Configurez l’authentification unique et le provisionnement pour Canva Campus

Canva Campus est la solution d’enseignement supérieur de Canva pour un déploiement à l’échelle du campus. Le provisionnement et l’authentification des utilisateurs sont tous deux gérés de manière centralisée par votre équipe informatique via une seule et même organisation Canva.

Ce guide couvre :

• Configuration avec l’authentification unique
• provisionnement des utilisateurs
• Intégration au LMS et dépannage pour les admins informatiques.

Dans le coin inférieur gauche de Canva, sélectionnez vos initiales.

• Assurez-vous d’être dans votre équipe Campus (et non dans un compte personnel ou Pro).
• Accédez aux
  Paramètres.
• Dans le menu de gauche, sélectionnez Paramètres de l’organisation, puis sélectionnez Authentification unique et provisionnement.

• Si cette option n’apparaît pas, contactez votre contact Canva.

Sélectionnez ensuite Commencer et confirmez les autorisations et l’accès aux outils de configuration. Sélectionnez Configurer l’authentification unique pour continuer.

1. Sous « Vérifiez les domaines avec lesquels vous souhaitez utiliser l'Authentification unique », sélectionnez Ajouter un domaine.
2. Saisissez votre ou vos domaine(s), puis sélectionnez Envoyer.
3. Copiez le jeton d'enregistrement TXT affiché.
4. Chez votre hébergeur de domaine (par exemple, GoDaddy, Namecheap) :
   • Allez dans Paramètres DNS.
   • Ajoutez un enregistrement TXT avec le jeton.
   • Enregistrez les modifications.
5. La vérification prendra entre 24 et 72 heures. Vous recevrez un e-mail une fois votre domaine vérifié.
   • Pour vérifier le statut, utilisez mxtoolbox.com.

Sélectionnez votre fournisseur d’identité ci-dessous pour obtenir des instructions sur la façon d’ajouter Canva. Nous proposons des guides pour les fournisseurs d’identité suivants, mais tant que votre fournisseur d’identité prend en charge SAML 2.0, vous pouvez l’utiliser.

• Configuration SAML Azure AD/Entra ID (pour l’entreprise)
• Configuration SAML de l’ADFS
• Configuration SAML pour Okta
• Configuration SAML de Gsuite (Google)
• Configuration SAML de sécurité double
• Configuration SAML OneConnect
• Configuration SAML de Salesforce

Si le vôtre ne figure pas dans la liste ci-dessus, utilisez :

• URL ACS/URL de réponse : https://www.canva.com/login/saml
• Identifiant/identifiant de l’entité : https://www.canva.com
• Attributs SAML : ID, adresse e-mail, prénom, nom de famille, attribut d’équipe (requis pour la configuration Campus avec les élèves)*
• Texte des métadonnées (si requis)

Assurez-vous que votre assertion SAML inclut une signature. Vérifiez vos paramètres pour procéder à la vérification.

• Finalité : distingue et attribue la licence appropriée aux étudiants ou aux employés.
• Exigences : au moins deux valeurs uniques (p. ex., les élèves, le personnel).
• Peut être mappé à partir de groupes ou d’attributs de fournisseurs d’identité existants.
• Avec Shibbolh, Canva prend en charge le schéma edu PersonAffinity pour TeamId (Contactez l’assistance Canva ou votre représentant de compte pour l’activer).

Dans Canva :

Accédez aux

La configuration de TeamId est essentielle pour l’attribution de licences premium aux groupes d’utilisateurs appropriés (en particulier pour la gestion des licences d’étudiants).

Pour les institutions utilisant Entra ID (Microsoft 365), naviguez vers votre application Canva Entreprise. Sélectionnez Authentification unique, puis Attributs et déclarations, puis Modifier pour configurer la réclamation TeamId.

« TeamId » et « TeamID » sont acceptés comme nom de réclamation. Pour la plupart des déploiements sur le campus, l’option 1 (revenche de groupe) est la bonne pratique recommandée. L’option 2 est une bonne option si un attribut utilisateur approprié existe déjà dans votre répertoire.

Créez un groupe de sécurité Entra dédié pour chaque équipe Canva. Le nom affiché du groupe est envoyé en tant que valeur TeamId, et les utilisateurs Canva sont envoyés en conséquence. Il s’agit de l’approche la plus propre et la plus durable.

1. Sous Attributs & Revendications, sélectionnez Ajouter une revendication de groupe.
2. Nommez la revendication TeamId.
3. Configurez pour envoyer les noms affichés du groupe.

Important: les groupes inclus dans cette réclamation doivent correspondre exactement à vos valeurs d’équipe Canva, et aucun autre groupe ne doit être envoyé avec une même réclamation.

Cette option est bonne si votre répertoire dispose déjà d’un attribut qui distingue de manière fiable le personnel des étudiants (par exemple, type de portrait, service ou extension).

1. Sous Attributs et revendications, sélectionnez Ajouter une nouvelle revendication.
2. Nommez la revendication TeamId.
3. Définissez la source sur Attribut, et sélectionnez l'attribut d'annuaire pertinent.
4. Assurez-vous que les valeurs d'attribut correspondent aux valeurs TeamId que vous avez définies dans Canva pour chaque équipe.

Remarque : bien que cette approche puisse fonctionner, les conditions de réclamation d’ID Entra ont des limites et des équivoque pour les clients (par exemple, le comportement de commande des conditions, les cas de bordure avec des adhésions à un groupe qui se chevauchent). Les options 1 et 2 sont généralement plus fiables pour les déploiements Campus.

Si vous poursuivez, spécifiez manuellement la valeur TeamId à envoyer en fonction de l’adhésion au groupe Entra.

1. Sous Attributs et revendications, sélectionnez Ajouter une nouvelle revendication.
2. Nommez la revendication TeamId.
3. Sélectionnez Conditions de la revendication.
4. Pour chaque groupe (personnel, étudiants), définissez le type d'utilisateur sur membre, sélectionnez les groupes Entra pertinents et entrez la valeur TeamId correspondante (par exemple, "staff" ou "students").
5. Enregistrez la revendication.

Utilisez cette option si votre personnel et vos élèves ont des domaines de messagerie différents (par exemple @personnel.université.edu ou @mon-ent.fr). Cette opération extrait le domaine de messagerie et l’utilise comme valeur TeamId.

1. Sous Attributs & revendications, sélectionnez Ajouter une nouvelle revendication.
2. Nommez la revendication TeamId.
3. Définissez la Source sur Transformation.
4. Appliquez la transformation Extraire avec Après la correspondance sur @, en utilisant user.userPrincipalName ou user.mail comme source.

Assurez-vous que les valeurs de TeamId définies dans Canva correspondent aux chaînes de domaine retirées.

Pour les institutions qui utilisent Okta, TeamId est configuré en tant qu’attribut SAML. Avant de continuer, assurez-vous que l’application Canva Okta est configurée, que les groupes Okta sont attribués à l’application Canva et que les paramètres SAML sont configurés dans Canva. Pour des conseils d’installation complets, consultez le guide de configuration Okta SAML dans le Centre d’aide Canva.

Créez des groupes Okta dont les noms affichés correspondent à vos valeurs Canva TeamId (par exemple, un groupe nommé « Campus-personnel » en fonction de TeamId « Campus-personnel »). Okta filtre et envoie le nom du groupe correspondant en tant que valeur TeamId lors de la connexion.

1. Dans Okta, accédez à Répertoire, puis sélectionnez Groupes et créez des groupes en utilisant une convention de nommage cohérente (par ex., tous les groupes Campus commencent par "campus-").
2. Accédez à Applications, puis sélectionnez Canva. Accédez à Général, puis à Paramètres SAML, et sélectionnez Modifier. Sélectionnez Suivant jusqu'à ce que vous atteigniez l'écran Configurer SAML.
3. Sous Déclarations d'attribut de groupe, ajoutez :
   1. Nom : TeamId
   2. Filtre : Commence par, puis saisissez votre préfixe de convention de nommage (par ex., "campus-")
4. Enregistrez. Okta enverra le nom de groupe correspondant comme valeur TeamId.

Utilisez ceci si vous ne pouvez pas utiliser de conventions de nommage ou si vous devez cartographier des groupes spécifiques par leur ID Okta.

1. Pour chaque groupe, ouvrez-le dans Okta et notez l'ID de groupe depuis l'URL (la chaîne alphanumérique après le dernier /).
2. Accédez à Applications, puis sélectionnez Canva. Allez dans Général, puis sélectionnez Paramètres SAML, et sélectionnez Modifier. Sélectionnez Suivant.
3. Sous Déclarations d'attribut (pas Déclarations d'attribut de groupe), ajoutez :
   1. Nom : TeamId
   2. Valeur : Arrays.toCsvString(getFilteredGroups({"",""},"group.name",50))
   3. Remplacez <group_id_1> et <group_id_2> par les ID de groupe de l'étape 1.

4. Sélectionnez Suivant, puis Terminer.

Google Workspace ne prend pas en charge les déclarations SAML conditionnelles basées sur des groupes, comme le fait Entra ID, mais il existe deux façons simples de remplir l’Identité visuelle pour votre déploiement Campus.

Option 1 : utiliser un attribut de répertoire existant (ou personnalisé)

Cette valeur est idéale si vous suivez déjà une valeur qui distingue le personnel des étudiants, ou si vous êtes prêt à en ajouter une.

1. Dans Google Admin, accédez au profil d’un utilisateur et recherchez (ou ajoutez) un attribut personnalisé, par exemple un champ au centre des coûts sous un schéma personnalisé « Informations sur l’employé » (à côté de champs, comme Identifiant de l’employé, Intitulé de poste, Service, ID du bâtiment, etc.). ).
2. Remplis ce champ avec une valeur identifiant le groupe de l’utilisateur. Par ex., définissez le Centre de coûts sur les comptes élèves pour les comptes élèves et sur l’employé pour les comptes du personnel. Tout attribut existant qui distingue déjà les deux populations fonctionne également ; Le centre des coûts est juste un champ pratique si rien d’autre ne vous convient.
3. Dans Google Admin, accédez à Applis > Applis Web et mobile > Canva > Cartographie par attribut.
4. Sous Attributs, sélectionnez Ajouter des cartographies, sélectionnez le champ d’annuaire (par exemple, Informations sur l’employé > Centre de coûts) à gauche et saisissez TeamId comme attribut App sur la droite.
5. Sauvegardez. Google enverra désormais la valeur de ce champ en tant qu’attribut TeamId sur chaque assertion SAML.

Option 2 : utiliser Google Groups

Il est préférable de gérer ce type de domaine par adhésion plutôt que par un champ par utilisateur.

1. Dans Google Admin, créez deux groupes : un pour le personnel (par exemple, « Employés ») et un pour les élèves (par exemple, « Élèves ») et ajoutez à chacun les utilisateurs et utilisatrices concernés.
2. Dans la même appli SAML Canva (Applis > Applis > Web et mobile > Canva > Cartographie par attribut), faites défiler jusqu’à Adhésion à un groupe (facultatif).
3. Ajoutez les deux groupes et définissez l’attribut App sur TeamId.
4. Sauvegardez. Google enverra le nom du groupe correspondant en tant que valeur TeamId pour chaque utilisateur.

Dans tous les cas : les valeurs que vous envoyez (par exemple, « élève »/ « employé » ou les noms de votre groupe) doivent correspondre exactement aux valeurs de l’Identité visuelle configurées pour les équipes correspondantes dans les paramètres d’organisation Canva > Équipes.

Retirez les éléments suivants auprès de votre fournisseur d’identité :

• Point de terminaison SAML 2.0 (HTTP) (URL d’authentification unique)
• Émetteur du fournisseur d’identité (ID de l’entité)
• Certificat public (x.509, code Base64)

Saisissez-les dans la page des paramètres d’authentification unique Canva.

1. Dans Canva, allez dans les paramètres du compte. Sélectionnez ensuite Authentification unique et provisionnement.
2. Sous Choisir qui doit utiliser l'Authentification unique, sélectionnez Authentification unique facultative pour tous.
3. Déconnectez-vous, puis sur la page de connexion, sélectionnez Continuer avec l'authentification unique (SSO).
4. Tester avec :
   • Un compte étudiant
   • Un compte employé (si les deux sont configurés)

Vous pouvez également utiliser le bouton Tester l’authentification unique dans la page Paramètres.

Options :

• Pour les membres de votre équipe uniquement (recommandé pour la plupart des campus)
  • Permet aux anciens utilisateurs ou aux autres utilisateurs en dehors de votre équipe de continuer à utiliser Canva.
• Obligatoire pour tout le monde (capture de domaine)
  • L’expérience de connexion la plus propre, tous les utilisateurs et utilisatrices de votre domaine vérifié doivent se connecter via l’authentification unique. Recommandé pour un déploiement complet sur le campus.

Pour en savoir plus, consultez la section Configurer les contrôles d’inscription et de connexion avec l’authentification unique .

Lorsque l’authentification unique est activée (facultatif ou requis), les utilisateurs doivent se connecter avec l’authentification unique pour rejoindre les équipes Campus.

Demandez à l’assistance Canva ou à votre représentant Canva de vous fournir un lien d’Authentification unique personnalisé.

De nombreux membres du personnel et enseignants peuvent déjà avoir un compte Canva personnel associé à leur adresse e-mail professionnelle. Lorsque l’authentification unique est activée, ces utilisateurs reçoivent une invite unique pour lier leur compte existant à leur première connexion avec authentification unique.

• Les utilisateurs doivent Nous vous recommandons de informer votre personnel à l’avance de la mise en service afin qu’il sache comment attendre cette consigne.
• Si un utilisateur dispose à la fois d’un compte Canva personnel et d’un compte Canva professionnel, il lui sera demandé de choisir lequel associer. Les designs des comptes dissociés ne sont pas perdus ; ils peuvent être copiés manuellement, mais les comptes ne peuvent pas être fusionner.
• Les utilisateurs qui ignorent une erreur ou qui rencontrent une erreur lors de l’association à un lien peuvent y revenir plus tard via les paramètres. Sélectionnez Connexion et sécurité, puis sélectionnez Lier votre compte avec l’Authentification unique.

Le provisionnement des utilisateurs contrôle la manière dont les membres du personnel et les élèves sont ajoutés à leurs équipes Canva respectives et retirés lorsqu’ils les quittent. Trois options sont prises en charge. L’authentification unique doit être entièrement configurée avant l’activation de toute méthode de provisionnement.

Comment ça marche? Votre fournisseur d’identité invite les groupes d’utilisateurs à rejoindre Canva via l’API SCIM. Le moteur de la politique de provisionnement de Canva analyse les adhésions à ces groupes et place automatiquement les utilisatrices et utilisateurs dans l’équipe appropriée (personnel ou étudiant) et dans tous les sous-groupes pertinents. Lorsqu’un utilisateur est retiré d’un groupe dans votre fournisseur d’identité, il est automatiquement dissocié de Canva.

IdPs pris en charge : Microsoft Entra ID, Okta, PingFederate, Pingone.

Remarque : Google Workspace ne prend pas en charge la gestion des groupes par SCIM : utilisez les options 2 ou 3 à la place.

Les politiques de provisionnement SCIM sont un outil qui doit être activé par Canva. Pour en demander l’accès, veuillez contacter l’assistance

1. Activer SCIM dans Canva : Accédez aux paramètres. Sélectionnez Authentification unique & Provisionnement, puis sélectionnez Configurer le provisionnement. Activez le provisionnement SCIM et copiez le jeton d'API SCIM.

Notez le point de terminaison SCIM : https://www.canva.com/_scim/v2. Contactez votre représentant Canva pour activer les politiques d'approvisionnement SCIM pour votre organisation avant de poursuivre.

2. Configurez SCIM dans votre IdP : Saisissez le point de terminaison SCIM et le jeton API dans les paramètres de provisionnement de votre IdP. Consultez les guides spécifiques à l'IdP pour Entra ID et Okta sur le Centre d'aide Canva.

3. Poussez des groupes depuis votre IdP : Attribuez les groupes que vous souhaitez synchroniser vers Canva (par ex. canva-staff, canva-students).

4. Créer des politiques de provisionnement dans Canva : Accédez aux paramètres. Sélectionnez Sécurité, puis sélectionnez Politiques de provisionnement. Sélectionnez Créer une politique. Donnez-lui un nom, sélectionnez le groupe IdP comme condition, sélectionnez l'équipe Canva cible et choisissez le comportement de synchronisation de groupe (créer un nouveau groupe ou synchroniser avec un groupe Canva existant dont les noms doivent correspondre exactement). Créez au minimum deux politiques : l'une associant votre groupe de personnel à l'équipe du personnel, et l'autre associant votre groupe d'étudiants à l'équipe des étudiants.

Comportement clés :

• Déprovisionnement : lorsqu’un utilisateur est retiré d’un groupe de fournisseurs d’identité, il est automatiquement retiré de l’équipe Canva et son compte est verrouillé.
• Restauration de l’accès : si vous ajoutez de nouveau l’utilisateur dans le protocole SCIM du fournisseur d’identité, il sera redistribué automatiquement.
• La suppression d’une politique supprime toutes les adhésions à une équipe ou un groupe Canva appliquées par cette politique. Utilisez avec prudence.
• Les groupes créés par des politiques de provisionnement sont assumé ; Les membres Canva ne peuvent pas être ajoutés ou supprimés manuellement. Le fournisseur d’identité est la source de vérité.
• Les utilisateurs Canva existants doivent finaliser l’association à un compte avec authentification unique avant de pouvoir les gérer entièrement. Invitez ces personnes à se connecter via l’authentification unique avant d’activer SCIM.
• SCIM n’envoie pas d’e-mails de bienvenue lorsque les élèves sont provisionnés en équipe.
• Le provisionnement des politiques contrôle uniquement les devoirs des équipes et des groupes, et non les rôles. L’attribution de rôle doit être traitée via une cartographie de rôle SAML ou définie manuellement.

Fonctionnement : l’institution envoie à Canva une liste d’utilisatrices et d’utilisateurs à provisionner à l’avance. Canva importe ces personnes dans les équipes correspondantes.

Idéal pour : les institutions dont le fournisseur d’identité (p. ex. Google Workspace) ne prend pas en charge la gestion des groupes SCIM, ou pour les équipes initiales au début d’un semestre.

Comment importer un fichier CSV :

1. Préparez une feuille de calcul avec les colonnes suivantes : adresse e-mail, affectation d'équipe.
2. Envoyez le fichier à votre représentant Canva ou contactez l'Assistance Canva.
3. Canva traitera l'importation et confirmera une fois terminée.
4. La première connexion des utilisateurs doit s'effectuer via l'Authentification unique.

Remarque: l’importation d’un fichier CSV n’est pas automatique. Pour les transitions trimestrielles ou les changements de personnel, un nouveau fichier CSV doit être envoyé à notre équipe d’assistance. Les utilisateurs Canva existants inclus dans le fichier CSV seront invités à associer leur compte existant lors de la première connexion avec l’authentification unique.

Fonctionnement: aucun utilisateur n’est préchargé. Lorsqu’un utilisateur s’authentifie pour la première fois via l’authentification unique, Canva lit ses attributs SAML, en particulier l’identité de l’équipe et le rôle facultatif, et les ajoute automatiquement à l’équipe concernée. Chaque connexion suivante permet de synchroniser l’adhésion à l’équipe.

Important : si JIT est votre principale méthode de provisionnement, Canva vous recommande vivement d’activer la Capture de domaine (requis pour tout le monde) comme contrôle de connexion avec l’authentification unique. Sans capture de domaine, les utilisateurs de votre domaine peuvent contourner l’authentification unique, ce qui signifie que JIT peut ne pas atteindre tous les utilisateurs et les déprovisionnements doivent être traités manuellement.

Comment fonctionne le JIT :

1. L'utilisateur accède à Canva et s'authentifie via votre IdP.
2. Canva lit la valeur TeamId dans l'assertion SAML.
3. L'utilisateur est automatiquement ajouté à l'équipe Canva dont le TeamId correspond.
4. Si un attribut de rôle est présent, l'utilisateur se voit attribuer le rôle correspondant (concepteur pour le personnel, membre pour les étudiants).
5. Lors des connexions ultérieures, Canva revalide l'appartenance à l'équipe par rapport à l'assertion SAML.

• Pas de pré-provisionnement : les utilisateurs n’apparaissent dans Canva qu’après leur première connexion avec l’authentification unique. Les communications en bloc ou le partage de modèles ne peuvent pas cibler les utilisateurs qui ne se sont pas encore connectés.
• Pas de provisionnement automatique : le fait de retirer un utilisateur de votre fournisseur d’identité ne le supprime pas de Canva. Le provisionnement doit être effectué manuellement ou via une configuration SCIM distincte.
• Ne désactivez pas JIT à moins que SCIM soit entièrement opérationnel et configuré pour gérer l’ensemble du provisionnement.

Canva Campus prend en charge la technologie LTI (interopérabilité des outils d’apprentissage), permettant aux enseignants d’intégrer des devoirs Canva dans leur LMS et aux étudiants de soumettre des designs Canva comme travaux de cours.

L’authentification unique doit être entièrement configurée avant la configuration LTI. Pour obtenir des instructions de configuration spécifiques à chaque plateforme, consultez les guides d’intégration LMS.

Le domaine de messagerie de l’utilisateur n’est pas vérifié dans vos paramètres d’authentification unique Canva, ou il n’a pas associé son compte Canva existant à l’authentification unique.

Confirmez que le domaine de messagerie de l'utilisateur correspond à un domaine vérifié dans vos paramètres Authentification unique Canva. S'ils ont un compte Canva préexistant, ils devront peut-être effectuer l'association de compte ; demandez-leur d'aller dans Paramètres, puis dans Connexion et sécurité, et de sélectionner Associer votre compte Authentification unique.

Pour obtenir des conseils spécifiques aux erreurs, consultez Dépannage des erreurs d'authentification uniquesur le Centre d'aide de Canva.

La valeur TeamId envoyée par votre fournisseur d’identité ne correspond pas exactement à la valeur TeamId configurée dans Canva. Les valeurs de TeamId sont sensibles aux majuscules.

Vérifiez que la valeur TeamId envoyée par votre IdP correspond au TeamId défini dans Canva (accédez à

Les politiques de provisionnement ne sont peut-être pas configurées ni activées pour votre organisation, le jeton d’API SCIM peut ne plus être valide ou les utilisateurs Canva existants peuvent ne pas avoir terminé leur première connexion avec l’authentification unique.

• Vérifiez que les stratégies de provisionnement sont configurées pour associer vos groupes de fournisseurs d'identité aux équipes Canva correspondantes.
• Confirmez que les stratégies de provisionnement ont été activées pour votre organisation par votre représentant Canva.
• Vérifiez que le jeton de l'API SCIM de votre fournisseur d'identité est à jour, en particulier si SCIM a été récemment activé ou désactivé.
• Si les utilisateurs concernés disposent d'un compte Canva préexistant, demandez-leur de se connecter une fois via l'Authentification unique, puis de relancer la synchronisation.

L’utilisateur n’a pas été renouvelé via votre fournisseur d’identité ou la synchronisation SCIM n’a pas été terminée.

Réajoutez l'utilisateur dans votre IdP et autorisez SCIM à se synchroniser. Si le problème persiste, contactez l'Assistance Canva.

L’élève n’a pas été provisionné pour l’équipe étudiante de l’établissement, ou il se connecte avec un compte Canva personnel plutôt que l’authentification unique.

Confirmez que l'équipe d'étudiants a été provisionnée par Canva et que les étudiants se connectent via l'Authentification unique. Les étudiants doivent être membres de l'équipe d'étudiants de l'établissement pour accéder aux outils premium — se connecter avec un compte personnel ne donnera pas accès.

Le personnel et les élèves peuvent-ils partager du contenu entre eux ?

Le personnel et les élèves appartiennent à des équipes Canva distinctes et ne peuvent pas partager de contenu directement. Cependant, les liens de collaboration peuvent être utilisés entre les étudiants et le personnel (équipe enseignante). Le personnel enseignant peut également partager des modèles et des devoirs Canva avec les étudiants et étudiantes via votre intégration LMS.

Les anciens élèves peuvent-ils conserver leur accès à Canva après l’obtention d’un diplôme ?

Si vous configurez l’authentification unique sur Pour les membres de votre équipe uniquement, les personnes qui sont retirées de vos équipes Canva perdent leur accès aux outils Campus, mais conservent tout compte Canva personnel. Avec Obligatoire pour tout le monde (capture de domaine), l’accès est lié à votre fournisseur d’identité ; les personnes dont l’accès au fournisseur d’identité est révoqué perdront leur accès à Canva sur leur domaine.

Les élèves qui souhaitent conserver leurs designs doivent procéder à la copie ou au transfert de leur contenu avant la remise de diplôme ou le départ de l’établissement. Voir Copier les designs avant la remise des diplômes pour des instructions détaillées.