Configuración de SAML con GSuite (Google) (Canva Educación)

Configura el inicio de sesión único (SSO) para tu sistema escolar con GSuite (Google)

1. En tu consola de Administrador de Google accede a Apps > Apps web y móviles.
2. Da clic en Agregar app y después, en Buscar apps.
3. En el campo de búsqueda, escribe Canva. Selecciona la app Canva Web (SAML).
4. En la página con la información del Proveedor de identidad de Google, copia o escribe la URL de inicio de sesión único (SSO) y el ID de identidad. Vas a necesitarlos más adelante. Asegúrate de que la casilla Respuesta firmada esté marcada.

5. En la misma página, descarga el Certificado y después, da clic en Continuar.
6. En la ventana Información del proveedor de servicio, deja la configuración como está. Hay más información al respecto en la nota de abajo. Da clic en Continuar.
7. En la sección Atributos, asegúrate de que los campos se vean como los que te mostramos a continuación y da clic en Terminar.

Service Provider Details NameId (Identificador NameID de la información del proveedor de servicios): recomendamos que mandes un atributo personalizado con un identificador único que no sea un correo electrónico. Si no cuentas con uno, entonces puedes usar el atributo “Primary email” (Correo electrónico principal), pero Canva podría tener dificultades para actualizar automáticamente las direcciones de correo electrónico si las personas usuarias las modifican o si tu institución cambia de dominio de correo electrónico.

No uses el atributo “First Name” (Nombre) o ”Last Name” (Apellido) como el identificador NameId, para evitar problemas.

Este paso nos ayudará a identificar quiénes son estudiantes y quiénes son docentes o parte del personal. Hay algunas formas de hacerlo.

Canva puede asignar los roles de estudiante o docente en función de patrones de correo electrónico en común. Por ejemplo:

• Hay un dominio de correo electrónico para estudiantes y otro para docentes.
• Cada estudiante tiene un número al principio; el personal no lo tiene.

Si quieres activar esto en tu cuenta, completa el proceso de configuración del SSO y pónte en contacto con nuestro equipo de soporte para activar el mapeo de roles basado en dominios.

Si completas Google Admin con datos de otra fuente, puedes configurar la fuente para que envíe los datos a Google en la forma que necesitas.

En la base de datos de la fuente, ya sea Active Directory o SIS, crea un mapeo que envíe a Google la palabra “personal” como el valor de “Cost Center” (Centro de costos) para docentes o el personal. El valor para estudiantes puede quedar en blanco o ser “estudiante”.

Recomendamos usar el atributo de usuario “Cost Center” (Centro de costos) en el perfil del usuario de Google Admin ya que está disponible en el proceso de SAML, pero los distritos no suelen usarlo.

Si completas Google Admin de forma manual, al importar archivos CSV en masa, o al usar una herramienta de comandos externa o una como GAM o Gopher, puedes usar los mismos procesos para completar un atributo de rol.

En Google, usa la palabra “staff” (personal) para el valor de “Cost Center” (Centro de costos) para docentes y el personal. El valor para estudiantes puede quedar en blanco o puedes usar “student” (estudiante).

Recomendamos usar el atributo de usuario “Cost Center” (Centro de costos) en el perfil del usuario de Google Admin ya que está disponible en el proceso de SAML, pero los distritos no suelen usarlo.

En el caso de los distritos con una implementación en muchas escuelas, tendrás que transferir los datos de tu grupo a Canva para que podamos identificar a qué escuela deberíamos asignar a cada persona. Hay algunas formas de hacerlo.

Si usas ClassLink, puedes enviarnos los datos de tu grupo a través de RosterSync. Para descubrir cómo hacerlo, consulta Aprovisionamiento con OneRoster.

Hay algunas formas de hacerlo.

Si tienes un atributo en la app de SAML con el nombre de la escuela, el identificador (ID) de la escuela o cualquier otro identificador único relacionado con la escuela, puedes usarlo como el atributo “TeamId” para mandar información sobre la escuela a la que pertenece cada usuario.

1. En la app de Canva en Google Workspace, accede a SAML attribute mapping (Mapeo de atributos de SAML).
2. Selecciona Add a new mapping (Agregar un mapeo nuevo).
3. En Google directory attribute (Atributo del directorio de Google), selecciona el atributo que contenga el identificador único de la escuela.
4. Ingresa TeamId como el nuevo atributo de la app.

Luego, comparte con Canva un archivo CSV que contenga el nombre de cada escuela y el valor correspondiente de “TeamId” que se mandará en la notificación.

También puedes crear una notificación de grupo que mande el nombre del grupo como un valor de notificación dentro de tu app de SAML. Debe haber un grupo para cada escuela en tu app de SAML para que esto funcione. Cada grupo tiene que incluir a todos los usuarios de la escuela (estudiantes y personal), y estos grupos escolares tienen que ser los únicos grupos que se manden como parte de la notificación.

1. En la app de Canva en Google Workspace, accede a SAML attribute mapping (Mapeo de atributos de SAML).
2. Accede a la sección Group membership (Pertenencia a grupos).
3. En Google groups (Grupos de Google), ingresa el nombre de cada grupo escolar. Cada escuela debe tener un solo grupo.
4. Ingresa TeamId como el nuevo atributo de la app.

Luego, comparte con Canva un archivo CSV que contenga el nombre de cada escuela y el nombre exacto del grupo de Google que le corresponde a cada escuela.

Puedes usar las unidades organizacionales para formar un grupo dinámico para cada escuela de tu organización. Los grupos dinámicos pueden estar compuestos por múltiples unidades organizacionales.

1. Crea un grupo dinámico para cada escuela. Accede a Directory (Directorio) > Groups (Grupos)
2. Selecciona Create Dynamic Groups (Crear grupos dinámicos).
3. En la lógica de filtros, selecciona OR (O) si el grupo va a contener varias unidades organizacionales.
4. Configura el filtro con la siguiente información. Si hay una unidad organizacional para estudiantes y otra para docentes, necesitarás dos condiciones como las siguientes.

5. Marca la casilla Exclude suspended users (Excluir cuentas de usuario suspendidas).
6. Da clic en Preview (Vista previa) para confirmar los correos. Después, da clic en Create Dynamic Group (Crear grupo dinámico)
7. Ingresa la siguiente información:
   • Group name (Nombre del grupo): este es el nombre que se enviará a Canva
   • Group email (Correo electrónico del grupo): debería ser igual que el nombre del grupo
8. Selecciona Save (Guardar).

1. Inicia sesión en tu cuenta de Canva.
2. Selecciona el perfil de tu cuenta en la página de inicio para abrir el menú.
3. Selecciona
   Configuración.
4. En el menú lateral, selecciona la pestaña
   Inicio de sesión único (SSO) y aprovisionamiento.
5. En Inicio de sesión único (SSO), haz clic en Gestionar > Editar metadatos de IdP.
6. Introduce la información siguiente de GSuite (Google).
   1. URL del inicio de sesión o del SSO: pega la URL del SSO.
   2. ID de entidad o URL del emisor: pega tu ID de entidad.
   3. X.509 Certificado público: Pegue todo el contenido de su Certificado.
7. Haz clic en Save (Guardar) y Next (

1. Inicia sesión en la consola de administración.
2. Accede a Apps > Web and mobile apps (Apps web y móviles).
3. Selecciona la app de Canva.
4. Accede a Settings (Configuración) > User access (Acceso de usuario).
5. Para activar Canva para todas las personas de tu distrito, selecciona On for everyone (Activado para todas las personas) y da clic en Save (Guardar).
6. Para activar Canva para una unidad organizacional, selecciona la unidad organizacional y, después, On (Activado).

Obtén más información sobre la configuración de unidades organizacionales y grupos.

Hay dos formas sencillas de probar tu configuración de inicio de sesión único:

Si todavía estás en la página Configurar SSO, desplázate hasta la sección Probar tu conexión SSO y haz clic en Probar SSO. Si empiezas desde la página de inicio de Canva, sigue estos pasos:

1. Selecciona el perfil de tu cuenta en la página de inicio para abrir el menú.
2. Selecciona
   Configuración.
3. En el menú lateral, haz clic en la pestaña
   Inicio de sesión único (SSO) y aprovisionamiento.
4. En Inicio de sesión único (SSO) > Gestionar > Probar SSO.

Esto te permite comprobar rápidamente si todo funciona sin cerrar sesión.

1. Antes de cerrar la sesión, ve a la pestaña de
   inicio de sesión único (SSO) y aprovisionamiento.
2. Haz clic en Inicio de sesión único (SSO) > Gestionar > Configurar ajustes de SSO.
3. Establece la opción de inicio de sesión en Opcional para todos.
4. Cierra sesión en tu cuenta de Canva.
5. En la página de inicio de sesión, haz clic en Usar tu correo y, a continuación, selecciona Usar el SSO.

Asegúrate de hacer una prueba con una cuenta de estudiante y una de docente. Lograste configurar el SSO si ocurre lo siguiente:

• Has iniciado sesión como profesor y puedes ver la página de Personas.
• Has iniciado sesión como estudiante y no puedes ver la página Personas.

Elige cómo quieres que las personas inicien sesión. Recomendamos exigir el uso del inicio de sesión único (SSO) para todas las personas en tu dominio.

1. Selecciona el perfil de tu cuenta en la página de inicio para abrir el menú.
2. Selecciona Configuración.
3. Haz clic en Inicio de sesión único (SSO) > Gestionar > Configurar ajustes de SSO.
4. Selecciona Obligatorio para todo el mundo (captura de dominio).
5. Haz clic en Guardar cambios.