Configuración de SAML con Azure AD / Entra ID (Canva para Educación)

Configura el inicio de sesión único (SSO) de tu equipo usando Azure Active Directory (AD) / Entra ID de Microsoft.

1. En tu cuenta de administración de Azure AD o Entra ID, ve a Microsoft Entra ID en el menú del portal.
2. En Manage (Administrar), selecciona Enterprise applications (Aplicaciones empresariales)
3. Haz clic en Nueva aplicación.
4. En la barra de búsqueda, escribe Canva y selecciónala en la lista de resultados.

5. Haz clic en Create (Crear) para añadir la aplicación.

6. Selecciona Configurar inicio de sesión único.

7. Acepta y guarda la configuración del inicio de sesión único. El identificador y la Reply URL (URL de respuesta) se rellenan automáticamente mediante la app y no hace falta que las cambies.

8. Opcional: En la sección Attributes & Claims (Atributos y reclamaciones), los nombres de las reclamaciones se pueden actualizar por los que se indican más abajo para que sean más comprensibles.

9. Asegúrate de que tus atributos se han configurado de forma que coincidan totalmente con los nombres de la notificación, exactamente como se muestra a continuación. Ten en cuenta que no hace falta el atributo TeamID si se trata de un único centro educativo o de marcas de Canva para Educación cuyos datos no se están procesando.

• Un único centro educativo

• Implementaciones para más de un centro educativo cuyos datos no se están procesando

10. En la sección SAML Signing Certificate (Certificado de firma de SAML), haga clic en

11. Más abajo, en la sección Configurar Canva, copia la información que figura a continuación. Los necesitarás para completar la configuración en Canva.

• URL de inicio de sesión
• Identificador de Azure AD / Entra ID

1. En Azure AD/ID de Entra, ve a Properties (Propiedades).
2. Configura los permisos de acceso a Canva. Elige una de las siguientes opciones:

• Para permitir que todas las personas usen Canva, cambia el campo User assignment required (Se requiere la asignación de personas usuarias) a No.
• Para permitir que solo algunas personas usen Canva, ve a Users and groups (Usuarios y grupos) y añade a las personas y grupos a los que quieres dar acceso a Canva.

Este paso nos ayudará a identificar quiénes son estudiantes y quiénes son docentes o parte del personal. Hay dos formas de hacerlo:

Si es posible distinguir los roles de las personas a través del dominio de su correo electrónico, entonces puedes configurar una regla que asigne el atributo de rol a docentes con un dominio @district.org, en contraposición a @estudiantes.district.org.

En este paso, asegúrate de que el nombre de tu notificación sea “Role” (Rol) y que el campo “Namespace” (Espacio de nombres) esté en blanco.

Si es posible distinguir los roles de los usuarios en función de los grupos a los que pertenecen, entonces puedes configurar una regla que asigne el atributo de rol “Docente” a los miembros que pertenezcan a grupos de personal en Azure / Entra ID. Para hacerlo, ve a la sección Attributes & Claims (Atributos y notificaciones) y agrega una notificación.

En este paso, asegúrate de que el nombre de tu notificación sea “Role” (Rol) y que el campo “Namespace” (Espacio de nombres) esté en blanco.

Consulta el artículo de Microsoft Personalización de las notificaciones emitidas en el token SAML para apps empresariales para conseguir más información.

En el caso de los distritos con una implementación en muchas escuelas, tendrás que transferir los datos de tu grupo a Canva para que podamos identificar a qué escuela deberíamos asignar a cada persona.

Hay diferentes formas de hacerlo. Elige la opción que más se ajuste a tus necesidades:

Si usas ClassLink, puedes enviarnos los datos de tu grupo a través de RosterSync. Para descubrir cómo hacerlo, consulta Aprovisionamiento con OneRoster.

Hay varias formas de hacerlo:

Si tienes un atributo en la app de SAML con el nombre de la escuela, el identificador (ID) de la escuela o cualquier otro identificador único relacionado con la escuela, puedes usarlo como el atributo “TeamId” para mandar información sobre la escuela a la que pertenece cada usuario.

1. En la app de Canva en Azure / Entra ID, selecciona “Single Sign-on” (Inicio de sesión único).
2. Edita los “Attributes & Claims” (Atributos y notificaciones).
3. Agrega una notificación con el nombre “TeamId” (ID del equipo).
4. En el caso del “Source attribute” (atributo fuente), selecciona el atributo que envía el identificador único de la escuela.

Luego, comparte con Canva un archivo CSV que contenga el nombre de cada escuela y el valor correspondiente de “TeamId” que se mandará en la notificación.

También puedes crear una nueva notificación y usar las condiciones para enviar valores del atributo “TeamId” en función de los grupos u otros atributos.

Puedes hacerlo creando de forma manual un conjunto de condiciones que le indiquen a tu app de SAML el valor de atributo que tiene que enviar por cada usuario en función del grupo al que pertenezca.

Por ejemplo, si hay estudiantes de la escuela primaria Harmony en “Estudiantes de Harmony” y el personal pertenece a “Personal de Harmony”, puedes usar las condiciones de las notificaciones para indicarle a la app de SAML que envíe “Harmony” como “TeamId” para los dos grupos.

1. En la app de Canva en Azure / Entra ID, selecciona “Single Sign-on” (Inicio de sesión único).
2. Edita los “Attributes & Claims” (Atributos y notificaciones).
3. Agrega una notificación con el nombre “TeamId” (ID del equipo).
4. Selecciona “Claim conditions” (Condiciones de las notificaciones).
5. Por cada conjunto de grupos que forman una escuela, selecciona “Members” (Miembros) como el tipo de usuario y después selecciona los grupos.
6. Selecciona “Attribute” (Atributo) e ingresa el valor que quieras que sea el identificador único de la escuela.

Luego, comparte con Canva un archivo CSV que contenga el nombre de cada escuela y el valor correspondiente de “TeamId” que se mandará en la notificación.

También puedes crear una notificación de grupo que mande el nombre del grupo como un valor de notificación dentro de tu app de SAML. Debe haber un grupo para cada escuela en tu app de SAML para que esto funcione. Cada grupo tiene que incluir a todos los usuarios de la escuela (estudiantes y personal), y estos grupos escolares tienen que ser los únicos grupos que se manden como parte de la notificación.

1. la app de Canva en Azure/ID de Entra, selecciona Single Sign-on (Inicio de sesión único).
2. Edita los Attributes & Claims (Atributos y notificaciones).
3. Añade una notificación de grupo con el nombre TeamId (ID del equipo).
4. Siga las instrucciones sobre cómo configurar las reclamaciones de grupo para las aplicaciones a través de Azure Active Directory.

Luego, comparte con Canva un archivo CSV que contenga el nombre de cada escuela y el valor correspondiente de “TeamId” que se mandará en la notificación.

1. Inicia sesión en tu cuenta de Canva.
2. Accede a tu avatar de perfil y selecciona
   Configuración.
3. En el menú lateral, selecciona
   SSO y aprovisionamiento.
4. Selecciona Inicio de sesión único (SSO), Gestionar y Editar metadatos de IdP.
5. En el campo URL de inicio de sesión o de inicio de sesión, pega tu URL de inicio de sesión.
6. En el campo ID de entidad o URL del emisor, pega tu Azure AD/Identificador de Entra ID.
7. En el campo Certificado público X.509, pega todo el contenido de tu Certificado de firma SAML, codificado en Base64.
8. Haz clic en Save (Guardar) y Next (

Hay dos formas sencillas de probar tu configuración:

1. Ve a tu avatar de perfil y, a continuación, a
   Ajustes.
2. En el menú lateral, selecciona
   SSO y aprovisionamiento.
3. En Inicio de sesión único (SSO), selecciona Gestionar y, a continuación, Prueba SSO.

1. Vaya a
   SSO y aprovisionamiento.
2. Seleccione Inicio de sesión único (SSO), a continuación, Gestionar y, a continuación, Configurar los ajustes de SSO.
3. Establezca la opción de configuración de SSO en Opcional para todos.
4. Cierra sesión en tu cuenta de Canva.
5. En la página de inicio de sesión, selecciona Usar tu correo y, después, Usar el SSO.

Asegúrate de hacer una prueba con una cuenta de estudiante y una de docente. Lograste configurar el SSO si ocurre lo siguiente:

• Has iniciado sesión como profesor y puedes ver la página de Personas.
• Has iniciado sesión como estudiante y no puedes ver la página Personas.

Elige cómo quieres que las personas inicien sesión. Recomendamos exigir el uso del inicio de sesión único (SSO) para todas las personas en tu dominio.

1. En la página de inicio, ve a tu avatar de perfil y, a continuación, selecciona
   Configuración.
2. En el menú lateral, selecciona
   SSO y aprovisionamiento.
3. Seleccione Inicio de sesión único (SSO), a continuación, Gestionar y, a continuación, Configurar los ajustes de SSO.
4. Establezca la configuración de SSO en Obligatorio para todo el mundo (captura de dominio)
5. Haz clic en Guardar conexión.