ADFS SAML-configuratie (voor Education)

Stel Single Sign-On (SSO) in voor je school met behulp van Microsoft 's Active Directory Federation Services (ADFS).

1. Log in op je ADFS-server. Als je hulp nodig hebt bij het implementeren van ADFS, raadpleeg dan deze handleiding.
2. Open de ADFS-beheerconsole en selecteer Vertrouwensrelaties > Relying Party Trusts.
3. Klik vanuit het menu Actions op Add Relying Party Trust. Dit opent een wizard die je door het proces zal leiden.
4. Selecteer in de stap Select Data Source Enter data about the relying party manually.

5. Voer in het tabblad Specify Display Name "Canva" in.

6. Op het Kies profiel tabblad, selecteer AD FS profiel.

7. Laat in de stap Certificaat configureren de certificaatinstellingen op hun standaardwaarden staan.
8. Selecteer in de stap Configure URL Enable support for the SAML 2.0 Web SSO protocol en voer het eindpunt voor de SAML-service van Canva in: "https://www.canva.com/login/saml".

9. Voer in de Configureer Identifiers stap "https://www.canva.com" in en klik op Toevoegen.

10. In de volgende stap kun je optionele meervoudige verificatie toevoegen.
11. Selecteer in de stap Choose Issuance Authorization Rules kiezen Permit all users to access this relying party. Klik vervolgens op Volgende en controleer je instellingen.
12. Zorg er in het laatste scherm voor dat het Open the Edit Claim Rules dialog for this relying party trust when the wizard closes is geselecteerd. Klik op Sluiten.

Nadat je Canva aan ADFS hebt toegevoegd, wordt de editor voor claimregels geopend waar je regels of claimprocedures kunt maken.

Je hebt twee claims nodig: een voor Canva Attributes en een voor NameID. Canva ontvangt alleen de kenmerken en waarden van de uitgaande claims, dus de lijst met kenmerken kan er anders uitzien.

1. Klik op Regel toevoegen.

2. Maak een regel om LDAP-kenmerken als claims te versturen. Voeg uitgaande claimtypen toe voor e-mail, voornaam en achternaam (let op: uitgaande claimtypen zijn hoofdlettergevoelig).

3. Maak een andere regel om een inkomende claim om te zetten. Open de vereiste claimregel NameID en wijzig de indeling van de uitgaande naam-ID in Persistent Identifier. Klik op Voltooien om op te slaan.

Deze stap helpt ons te bepalen welke gebruikers studenten zijn en welke docenten of personeel. Je kunt dit op twee manieren doen.

Canva kan rollen voor studenten of docenten toewijzen op basis van veel voorkomende e-mailpatronen. Bijvoorbeeld:

• Leerlingen op één e-maildomein, personeel op een ander
• Leerlingen hebben een nummer aan het begin, personeel niet

Als je wilt dat we dit voor je account activeren, voltooi je het SSO-instellingsproces en neem je contact op met ons ondersteuningsteam om domeingebaseerde roltoewijzing te activeren.

Als je geen e-mailpatroon hebt, kan Canva parseren om rollen toe te wijzen. Volg deze stappen:

1. Maak een regel aan om groepslidmaatschap als een claim te verzenden. Je moet het woord "personeel" doorsturen voor elke gebruiker die een werknemer is. Noem deze regel Tijdelijk.
2. Bekijk de Taal van regel in Stap 1 en kopieer deze.
3. Maak een nieuwe regel aan en kies Claims doorsturen met een aangepaste regel.
4. Klik op Volgende.
5. Noem de regel Rol en plak dan de Taal van regel die je hebt gekopieerd uit Stap 2.
6. Verwijder "http://schemas.microsoft.com/ws/2008/06/identity/claims/".
7. Verwijder je tijdelijke regel.

Voor gemeentes met meerdere scholen moet je je roostergegevens overdragen naar Canva om ons te helpen bepalen aan welke school een gebruiker moet worden toegewezen.

Er zijn verschillende manieren om dit te doen. Kies een van de onderstaande opties die het beste bij je past.

Als je Classlink gebruikt, kun je ons je roostergegevens sturen via RosterSync. Controleer OneRoster Provisioning om te weten hoe.

Er zijn een paar manieren voor deze optie.

Als je in je SAML-app een attribuut hebt met de naam en ID van de school, of een andere unieke identificatie met betrekking tot de school, kun je dat gebruiken als je 'TeamId' -attribuut om informatie te sturen over tot welke school elke gebruiker behoort.

Maak een claim aan in je SAML-app die dat attribuut verstuurt, en noem de claim "TeamId".

Deel daarna met Canva een CSV-bestand met de naam van elke school en de bijbehorende "TeamId" -waarde die via de claim wordt doorgestuurd.

Je kunt ook een groepsclaim aanmaken in je SAML-app, die de groepsnaam als claimwaarde doorstuurt. Om dit te laten werken, moet je voor elke school één groep in je SAML-app hebben. Deze groep moet alle gebruikers in de school bevatten (studenten en personeel) en deze schoolgroepen moeten de enige groepen zijn die als onderdeel van de claim worden doorgestuurd.

Geef de claim de naam "TeamId", en deel een CSV met Canva die de naam van elke school bevat en de bijbehorende "TeamId" -waarde die via de claim wordt doorgestuurd.

1. Log in bij je Canva-account.
2. Ga op de homepage naar de avatar van je profiel en selecteer vervolgens
   Instellingen.
3. Klik in het zijmenu op
   SSO en provisioning.
4. Klik onder Eenmalige aanmelding (SSO) op Beherenen vervolgens op IdP-metagegevens bewerken.
5. Voer in het veld SSO of login URL uw SAML 2.0-eindpunt-URL (ook wel SAML 2.0/W-Federation URL genoemd) in.
6. In het veld Entiteits-ID of URL van de uitgever voer je de Uitgever van je identiteitsprovider in.
7. In het veld Openbaar X.509-certificaat plak je alle inhoud van je gedownloade certificaat (voorbeeldcertificaat).
8. Klik op Opslaan en volgende.

Je kunt je setup op twee eenvoudige manieren testen:

1. Ga naar de avatar van je profiel en vervolgens
   naar Instellingen.
2. Selecteer in het zijmenu
   SSO en provisioning.
3. Selecteer onder Eenmalige aanmelding (SSO), Beheren en vervolgens SSO testen.

1. Ga naar
   SSO en provisioning
2. Selecteer Eenmalige aanmelding (SSO), vervolgens Beheren en vervolgens SSO-instellingen configureren.
3. Stel de optie SSO-instellingen in op Optioneel voor iedereen.
4. Log uit bij je Canva-account.
5. Selecteer op de inlogpagina Doorgaan met e-mail en vervolgens Inloggen met SSO.

Zorg ervoor dat je test met een account voor studenten en een account voor docenten. De configuratie voor SSO is geslaagd als:

• Je bent ingelogd als docent en ziet de pagina Personen.
• Je bent ingelogd als student en ziet de pagina Personen niet.

Kies hoe je wilt dat mensen aanmelden. We raden aan SSO voor iedereen in je domein verplicht te stellen.

1. Ga op de homepage naar de avatar van je profiel en selecteer vervolgens
   Instellingen.
2. Selecteer in het zijmenu
   SSO en provisioning.
3. Selecteer Eenmalige aanmelding (SSO), vervolgens Beheren en vervolgens SSO-instellingen configureren.
4. Stel de SSO-instellingen in op Vereist voor iedereen (domein vastleggen).
5. Selecteer Verbinding opslaan.