lista, usa lo siguiente:

• URL ACS/URL de respuesta: https://www.canva.com/login/saml
• ID/identificador de la entidad: https://www.canva.com
• Atributos de SAML: NameID, Correo, FirstName, LastName, TeamId (obligatorios para configurar las Universidades con estudiantes)*
• Texto de metadatos (si es necesario)

Asegúrate de que tu aserción SAML incluya una firma. Verifica tu configuración para realizar la verificación.

• Propósito: distingue y asigna la licencia correcta a los estudiantes y al personal.
• Requisito: Al menos dos valores únicos (p. ej., estudiantes, personal).
• Se puede mapear a partir de grupos o atributos de proveedores de identidad existentes.
• Con Shibboleth, Canva es compatible con el esquema eduPersonAffiliation para TeamId (para habilitarlo, ponte en contacto con el equipo de Soporte o un representante de cuenta de Canva).

En Canva:

Accede a

La configuración de TeamId es fundamental para otorgar licencias prémium a los grupos de usuarios correctos (sobre todo para gestionar las licencias de estudiantes).

Las instituciones que usan Entra ID (Microsoft 365) deben acceder a la aplicación de Canva Empresas. Para configurar el reclamo TeamId, selecciona Inicio de sesión único, Atributos y reclamos y, por último, Editar.

Se aceptan tanto "TeamId" como "TeamID" como nombre de reclamo. Para la mayoría de las implementaciones en campus, la opción 1 (Reclamación de grupo) es la mejor práctica recomendada. La opción 2 es una buena alternativa si ya existe un atributo de usuario adecuado en tu directorio.

Crea un grupo de seguridad de Entra exclusivo para cada equipo de Canva. El nombre para mostrar del grupo se envía como el valor TeamId, y Canva enruta a los usuarios en consecuencia. Este es el enfoque más limpio y fácil de mantener.

1. En Atributos & Reclamaciones, seleccione Agregar una reclamación de grupo.
2. Nombre la reclamación como TeamId.
3. Configure para que se envíen los nombres para mostrar del grupo.

Importante: Los grupos incluidos en este reclamo deben coincidir exactamente con los valores de Canva TeamId, y no se deben enviar otros grupos como parte del mismo reclamo.

Es una buena opción si tu directorio ya tiene un atributo que distingue de forma fiable al personal de los estudiantes (p. ej., empleadoEmpleado, departamento o un atributo de extensión).

1. En Atributos y reclamos, selecciona Agregar nuevo reclamo.
2. Nombra el reclamo como TeamId.
3. Establece el origen en Atributo y selecciona el atributo de directorio relevante.
4. Asegúrate de que los valores de los atributos coincidan con los valores de TeamId que hayas configurado en Canva para cada equipo.

Nota: Si bien este enfoque puede funcionar, las condiciones de reclamo de Entra ID tienen limitaciones y peculiaridades conocidas (por ejemplo, comportamiento de pedido de condiciones, casos límite con membresías de grupos superpuestas). Las opciones 1 y 2 suelen ser más fiables para las implementaciones en universidades.

Si continúas, especifica de forma manual qué valor de TeamId quieres enviar en función de la pertenencia al grupo de Entra.

1. En Atributos y Reclamaciones, selecciona Agregar nueva reclamación.
2. Nombra la reclamación TeamId.
3. Selecciona Condiciones de reclamación.
4. Para cada grupo (personal, estudiantes), establece Tipo de usuario en Miembros, selecciona los grupos Entra relevantes e participa el valor TeamId correspondiente (ej., "personal" o "estudiantes").
5. Guarda la reclamación.

Utilízalo si tu personal y tus estudiantes tienen dominios de correo diferentes (p. ej., @personal.universidad.edu o @estudiante.universidad.edu). Esto extrae el dominio de correo electrónico y lo usa como el valor de TeamId.

1. En Atributos y Reclamaciones, seleccione Agregar nueva reclamación.
2. Asigne a la reclamación el nombre TeamId.
3. Establezca Origen en Transformación.
4. Aplique la transformación Extraer, haciendo coincidir después de '@', usando user.userPrincipalName o user.mail como origen.

Asegúrate de que los valores de TeamId establecidos en Canva coincidan con las cadenas de dominio extraídas.

Para las instituciones que usan Okta, TeamId se configura como un atributo de SAML. Antes de continuar, asegúrate de que la aplicación Canva Okta esté configurada, que los grupos de Okta estén asignados a la aplicación de Canva y que la configuración de SAML esté configurada en Canva. Para obtener instrucciones de configuración completas, consulta la guía de configuración de SAML de Okta en el Centro de Ayuda de Canva.

Crea grupos de Okta cuyos nombres para mostrar coincidan con tus valores de TeamId de Canva (p. ej., un grupo llamado “personal-universitario” se asigna a TeamId “personal-universitario”). Okta filtra y envía el nombre del grupo que coincida como el valor TeamId al iniciar sesión.

1. En Okta, ve a Directorio, luego selecciona Grupos y crea grupos usando una convención de nombres consistente (por ejemplo, todos los grupos de Universidades comienzan con "campus-").
2. Navega a Aplicaciones, luego selecciona Canva. Ve a General, luego a Configuración SAML, y selecciona editar. Selecciona Siguiente hasta que llegues a la pantalla de Configurar SAML.
3. En Declaraciones de Atributos de Grupo, añade:
   1. Nombre: TeamId
   2. Filtro: Empieza con, luego introduce tu prefijo de convención de nombres (por ejemplo, "campus-")
4. Guardar. Okta enviará el nombre del grupo coincidente como el valor de TeamId.

Usa esta opción si no puedes usar una convención de nomenclatura o si necesitas mapear grupos específicos por su ID de Okta.

1. Para cada grupo, ábrelo en Okta y registra el ID del grupo de la URL (la cadena alfanumérica después de la última /).
2. Ve a Aplicaciones, luego selecciona Canva. Ve a General, luego selecciona Configuración de SAML, y selecciona Editar. Selecciona Siguiente.
3. En Declaraciones de Atributos (no Declaraciones de Atributos de Grupo), agrega:
   1. Nombre: TeamId
   2. Valor: Arrays.toCsvString(getFilteredGroups({"",""},"group.name",50))
   3. Reemplaza <group_id_1> y <group_id_2> con los ID de grupo del paso 1.

4. Seleccione Siguiente, y luego acabado.

Google Workspace no admite notificaciones SAML condicionales basadas en grupos como Entra ID, pero hay dos formas sencillas de completar TeamId para la implementación de tu universidad.

Opción 1: Usa un atributo de directorio existente (o personalizado)

Es mejor si ya realizas un seguimiento de un valor que distingue al personal de los estudiantes, o si estás dispuesto a añadir uno.

1. En Google persona a cargo, ve al perfil de una persona usuaria y busca (o agrega) un atributo personalizado, por ejemplo, un campo “Centro de costos” en un esquema personalizado de “Información del empleado” (junto con campos como el ID del empleado, el puesto, el departamento, el ID del edificio, etc. ).
2. Rellena el campo con un valor que identifique el grupo del usuario (p. ej., selecciona “Centro de costos” en “estudiante” para las cuentas de estudiantes y “Empleado” para las cuentas del personal). Cualquier atributo existente que ya distinga a las dos poblaciones funciona igual de bien; El centro de costos es solo un campo conveniente si nada más cabe.
3. En Google persona a cargo, ve a Aplicaciones > aplicaciones web y apps móviles > Canva > Mapeo de atributos.
4. En Atributos, selecciona Agregar asignación, selecciona el campo del directorio (p. ej., Información del empleado > Centro de costos) a la izquierda e ingresa TeamId como atributo de la app a la derecha.
5. Guardar. Google ahora enviará el valor de ese campo como el atributo TeamId en cada aserción SAML.

Opción 2: usa Grupos de Google

Es mejor si prefieres administrar esto por membresía que por campo por usuario.

1. En Google Admin, crea dos grupos: uno para el personal (p. ej., “Empleados”) y otro para estudiantes (p. ej., “Estudiantes”) y agrega a las personas relevantes a cada uno.
2. En la misma app SAML de Canva (Aplicaciones > Aplicaciones web y móviles > Canva > Mapeo de atributos), desplázate hasta Membresía del grupo (opcional).
3. Agrega ambos grupos y configura el atributo App en TeamId.
4. Guardar. Google enviará el nombre del grupo que coincida como el valor de TeamId para cada usuario.

De cualquier manera: los valores que envíes (p. ej., “estudiante”/”empleado” o los nombres de tu grupo) deben coincidir exactamente con los valores de TeamId configurados en los equipos correspondientes en Configuración de la organización de Canva > Equipos.

Recíbelas con tu proveedor de identidad:

• Punto de conexión de SAML 2.0 (HTTP) (URL de SSO)
• emisor del proveedor de identidad (ID de la entidad)
• Certificado público (x.509, codificado en Base64)

Ingrésalos en la página de configuración de SSO de Canva.

1. En Canva, ve a configuración de la cuenta. Luego selecciona SSO & aprovisionamiento.
2. En Elige quién debe usar SSO, selecciona SSO opcional para todos.
3. Cierra sesión, luego en la página de inicio de sesión, selecciona Usar inicio de sesión único (SSO).
4. Prueba con:
   • Una cuenta de estudiante
   • Una cuenta de empleado (si ambas están configuradas)

También puedes usar el botón “Probar SSO” en la página de configuración.

Opciones:

• Solo para los miembros de tu equipo (recomendado para la mayoría de las universidades)
  • Permite que exalumnos y otras personas ajenas a tu equipo sigan usando Canva.
• Obligatorio para todas las personas (captura de dominio)
  • La experiencia de inicio de sesión más limpia: todas las personas usuarias de tu dominio verificado deben iniciar sesión mediante el inicio de sesión único (SSO). Se recomienda para implementaciones universitarias completas.

Para obtener más información, consulta cómo configurar los controles de registro e inicio de sesión de SSO .

Con el SSO habilitado (opcional u obligatorio), los usuarios deben iniciar sesión con SSO para unirse a los equipos de Universidades.

Pídele al equipo de Soporte de Canva o a un representante de Canva que te proporcione un enlace de SSO personalizado.

Es posible que gran parte del personal y el cuerpo docente ya tengan una cuenta personal de Canva vinculada a su dirección de correo electrónico de correo empresarial. Cuando el SSO esté habilitado, la primera vez que inicien sesión con el SSO, se les pedirá a estas personas que vinculen su cuenta existente.

• Los usuarios deben completar la vinculación de las cuentas para que se puedan administrar por completo a través de SCIM o políticas de aprovisionamiento. Te recomendamos que avises al personal antes de la publicación para que sepan que pueden esperar esta instrucción.
• Si un usuario tiene una cuenta de correo electrónico personal y otra laboral de Canva, se le pedirá que elija cuál desea vincular. Los diseños de las cuentas desvinculadas no se pierden. se pueden copiar de forma manual, pero no se pueden combinar.
• Los usuarios que omitan la vinculación o encuentren un error al hacerlo, pueden volver más tarde a través de Configuración. Selecciona Inicio de sesión y seguridad y, luego, Vincula tu cuenta de SSO.

El aprovisionamiento de usuarios controla la forma en que el personal y los estudiantes se agregan a sus respectivos Canva Equipos y cómo se eliminan cuando se van. Hay tres opciones disponibles. El SSO debe estar configurado por completo antes de activar cualquier método de aprovisionamiento.

Cómo funciona: tu proveedor de identidad envía grupos de usuarios a Canva a través de la API de SCIM. El motor de políticas de aprovisionamiento de Canva lee a los miembros de esos grupos y ubica automáticamente a las personas en el equipo correcto (docentes o estudiantes) y en los subgrupos relevantes. Cuando se quita a una persona de un grupo de tu proveedor de identidad, se le da de baja de Canva de forma automática.

IdP compatibles: Microsoft Entra ID, Okta, PingFederate, PingOne.

Importante: Google Workspace no es compatible con grupo push de SCIM. Usa las opciones 2 o 3.

Las políticas de aprovisionamiento de SCIM son una función opcional que Canva debe habilitar. Para solicitar acceso, ponte en contacto con Soporte

1. Habilita SCIM en Canva: Ve a Configuración. Selecciona SSO & Aprovisionamiento, luego selecciona Configurar Aprovisionamiento. Activa Habilitar aprovisionamiento SCIM y copia el token de API de SCIM.

Tenga en cuenta el punto de enlace SCIM: https://www.canva.com/_scim/v2. Póngase en contacto con su representante de Canva para habilitar las políticas de aprovisionamiento SCIM para su organización antes de continuar.

2. Configure SCIM en su proveedor de identidad: Introduzca el punto final de SCIM y el token de API en la configuración de aprovisionamiento de su proveedor de identidad. Consulte las guías específicas del proveedor de identidad para Entra ID y Okta en el Centro de Ayuda de Canva.

3. Enviar grupos desde su proveedor de identidad: Asigne los grupos que desea sincronizar con Canva (por ejemplo, canva-staff, canva-students).

4. Crear políticas de aprovisionamiento en Canva: Ve a configuración. Selecciona Seguridad y luego selecciona Políticas de aprovisionamiento. Selecciona Crear política. Dale un nombre, selecciona el grupo de proveedor de identidad como condición, selecciona los Canva Equipos de destino y elige el comportamiento de sincronización de grupos (crear un grupo nuevo o sincronizar con un grupo de Canva existente; los nombres deben coincidir exactamente). Como mínimo, crea dos políticas: una que asigne tu grupo de personal al equipo de personal y otra que asigne tu grupo de estudiantes al equipo de estudiantes.

Comportamientos clave:

• Desaprovisionamiento: cuando se quita a una persona de un grupo de proveedor de identidad, se la quita automáticamente de su equipo de Canva y se bloquea su cuenta.
• Restaurar acceso: si vuelves a agregar al usuario al proveedor de identidad de SCIM, se volverá a aprovisionar de forma automática.
• Al eliminar una política, se quitan todas las membresías a equipos/grupos de Canva que aplica dicha política. Usar con precaución.
• Los grupos creados mediante políticas de aprovisionamiento están bloqueados; No se pueden agregar ni quitar miembros de Canva de forma manual. El proveedor de identidad es la fuente de la verdad.
• Los usuarios de Canva que ya tengan acceso a Canva deben completar el SSO para que SCIM pueda administrarlos por completo. Antes de activar el SCIM, indícales que inicien sesión con el inicio de sesión único (SSO).
• SCIM no envía correos electrónicos de bienvenida cuando se incorporan estudiantes al equipo de estudiantes.
• Las políticas de aprovisionamiento solo controlan la actividad de equipos y grupos, no los roles. La actividad de roles debe realizarse a través de la actividad de roles SAML o configurarse de forma manual.

Cómo funciona: la institución envía a Canva una lista de personas usuarias para que se aprovisionen por adelantado. Canva sube a estos usuarios a los equipos correctos.

Ideal para: instituciones cuyo proveedor de identidad (p. ej., Google Workspace) no es compatible con el grupo de SCIM, o para la incorporación inicial del equipo al comienzo del semestre.

Cómo solicitar una carga de CSV:

1. Prepara una hoja de cálculo con las siguientes columnas: dirección de correo electrónico, actividad de equipo.
2. Envía el archivo a tu representante de Canva o comunícate con el Soporte de Canva.
3. Canva procesará la subida y confirmará cuando esté completa.
4. El primer inicio de sesión de los usuarios debe ser a través de SSO.

Importante: la subida de CSV no está automatizada. Para las transiciones semestrales o los cambios de personal, se debe enviar un nuevo CSV a nuestro equipo de Soporte. A los usuarios de Canva incluidos en el CSV se les pedirá que vinculen sus cuentas existentes la primera vez que inicien sesión con SSO.

Cómo funciona: no hay usuarios precargados. Cuando un usuario se autentica a través del SSO por primera vez, Canva lee sus atributos SAML, en concreto TeamId y, opcionalmente, rol, y lo agrega automáticamente al equipo correcto. Cada inicio de sesión posterior mantiene sincronizados los miembros de su equipo.

Importante: Si tu método de aprovisionamiento principal es JIT, Canva te recomienda encarecidamente que habilites la captura de dominios (obligatoria para todas las personas) como tu control de inicio de sesión SSO. Sin la captura de dominios, las personas usuarias de tu dominio pueden omitir el inicio de sesión único (SSO), lo que significa que JIT podría no llegar a todas las personas usuarias, y la cancelación del acceso se tendrá que gestionar de forma manual.

Cómo funciona JIT:

1. El usuario navega a Canva y se autentica a través de tu proveedor de identidad.
2. Canva lee el valor de TeamId en la aserción SAML.
3. El usuario se añade automáticamente al Canva Equipos cuyo TeamId coincida.
4. Si un atributo de rol está presente, al usuario se le asigna el rol correspondiente (diseñador para el personal, miembro para los estudiantes).
5. En los inicios de sesión posteriores, Canva vuelve a validar la membresía del equipo con la aserción SAML.

• Sin aprovisionamiento previo: los usuarios solo aparecen en Canva después de iniciar sesión con SSO por primera vez. Las comunicaciones en lote o las plantillas compartidas no pueden dirigirse a usuarios que todavía no hayan iniciado sesión.
• Sin desaprovisionamiento automático: si quitas a una persona de tu proveedor de identidad, no la quitas de Canva. Tienes que dar de baja el aprovisionamiento de forma manual o a través de otra configuración de SCIM.
• No deshabilites JIT a menos que SCIM esté en pleno funcionamiento y configurado para manejar todo el aprovisionamiento.

Canva para Universidades es compatible con LTI (interoperabilidad de herramientas de aprendizaje), lo que permite que los docentes inserten actividades de Canva en su sistema de gestión del aprendizaje (LMS) y que los estudiantes envíen sus diseños de Canva como trabajo de clase.

El inicio de sesión único (SSO) debe estar configurado por completo antes de la configuración LTI. Para obtener instrucciones de configuración específicas de la plataforma, consulta las guías de integración de sistema de gestión del aprendizaje (LMS).

El dominio de correo electrónico del usuario no está verificado en la configuración de SSO de Canva, o el usuario no vinculó su cuenta de Canva al SSO.

Confirma que el dominio de correo electrónico del usuario coincide con un dominio verificado en la configuración de SSO de Canva. Si tienen una cuenta de Canva preexistente, es posible que deban completar la vinculación de la cuenta; indícales que vayan a Configuración, luego a Inicio de sesión y seguridad, y seleccionen Vincular tu cuenta de SSO.

Para obtener orientación específica sobre errores, consulta Solución de problemas de errores de SSOen el Centro de Ayuda de Canva.

El valor de TeamId que envió tu proveedor de identidad no coincide exactamente con el TeamId configurado en Canva. Los valores de TeamId distinguen entre mayúsculas y minúsculas.

Verifica que el valor de TeamId enviado por tu proveedor de identidad coincida con el TeamId configurado en Canva (ve a

Es posible que no estén configuradas o habilitadas las políticas de aprovisionamiento para tu organización, que el token de la API de SCIM ya no sea válido o que los usuarios de Canva no hayan completado su primer inicio de sesión SSO.

• Comprueba que las directivas de aprovisionamiento estén configuradas para asignar los grupos de tu proveedor de identidad a los Canva Equipos correctos.
• Confirma que tu representante de Canva haya habilitado las directivas de aprovisionamiento para tu organización.
• Comprueba que el token de la API de SCIM en tu proveedor de identidad esté actualizado, especialmente si SCIM se ha activado o desactivado recientemente.
• Si los usuarios afectados tienen cuentas de Canva preexistentes, haz que inicien sesión mediante SSO una vez y, a continuación, vuelve a intentar la sincronización.

Tu proveedor de identidad no volvió a aprovisionar al usuario o no se completó la sincronización de SCIM.

Vuelve a agregar al usuario en tu proveedor de identidad y permite que SCIM se sincronice. Si el problema persiste, contacta al Soporte de Canva.

El estudiante no forma parte del equipo de estudiantes de la institución o está iniciando sesión con una cuenta personal de Canva en lugar de iniciar sesión con el inicio de sesión único (SSO).

Confirme que el equipo de estudiantes ha sido aprovisionado por Canva y que los estudiantes están iniciando sesión a través de SSO. Los estudiantes deben ser miembros del equipo de estudiantes de la institución para acceder a las funciones prémium; iniciar sesión con una cuenta personal no otorgará acceso.

¿El personal y los estudiantes pueden compartir contenido?

El personal y los estudiantes pertenecen a distintos Canva Equipos y no pueden compartir contenido directamente. Sin embargo, se pueden usar enlaces de colaboración entre estudiantes y el personal docente. Los docentes también pueden compartir las actividades y las plantillas de Canva con sus estudiantes a través de la integración con tu sistema de gestión del aprendizaje (LMS).

¿Los exalumnos pueden conservar su acceso a Canva después de graduarse?

Si el SSO está configurado en Solo para los miembros de tu Canva Equipos, las personas que elimines de tus Canva Equipos perderán el acceso a las funciones de Campus, pero conservarán sus cuentas personales de Canva. Con Obligatorio para todos (captura de dominio), el acceso está vinculado a tu proveedor de identidad; las personas usuarias a las que se les revoque el acceso al proveedor de identidad perderán acceso a Canva en su dominio institucional.

Los estudiantes que quieran conservar sus diseños deben tomar medidas para copiar o transferir su contenido antes de graduarse o abandonar la institución. Para obtener instrucciones detalladas, consulta Copiar diseños antes de graduarlos .