Configuración de SAML con ADFS (Canva Educación)

Configura el inicio de sesión único (SSO) para tu escuela utilizando los servicios de federación de Active Directory (ADFS) de Microsoft.

1. Inicia sesión en tu servidor ADFS. Si necesitas ayuda para implementar ADFS, consulta esta guía.
2. Abre la consola de administración de ADFS y selecciona Trust Relationships (relaciones de confianza) > Relying Party Trusts (veracidad de usuario de confianza).
3. En el menú Actions (Acciones), da clic en Add Relying Party Trust (Agregar veracidad del usuario de confianza). Esto abrirá un asistente que te guiará por el proceso.
4. En el paso Select Data Source (Seleccionar origen de datos), selecciona Enter data about the relying party manually (Ingresar de forma manual los datos del usuario de confianza).

5. En el paso Specify Display Name (Especificar nombre para mostrar), pon Canva.

6. En el paso Choose Profile (elegir perfil), selecciona AD FS profile (perfil de AD FS).

7. En el paso Configure Certificate (Configurar certificado), no modifiques los valores predeterminados para la configuración del certificado.
8. En el paso Configure URL (Configura la URL), selecciona Enable support for the SAML 2.0 WebSSO protocol (Habilitar la compatibilidad con el protocolo SAML 2.0 WebSSO) e indica el punto de conexión del servicio SAML de Canva: "https://www.canva.com/login/saml".

9. En el paso Configure Identifiers (Configurar identificadores), escribe "https://www.canva.com" y da clic en Add (Agregar).

10. En el próximo paso, puedes agregar una autenticación multifactor opcional.
11. En el paso Choose Issuance Authorization Rules (Establecer las reglas de autorización), selecciona Permit all users to access this relying party (Permitir que todos las personas tengan acceso a este usuario de confianza) Da clic en Siguiente y revisa tu configuración.
12. En la última pantalla, asegúrate de que hayas activado la opción Open the Edit Claim Rules dialog for this relying party trust when the wizard closes (Abrir el cuadro de diálogo Editar reglas de notificaciones para este usuario de confianza cuando se cierre el asistente). Da clic en Cerrar.

Después de agregar Canva a ADFS, se abrirá el editor donde podrás crear reglas o notificaciones de aserción.

Ten en cuenta que necesitarás dos notificaciones: una para Canva Attributes (Atributos de Canva) y otra para NameID (Identificador). Canva solo recibe atributos y valores para notificaciones salientes, por lo que la lista de atributos puede tener un aspecto diferente.

1. Haz clic en Add Rule (Agregar regla).

2. Crea una regla para Send LDAP attributes as Claims (Enviar atributos LDAP como notificaciones). Agrega los tipos de notificaciones salientes correspondientes a Email (Correo electrónico), FirstName (Nombre) y LastName (Apellido). Recuerda que los tipos de notificaciones salientes distinguen entre mayúsculas y minúsculas.

3. Crea otra regla para Transform an Incoming Claim (Transformar las notificaciones entrantes). Abre la regla de notificaciones NameID (Identificador) y cambia el formato del identificador saliente a Persistent Identifier (Identificador persistente). Da clic en Finish (Terminar) para guardar los cambios.

Este paso nos ayudará a identificar quiénes son estudiantes y quiénes son docentes o parte del personal. Hay dos formas de hacerlo:

Canva puede asignar los roles de estudiante o docente en función de patrones de correo electrónico en común. Por ejemplo:

• Hay un dominio de correo electrónico para estudiantes y otro para docentes.
• Cada estudiante tiene un número al principio; el personal no lo tiene.

Si quieres activar esto en tu cuenta, completa el proceso de configuración del SSO y pónte en contacto con nuestro equipo de soporte para activar el mapeo de roles basado en dominios.

Si no hay un patrón de correo electrónico, Canva puede realizar un análisis para asignar los roles. Sigue estos pasos:

1. Crea una regla para enviar la pertenencia al grupo como una reclamación. Deberás enviar la palabra "staff" (personal) para cualquier usuario que sea empleado. Nombra esta regla como temporal.
2. Consulta el Rule Language (Lenguaje de la regla) en el paso 1 y cópialo.
3. Crea una nueva regla y elige Send Claims Using a Custom Rule (Enviar notificaciones usando una regla personalizada).
4. Haz clic en Siguiente.
5. Pon el nombre del Rol de la regla y pega el Lenguaje de la regla que has copiado del paso 2.
6. Elimine "http://schemas.microsoft.com/ws/2008/06/identity/claims/".
7. Elimina tu regla temporal.

En el caso de los distritos con una implementación en muchas escuelas, tendrás que transferir los datos de tu grupo a Canva para que podamos identificar a qué escuela deberíamos asignar a cada persona.

Hay diferentes formas de hacerlo. Elige la opción que más se ajuste a tus necesidades.

Si usas ClassLink, puedes enviarnos los datos de tu grupo a través de RosterSync. Para descubrir cómo hacerlo, consulta Aprovisionamiento con OneRoster.

Hay algunas formas de hacerlo.

Si tienes un atributo en la app de SAML con el nombre de la escuela, el identificador (ID) de la escuela o cualquier otro identificador único relacionado con la escuela, puedes usarlo como el atributo “TeamId” para mandar información sobre la escuela a la que pertenece cada usuario.

Crea una notificación en tu app de SAML para enviar ese atributo y nómbrala “TeamId”.

Luego, comparte con Canva un archivo CSV que contenga el nombre de cada escuela y el valor correspondiente de “TeamId” que se mandará en la notificación.

También puedes crear una notificación de grupo que mande el nombre del grupo como un valor de notificación dentro de tu app de SAML. Debe haber un grupo para cada escuela en tu app de SAML para que esto funcione. Cada grupo tiene que incluir a todos los usuarios de la escuela (estudiantes y personal), y estos grupos escolares tienen que ser los únicos grupos que se manden como parte de la notificación.

Nombra la notificación “TeamId” y comparte con Canva un archivo CSV que contenga el nombre de cada escuela y el valor de “TeamId” correspondiente que se enviará en la notificación.

1. Inicia sesión en tu cuenta de Canva.
2. En la página de inicio, ve a tu avatar de perfil y, a continuación, selecciona
   Configuración.
3. En el menú lateral, haz clic en
   SSO y aprovisionamiento.
4. En Inicio de sesión único (SSO), haz clic en Gestionar y, a continuación, en Editar metadatos de IdP.
5. En el campo SSO o URL de inicio de sesión, ingresa tu URL de punto de conexión de SAML 2.0 (también llamada URL de SAML 2.0/W-Federation).
6. En el campo Entity ID (ID de entidad) o Issuer URL (URL del emisor), introduce tu proveedor de identidad.
7. En el campo Certificado público X.509, pega todo el contenido de tu certificado descargado (certificado de muestra).
8. Haz clic en Save (Guardar) y Next (

Hay dos formas sencillas de probar tu configuración:

1. Ve a tu avatar de perfil y, a continuación, a
   Ajustes.
2. En el menú lateral, selecciona
   SSO y aprovisionamiento.
3. En Inicio de sesión único (SSO), selecciona Gestionar y, a continuación, Prueba SSO.

1. Ir a
   SSO y aprovisionamiento
2. Seleccione Inicio de sesión único (SSO), a continuación, Gestionar y, a continuación, Configurar los ajustes de SSO.
3. Establezca la opción de configuración de SSO en Opcional para todos.
4. Cierra sesión en tu cuenta de Canva.
5. En la página de inicio de sesión, selecciona Usar tu correo y, después, Usar el SSO.

Asegúrate de hacer una prueba con una cuenta de estudiante y una de docente. Lograste configurar el SSO si ocurre lo siguiente:

• Has iniciado sesión como profesor y puedes ver la página de Personas.
• Has iniciado sesión como estudiante y no puedes ver la página Personas.

Elige cómo quieres que las personas inicien sesión. Recomendamos exigir el uso del inicio de sesión único (SSO) para todas las personas en tu dominio.

1. En la página de inicio, ve a tu avatar de perfil y selecciona
   Configuración.
2. En el menú lateral, selecciona
   SSO y aprovisionamiento.
3. Seleccione Inicio de sesión único (SSO), a continuación, Gestionar y, a continuación, Configurar los ajustes de SSO.
4. Establezca la configuración de SSO en Obligatorio para todo el mundo (captura de dominio).
5. Selecciona Guardar conexión.