Configura l'SSO e il provisioning per Canva Università

Canva Università è la soluzione di Canva per l'istruzione superiore per l'implementazione in tutta l'università. Il provisioning e l'autenticazione degli utenti sono gestiti centralmente dal tuo team IT tramite un'unica organizzazione Canva.

Questa guida tratta:

• Configurazione SSO
• Provisioning utente
• Integrazione e risoluzione dei problemi con i sistemi LMS per amministratori IT.

Nell'angolo in basso a sinistra di Canva, seleziona le tue iniziali.

• Assicurati di far parte del tuo team dell'università (non di un account personale o Pro).
• Vai a
  Impostazioni.
• Nel menu a sinistra, seleziona Impostazioni organizzazione, quindi SSO e provisioning.

• Se non vedi questa opzione, contatta il tuo contatto Canva.

Quindi, seleziona Inizia e conferma le autorizzazioni e l'accesso agli strumenti di configurazione. Per procedere, seleziona Portami alla configurazione SSO .

1. In Verifica i domini con cui vuoi usare l'SSO, seleziona Aggiungi un dominio.
2. Inserisci i tuoi domini, quindi seleziona Invia.
3. Copia il token record TXT visualizzato.
4. Nel tuo host di dominio (es. GoDaddy, Namecheap):
   • Vai a Impostazioni DNS.
   • Aggiungi un record TXT con il token.
   • Salva le modifiche.
5. La verifica richiede dalle 24 alle 72 ore. Riceverai un'e-mail una volta verificato il tuo dominio.
   • Per controllare lo stato, usa mxtoolbox.com.

Seleziona il tuo provider di identità qui sotto per una guida su come aggiungere Canva. Abbiamo delle guide per i seguenti provider di identità, ma puoi utilizzarle purché il tuo provider di identità supporti SAML 2.0.

• Configurazione SAML di Azure AD/Entra ID (per Canva Aziende)
• Configurazione SAML di ADFS
• Configurazione SAML Okta
• Configurazione SAML di GSuite (Google).
• Configurazione SAML di Duo Security
• Configurazione SAML OneLogin
• Configurazione SAML di Salesforce

Se il tuo non è elencato sopra, usa:

• URL ACS/URL di risposta: https://www.canva.com/login/saml
• ID/identificatore dell'entità: https://www.canva.com
• Attributi SAML: NameID, E-mail, FirstName, LastName, TeamId (obbligatorio per la configurazione dell'università con studenti e studentesse)*
• Testo dei metadati (se necessario)

Assicurati che l'asserzione SAML includa una firma. Controlla le impostazioni per verificare.

• Scopo: distingue e assegna la licenza corretta tra studenti e dipendenti.
• Requisito: almeno due valori univoci (ad es. studenti, personale).
• Può essere mappato da gruppi o attributi IdP esistenti.
• Con Shibboleth, Canva supporta lo schema eduPersonAffiliation per TeamId (contatta il Supporto Canva/il rappresentante dell'account per abilitare).

In Canva:

Vai a

La configurazione di TeamId è fondamentale per concedere licenze premium ai gruppi di utenti corretti (in particolare per gestire le licenze per chi studia).

Per gli istituti che utilizzano Entra ID (Microsoft 365), vai alla tua applicazione Canva Aziende. Seleziona Single Sign-On, quindi Attributi e attestazioni, quindi Modifica per configurare l'attestazione TeamId.

Sia "TeamId" che "TeamID" sono accettati come nome della rivendicazione. Per la maggior parte delle implementazioni universitarie, l'opzione 1 (attestazione di gruppo) è la best practice consigliata. L'opzione 2 è una buona alternativa se nella directory esiste già un attributo utente adatto.

Crea un gruppo di sicurezza Entra dedicato per ogni team Canva. Il nome visualizzato del gruppo viene inviato come valore TeamId e Canva indirizza gli utenti di conseguenza. Questo è l'approccio più pulito e gestibile.

1. Sotto Attributi & Revendicazioni, selezionare Aggiungi una rivendicazione di gruppo.
2. Denominare la rivendicazione TeamId.
3. Configurare per inviare i nomi visualizzati del gruppo.

Importante: i gruppi inclusi in questa attestazione devono corrispondere esattamente ai tuoi valori Canva TeamId e nessun altro gruppo deve essere inviato come parte della stessa attestazione.

Una buona opzione se la tua directory ha già un attributo che distingue in modo affidabile il personale da chi studia (ad es. impiegato, dipartimento o un attributo di estensione).

1. In Attributi e dichiarazioni, seleziona Aggiungi nuova dichiarazione.
2. Denomina la dichiarazione TeamId.
3. Imposta Origine su Attributo e seleziona l'attributo di directory pertinente.
4. Assicurati che i valori degli attributi corrispondano ai valori TeamId che hai impostato in Canva per ogni team.

Nota: sebbene questo approccio possa funzionare, le condizioni di rivendicazione dell'ID Entra presentano limitazioni e peculiarità note (ad es. comportamento nell'ordine delle condizioni, casi limite con appartenenze a gruppi sovrapposte). Le opzioni 1 e 2 sono generalmente più affidabili per le implementazioni universitarie.

Se procedi, specifica manualmente quale valore TeamId inviare in base all'appartenenza al gruppo Entra.

1. Sotto Attributo e Rivendicazioni, seleziona Aggiungi nuova rivendicazione.
2. Dai un nome alla rivendicazione TeamId.
3. Seleziona Condizioni della rivendicazione.
4. Per ogni gruppo (personale, chi studia), imposta il tipo di utente su Membro, seleziona i gruppi Entra pertinenti e inserisci il valore TeamId corrispondente (ad es. "personale" o "chi studia").
5. Salva la rivendicazione.

Da utilizzare se il personale e gli studenti hanno domini e-mail diversi (ad es. @staff.university.edu o @student.university.edu). Questo estrae il dominio e-mail e lo usa come valore TeamId.

1. Sotto Attributi & Rivendicazioni, seleziona Aggiungi nuova rivendicazione.
2. Denomina la rivendicazione TeamId.
3. Imposta Origine su Trasformazione.
4. Applica la trasformazione Estrai con Corrispondenza dopo su @, utilizzando user.userPrincipalName o user.mail come origine.

Assicurati che i valori TeamId impostati in Canva corrispondano alle stringhe di dominio estratte.

Per gli istituti che usano Okta, TeamId è configurato come attributo SAML. Prima di procedere, assicurati che l'applicazione Canva Okta sia configurata, che i gruppi Okta siano assegnati all'applicazione Canva e che le impostazioni SAML siano configurate in Canva. Per una guida completa alla configurazione, consulta la guida alla configurazione SAML di Okta nel Centro Assistenza Canva.

Crea gruppi Okta i cui nomi visualizzati corrispondano ai tuoi valori TeamId di Canva (ad es. un gruppo chiamato "personale-università" è associato a "personale-università" di TeamId). Okta filtra e invia il nome del gruppo corrispondente come valore TeamId al momento dell'accesso.

1. In Okta, vai a Directory, quindi seleziona Gruppi e crea gruppi usando una convenzione di denominazione coerente (ad es. tutti i gruppi dell'Università iniziano con "campus-").
2. Vai a Applicazioni, quindi seleziona Canva. Vai a Generale, quindi Impostazioni SAML, e seleziona Modifica. Seleziona Avanti finché non raggiungi la schermata Configura SAML.
3. Sotto Dichiarazioni Attributo Gruppo, aggiungi:
   1. Nome: TeamId
   2. Filtro: Inizia con, quindi inserisci il prefisso della tua convenzione di denominazione (ad es. "campus-")
4. Salva. Okta invierà il nome del gruppo corrispondente come valore TeamId.

Usa questa opzione se non puoi usare una convenzione di denominazione o se hai bisogno di mappare gruppi specifici in base al loro Okta ID.

1. Per ogni gruppo, aprilo in Okta e registra l'ID del gruppo dall'URL (la stringa alfanumerica dopo l'ultima /).
2. Vai a Applicazioni, quindi seleziona Canva. Vai a Generale, quindi seleziona Impostazioni SAML e seleziona Modifica. Seleziona Avanti.
3. Sotto Dichiarazioni Attributo (non Dichiarazioni Attributo Gruppo), aggiungi:
   1. Nome: TeamId
   2. Valore: Arrays.toCsvString(getFilteredGroups({"",""},"group.name",50))
   3. Sostituisci <group_id_1> e <group_id_2> con gli ID del gruppo dal Passaggio 1.

4. Selezionare Avanti, quindi finitura.

Google Workspace non supporta le rivendicazioni SAML basate su gruppo condizionale come l'Entra ID, ma esistono due modi semplici per compilare TeamId per l'implementazione dell'università.

Opzione 1: utilizza un attributo di directory esistente (o personalizzato).

Ideale se tieni già traccia di un valore che distingue il personale da studenti e studentesse, o se sei disposto ad aggiungerne uno.

1. In Console di amministrazione Google, vai al profilo di un utente e trova (o aggiungi) un attributo personalizzato, ad esempio un campo Centro di costo sotto uno schema personalizzato "Informazioni sul dipendente" (insieme a campi come ID dipendente, Qualifica, Dipartimento, ID edificio, ecc. ).
2. Completa il campo con un valore che identifichi il gruppo dell'utente, ad esempio, imposta Centro di costo su Studenti per gli account per chi studia e Dipendente per gli account per il personale. Qualsiasi attributo esistente che già distingue le due popolazioni funziona altrettanto bene; Il centro di costo è solo un campo utile, se non altro.
3. In Console di amministrazione Google, vai su App > Web e app per dispositivi mobili > Canva > Mappatura degli attributi.
4. In Attributi, seleziona Aggiungi mappatura, seleziona il campo della directory (ad es. Dettagli dipendente > Centro di costo) a sinistra e inserisci TeamId come attributo dell'app a destra.
5. Salva. Google ora invierà il valore di quel campo come attributo TeamId per ogni asserzione SAML.

Opzione 2: utilizza Google Gruppi

Ideale se preferisci gestirlo in base all'abbonamento piuttosto che a un campo per utente.

1. In Console Google Amministratore, crea due gruppi: uno per il personale (ad es. "Dipendenti") e uno per chi studia (ad es. "Studenti") e aggiungi le persone pertinente a ciascuno.
2. Nella stessa app SAML di Canva (App > App > Web e app per dispositivi mobili > Canva > Mappatura degli Attributo), scorri fino all'iscrizione al gruppo (facoltativo).
3. Aggiungi entrambi i gruppi e imposta l'Attributo App su TeamId.
4. Salva. Google invierà il nome del gruppo corrispondente come valore TeamId per ogni utente.

In entrambi i casi: i valori che invii (ad es. "chi studia"/"impiegato" o i nomi del tuo gruppo) devono corrispondere esattamente ai valori TeamId configurati nei team corrispondenti nelle impostazioni Organizzazione di Canva > Team.

Raccogli questi dati dal tuo provider di identità:

• Endpoint SAML 2.0 (HTTP) (URL SSO)
• autorità di certificazione del provider di identità (ID entità)
• Certificato pubblico (x.509, con codifica Base64)

Inseriscili nella pagina delle impostazioni SSO di Canva.

1. In Canva, vai a Impostazioni account. Quindi seleziona SSO e Provisioning.
2. Alla voce Scegli chi deve usare l'SSO, seleziona SSO facoltativo per tutti.
3. Esci, quindi nella pagina di accesso, seleziona Continua con Single Sign-On (SSO).
4. Prova con:
   • Un account studente
   • Un account dipendente (se entrambi sono configurati)

Puoi anche usare il pulsante Test SSO nella pagina delle impostazioni.

Opzioni:

• Solo per chi fa parte del tuo team (opzione consigliata nella maggior parte delle università)
  • Consente agli alumni o ad altre persone esterne al tuo team di continuare a utilizzare Canva.
• Obbligatorio per tutte le persone (acquisizione dominio)
  • Per un'esperienza di accesso ottimale, tutte le persone del tuo dominio verificato devono accedere tramite SSO. Consigliato per implementazioni complete per l'università.

Per maggiori dettagli, vedi Configurazione dei controlli di accesso e iscrizione SSO .

Con l'SSO abilitato (facoltativo o obbligatorio), le persone devono accedere con SSO per unirsi ai team dell'università.

Chiedi al Supporto Canva o a un rappresentante Canva un link di accesso SSO personalizzato.

Molte persone del personale e della facoltà potrebbero già avere un account Canva personale collegato al proprio indirizzo e-mail di lavoro. Quando l'SSO è abilitato, queste persone vedranno un singolo prompt di collegare l'account esistente al primo accesso SSO.

• Gli utenti devono completare il collegamento dell'account prima di poterli gestire completamente tramite SCIM o i criteri di provisioning. Ti consigliamo di avvisare il personale prima dell'attivazione, in modo che sappiano aspettarsi questo prompt.
• Se un utente ha un account Canva sia personale che un indirizzo e-mail di lavoro, gli verrà chiesto di scegliere quale collegare. I progetti provenienti da account scollegati non vanno persi; possono essere copiati manualmente, ma gli account non possono essere uniti.
• Le persone che saltano o riscontrano un errore durante il collegamento possono tornare in un secondo momento tramite Impostazioni. Seleziona Accesso e sicurezza, quindi Collega il tuo account SSO.

Il provisioning degli utenti controlla il modo in cui il personale e chi studia vengono aggiunti ai rispettivi team Canva e vengono rimossi quando escono. Sono supportate tre opzioni. L'SSO deve essere completamente configurato prima di poter attivare qualsiasi metodo di provisioning.

Come funziona: il tuo provider di identità invia i gruppi di utenti a Canva tramite l'API SCIM. Il motore dei criteri di provisioning di Canva legge le appartenenze ai gruppi e colloca automaticamente le persone nel team corretto (personale o studenti) e in tutti i sottogruppi pertinenti. Quando un utente viene rimosso da un gruppo nel tuo provider di identità, ne subisce automaticamente il deprovisioning da Canva.

IdP supportati: Microsoft Entra ID, Okta, PingFederate, PingOne.

Nota: Google Workspace non supporta il push di gruppo SCIM. Utilizza l'opzione 2 o 3.

I criteri di provisioning SCIM sono una funzionalità di attivazione che deve essere abilitata da Canva. Per richiedere l'accesso, contatta il Supporto

1. Abilita SCIM in Canva: Vai a Impostazioni. Seleziona SSO & Provisioning, quindi seleziona Configura provisioning. Attiva Abilita provisioning SCIM e copia il token API SCIM.

Nota l'endpoint SCIM: https://www.canva.com/_scim/v2. Contatta il tuo rappresentante Canva per abilitare i criteri di provisioning SCIM per la tua organizzazione prima di procedere.

2. Configura SCIM nel tuo provider di identità: Inserisci l'endpoint SCIM e il token API nelle impostazioni di provisioning del tuo provider di identità. Consulta le guide specifiche per il provider di identità per Entra ID e Okta nel Centro assistenza Canva.

3. Effettua il push dei gruppi dal tuo provider di identità: Assegna i gruppi che desideri sincronizzare a Canva (ad es. canva-personale, canva-studenti).

4. Crea criteri di provisioning in Canva: Vai a Impostazioni. Seleziona Sicurezza, quindi seleziona Criteri di provisioning. Seleziona Crea criterio. Assegnagli un nome, seleziona il gruppo del provider di identità come condizione, seleziona il Canva Teams di destinazione e scegli il Comportamento di sincronizzazione del gruppo (crea un nuovo gruppo o sincronizza con un gruppo Canva esistente; i nomi devono corrispondere esattamente). Al minimo, crea due criteri: uno che mappi il tuo gruppo del personale al team del personale, e uno che mappi il tuo gruppo di chi studia al team di chi studia.

Comportamenti chiave:

• Deprovisioning: quando un utente viene rimosso da un gruppo provider di identità, viene automaticamente rimosso dal suo team Canva e il suo account viene bloccato.
• Ripristino dell'accesso: aggiungi di nuovo l'utente nella SCIM del provider di identità per effettuare automaticamente il provisioning di nuovo.
• L'eliminazione di un criterio rimuove tutte le appartenenze a team/gruppi Canva a cui era applicato quel criterio. Usalo con cautela.
• I gruppi creati dai criteri di provisioning sono bloccati; Le persone Canva non possono essere aggiunte o rimosse manualmente. Il provider di identità è la fonte della verità.
• Le persone che già usano Canva devono completare il collegamento dell'account SSO prima che SCIM possa gestirle completamente. Chiedi a queste persone di accedere tramite SSO prima di attivare SCIM.
• SCIM non invia e-mail di benvenuto quando gli studenti e le studentesse fanno parte del team per studenti e studentesse.
• I criteri di provisioning controllano solo l'assegnazione a team e gruppi, non i ruoli. L'assegnazione dei ruoli deve essere gestita tramite la mappatura dei ruoli SAML o impostata manualmente.

Come funziona: l'istituto invia in anticipo a Canva un elenco di utenti di cui effettuare il provisioning. Canva carica queste persone nei team corretti.

Ideale per: istituti il cui provider di identità (ad es. Google Workspace) non supporta il push di gruppo SCIM o per la popolazione iniziale del team all'inizio di un semestre.

Come richiedere di caricare un CSV:

1. Prepara un foglio di calcolo con le seguenti colonne: indirizzo e-mail, compito del team.
2. Invia il file al tuo rappresentante Canva o contatta il Supporto Canva.
3. Canva elaborerà il caricamento e ti confermerà quando sarà completato.
4. Il primo accesso degli utenti deve avvenire tramite SSO.

Nota: il caricamento in formato CSV non è automatico. In caso di transizioni semestrali o cambi di personale, devi inviare un nuovo CSV al nostro team di supporto. Al primo accesso SSO verrà richiesto di collegare il proprio account esistente alle persone che utilizzano Canva già incluse nel file CSV.

Come funziona: nessun utente è precaricato. Quando un utente si autentica tramite SSO per la prima volta, Canva legge i suoi attributi SAML, in particolare TeamId e, facoltativamente, il ruolo, e li aggiunge automaticamente al team corretto. Ogni accesso successivo mantiene sincronizzata l'appartenenza al team.

Importante: se JIT è il tuo metodo di provisioning principale, Canva consiglia vivamente di abilitare l'acquisizione dominio (obbligatoria per chiunque) come controllo di accesso SSO. Senza l'acquisizione dominio, le persone del tuo dominio possono ignorare l'SSO, il che significa che JIT potrebbe non raggiungere tutti gli utenti e il deprovisioning deve essere gestito manualmente.

Come funziona JIT:

1. L'utente accede a Canva e si autentica tramite il tuo provider di identità.
2. Canva legge il valore di TeamId nell'asserzione SAML.
3. L'utente viene aggiunto automaticamente al Canva Teams il cui TeamId corrisponde.
4. Se è presente un Attributo ruolo, all'utente viene assegnato il ruolo corrispondente (designer per il personale, membro per chi studia).
5. Agli accessi successivi, Canva convalida nuovamente l'appartenenza al team rispetto all'asserzione SAML.

• Nessun pre-provisioning: le persone appaiono su Canva solo dopo il primo accesso SSO. Le comunicazioni in blocco o la condivisione di modelli non possono essere indirizzate a utenti che non hanno ancora effettuato l'accesso.
• Nessun deprovisioning automatico: la rimozione di un utente dal tuo IdP non comporta la sua rimozione da Canva. Il deprovisioning deve essere effettuato manualmente o tramite una configurazione SCIM separata.
• Non disabilitare JIT a meno che SCIM non sia completamente operativo e configurato per gestire tutto il provisioning.

Canva Università supporta LTI (Learning Tools Interoperability), consentendo a chi insegna di incorporare il compito di Canva nel sistema LMS e a chi studia di inviare il progetto Canva come attività didattica.

L'SSO deve essere completamente configurato prima di configurare LTI. Per istruzioni di configurazione specifiche per la piattaforma, consulta le guide all'integrazione dei sistemi LMS.

Il dominio e-mail dell'utente non è verificato nelle impostazioni SSO di Canva oppure l'utente non ha collegato il proprio account Canva esistente all'SSO.

Verifica che il dominio email dell'utente corrisponda a un dominio verificato nelle impostazioni SSO di Canva. Se hanno un account Canva preesistente, potrebbero dover completare il collegamento dell'account; chiedi loro di andare su Impostazioni, quindi Accesso e sicurezza, e selezionare Collega il tuo account SSO.

Per indicazioni specifiche sull'errore, consulta Risoluzione dei problemi degli errori SSOsul Centro Assistenza Canva.

Il valore TeamId inviato dal tuo provider di identità non corrisponde esattamente al TeamId configurato in Canva. I valori TeamId fanno distinzione tra maiuscole e minuscole.

Verifica che il valore TeamId inviato dal tuo provider di identità corrisponda al TeamId impostato in Canva (vai a

I criteri di provisioning potrebbero non essere configurati o abilitati per la tua organizzazione, il token API SCIM potrebbe non essere più valido oppure le persone che usano Canva preesistenti potrebbero non aver completato il loro primo accesso SSO.

• Verificare che i criteri di provisioning siano impostati per associare i gruppi del provider di identità ai corretti Canva Teams.
• Confermare che i criteri di provisioning siano stati abilitati per l'organizzazione dal proprio referente Canva.
• Verificare che il token API SCIM nel provider di identità sia aggiornato, soprattutto se SCIM è stato recentemente attivato o disattivato.
• Se gli utenti interessati dispongono di account Canva preesistenti, chiedere loro di accedere tramite SSO una volta, quindi riprovare la sincronizzazione.

Il provisioning dell'utente non è stato effettuato tramite il tuo provider di identità oppure la sincronizzazione SCIM non è stata completata.

Riaggiungi l'utente nel tuo provider di identità e consenti a SCIM di sincronizzarsi. Se il problema persiste, contatta il Supporto Canva.

Lo studente non ha effettuato il provisioning per il team dell'istituto o sta effettuando l'accesso con un account Canva personale anziché con SSO.

Confermare che il team di chi studia sia stato sottoposto a provisioning da Canva e che chi studia acceda tramite SSO. Chi studia deve essere membro del team di chi studia dell'istituzione per accedere alle funzionalità premium — l'accesso con un account personale non garantirà l'accesso.

Il personale e gli studenti e le studentesse possono condividere contenuti tra loro?

Il personale e chi studia fanno parte di Canva Teams separati e non possono condividere direttamente i contenuti. Tuttavia, i link di collaborazione possono essere utilizzati tra chi studia e personale docente. Il corpo docente può anche condividere modelli Canva e compiti con chi studia grazie all'integrazione del tuo sistema LMS.

Gli alumni possono mantenere l'accesso a Canva anche dopo la laurea?

Se l'SSO è impostato su Solo per le persone del tuo team, le persone rimosse dai Canva Teams perdono l'accesso alle funzionalità dell'Università, ma mantengono gli account Canva personali. Con Obbligatorio per chiunque (acquisizione dominio), l'accesso è legato al tuo provider di identità; le persone il cui accesso IdP è stato revocato perderanno l'accesso a Canva nel loro dominio istituzionale.

Gli studenti e le studentesse che vogliono conservare i loro progetti devono copiare o trasferire i loro contenuti prima della laurea o prima di lasciare l'istituto. Per istruzioni dettagliate, consulta Copia dei progetti prima della laurea .