SSO en provisioning instellen voor Canva Campus

Canva for Campus is Canva's oplossing voor het hoger onderwijs voor campusbrede implementatie. Gebruikersprovisioning en -verificatie worden beide centraal beheerd door je IT-team via één Canva-organisatie.

Deze hulplijn behandelt:

• SSO-configuratie
• Gebruikersinrichting
• LVS-integratie en probleemoplossing voor IT-beheerders.

Selecteer je initialen in de linkerbenedenhoek van Canva.

• Zorg ervoor dat je lid bent van je Campus-team (geen persoonlijk of Pro-account).
• Ga naar
  Instellingen.
• Selecteer in het linkermenu Organisatie-instellingen enselecteer vervolgens SSO en provisioning.

• Als je deze optie niet ziet, neem dan contact op met je Canva-contactpersoon.

Selecteer vervolgens Aan de slag en bevestig de rechten en toegang tot de installatietools. Selecteer Breng me naar SSO-configuratie om door te gaan.

1. Onder 'Verifieer de domeinen die u met SSO wilt gebruiken', selecteer Een domein toevoegen.
2. Voer uw domein(en) in en selecteer vervolgens Verzenden.
3. Kopieer de weergegeven TXT-recordtoken.
4. In uw domeinhost (bijv. GoDaddy, Namecheap):
   • Ga naar DNS-instellingen.
   • Voeg een TXT-record toe met de token.
   • Sla wijzigingen op.
5. Verificatie duurt 24 tot 72 uur. U ontvangt een e-mail zodra uw domein is geverifieerd.
   • Om de status te controleren, gebruikt u mxtoolbox.com.

Selecteer hieronder je Identity Provider voor een handleiding voor het toevoegen van Canva. We hebben handleidingen voor de volgende Identity Providers, maar zolang je Identity Provider SAML 2.0 ondersteunt, kun je het gebruiken.

• Azure AD/Entra ID SAML-configuratie (voor Canva Enterprise)
• SAML-configuratie van ADFS
• SAML-configuratie in Okta
• G Suite (Google) SAML-configuratie
• SAML-configuratie Duo Security
• SAML-configuratie met één aanmelding
• Salesforce SAML-configuratie

Als die van jou hierboven niet wordt vermeld, gebruik je:

• ACS-URL/antwoord-URL: https://www.canva.com/login/saml
• Entiteits-ID/-identificatie: https://www.canva.com
• SAML-kenmerken: NameID, E-mail, FirstName, LastName, TeamId (vereist voor Campusconfiguratie met leerlingen)*
• Metadatatekst (indien nodig)

Zorg ervoor dat je SAML-verklaring een handtekening bevat. Controleer je instellingen om dit te verifiëren.

• Doel: maakt onderscheid tussen studenten en werknemers en wijst de juiste licentie toe.
• Vereiste: ten minste twee unieke waarden (bijv. studenten, personeel).
• Kan in kaart worden gebracht op basis van bestaande IdP-groepen of -kenmerken.
• Met Shibboleth ondersteunt Canva het eduPersonAffiliation-schema voor TeamId (neem contact op met de Canva-ondersteuning/accountvertegenwoordiger om deze in te schakelen).

In Canva:

Ga naar

Het instellen van TeamId is van cruciaal belang voor het verlenen van premium-licenties aan de juiste gebruikersgroepen (vooral voor het beheren van licenties voor leerlingen).

Voor instellingen die Entra ID gebruiken (Microsoft 365), navigeer naar je Canva Enterprise-applicatie. Selecteer Eenmalige aanmelding, vervolgens Kenmerken en claims en vervolgens Bewerken om de TeamId-claim te configureren.

Zowel "TeamId" als "TeamID" worden geaccepteerd als claimnaam. Voor de meeste implementaties op campussen is optie 1 (groepsclaim) de aanbevolen beste werkwijze. Optie 2 is een goed alternatief als er al een geschikt gebruikerskenmerk in je directory bestaat.

Maak een speciale Entra-beveiligingsgroep aan voor elk Canva-team. De weergavenaam van de groep wordt verzonden als de TeamId-waarde en Canva stuurt gebruikers dienovereenkomstig door. Dit is de schoonste en meest onderhoudbare aanpak.

1. Onder Attributen & claims, selecteer Een groepsclaim toevoegen.
2. Geef de claim de naam TeamId.
3. Configureer om groepsweergavenamen te verzenden.

Belangrijk: de groepen in deze claim moeten exact overeenkomen met je Canva TeamId waarden en er mogen geen andere groepen worden verzonden als onderdeel van dezelfde claim.

Een goede optie als je directory al een kenmerk heeft dat personeel van leerlingen op betrouwbare wijze onderscheidt (bijv. werknemertype, afdeling of een extensiekenmerk).

1. Selecteer onder Attributen en claims de optie Nieuwe claim toevoegen.
2. Noem de claim TeamId.
3. Stel Bron in op Attribuut en selecteer het relevante directoryattribuut.
4. Zorg ervoor dat de attribuutwaarden overeenkomen met de TeamId-waarden die u in Canva voor elk team hebt ingesteld.

Opmerking: hoewel deze aanpak kan werken, hebben Entra ID-claimvoorwaarden beperkingen en eigenaardigheden (bijv. Bestelgedrag van voorwaarden, randgevallen met overlappende groepslidmaatschappen). Optie 1 en 2 zijn over het algemeen betrouwbaarder voor Campus-implementaties.

Als je doorgaat, geef dan hand matig op welke TeamId waarde moet worden verzonden op basis van het Entra-groepslidmaatschap.

1. Onder Attributen & Claims, selecteer Nieuwe claim toevoegen.
2. Geef de claim de naam TeamId.
3. Selecteer Claimvoorwaarden.
4. Voor elke groep (personeel, leerlingen), stel Gebruikerstype in op Leden, selecteer de relevante Entra-groepen en voer de bijbehorende TeamId-waarde in (bijv. "personeel" of "leerlingen").
5. Sla de claim op.

Gebruik deze optie als je medewerkers en studenten verschillende e-maildomeinen hebben (bijv. @staff.university.edu vs @student.university.edu). Hiermee extraheer je het e-maildomein en wordt het gebruikt als de TeamId-waarde.

1. Selecteer onder Attributen en claims de optie Nieuwe claim toevoegen.
2. Geef de claim de naam TeamId.
3. Stel Bron in op Transformatie.
4. Pas de extractietransformatie toe met 'Na overeenkomst' op @, waarbij u user.userPrincipalName of user.mail als bron gebruikt.

Zorg ervoor dat de TeamId-waarden die zijn ingesteld in Canva overeenkomen met de geëxtraheerde domeintekenreeksen.

Voor instellingen die Okta gebruiken, is TeamId geconfigureerd als een SAML-kenmerk. Voordat je verder gaat, moet je ervoor zorgen dat de Canva Okta-applicatie is ingesteld, Okta-groepen zijn toegewezen aan de Canva-applicatie en dat SAML-instellingen zijn geconfigureerd in Canva. Zie de Okta SAML-configuratiehandleiding in het Canva Hulpcentrum voor volledige installatierichtlijnen.

Maak Okta groepen waarvan de weergavenamen overeenkomen met je Canva TeamId waarden (bijv. een groep met de naam "campus-staff" verwijst naar TeamId "campus-staff"). Okta filtert en verstuurt de overeenkomende groepsnaam als de TeamId-waarde bij het inloggen.

1. Ga in Okta naar Directory, selecteer vervolgens Groepen en maak groepen aan met een consistente naamgevingsconventie (bijv. alle Campus-groepen beginnen met "campus-").
2. Navigeer naar Applicaties, selecteer vervolgens Canva. Ga naar Algemeen, vervolgens naar SAML-instellingen, en selecteer Bewerken. Selecteer Volgende totdat je het scherm SAML configureren bereikt.
3. Onder Groepsattribuutverklaringen, voeg toe:
   1. Naam: TeamId
   2. Filter: Begint met, voer vervolgens je naamgevingsconventievoorvoegsel in (bijv. "campus-")
4. Opslaan. Okta stuurt de overeenkomende groepsnaam als de TeamId-waarde.

Gebruik dit als je geen naamgevingsconventie kunt gebruiken of als je specifieke groepen in kaart moet brengen op basis van hun Okta-ID.

1. Open elke groep in Okta en noteer de groeps-ID uit de URL (de alfanumerieke tekenreeks na de laatste /).
2. Navigeer naar aanvraag, selecteer vervolgens Canva. Ga naar Algemeen, selecteer vervolgens SAML-instelling en selecteer bewerken. Selecteer Volgende.
3. Onder Attribute Statements (niet Group Attribute Statements) voeg toe:
   1. Naam: TeamId
   2. Waarde: Arrays.toCsvString(getFilteredGroups({"",""},"group.name",50))
   3. Vervang <group_id_1> en <group_id_2> door de groeps-ID's uit Stap 1.

4. Selecteer Volgende en daarna afwerking.

Google Workspace ondersteunt geen voorwaardelijke, op groepen gebaseerde SAML-claims zoals Entra-ID dat doet, maar er zijn twee eenvoudige manieren om TeamId in te vullen voor je Campus-implementatie.

Optie 1: gebruik een bestaand (of aangepast) directorykenmerk

Het beste als je al een waarde bijhoudt die personeel van leerlingen onderscheidt, of bereid bent om er een toe te voegen.

1. Ga in Google Beheerder naar het profiel van een gebruiker en zoek (of voeg toe) een aangepast kenmerk, bijvoorbeeld een veld Kostenplaats onder een aangepast schema 'Werknemersinformatie' (naast velden zoals Werknemers-ID, Functietitel, Afdeling, Gebouw-ID, enz. ).
2. Vul dat veld met een waarde die de groep van de gebruiker identificeert, bijvoorbeeld, stel Kostenplaats in op leerling voor leerlingaccounts en werknemer voor personeelsaccounts. Elk bestaand kenmerk dat de twee populaties al onderscheidt, werkt net zo goed; Kostenplaats is slechts een handig veld als niets anders past.
3. Ga in Google Beheerderscentrum naar Apps > Web- en mobiele apps > Canva > Kenmerktoewijzing.
4. Selecteer onder Kenmerkende optie Toewijzing toevoegen, selecteer het directoryveld (bijv. Werknemersgegevens > Kostenplaats) aan de linkerkant en voer TeamId in als het App-kenmerk aan de rechterkant.
5. Opslaan. Google stuurt nu de waarde van dat veld als het TeamId-kenmerk naar elke SAML-bevestiging.

Optie 2: Google Groepen gebruiken

Het beste als je dit liever per lidmaatschap regelt dan per veld per gebruiker.

1. Maak in Google Beheerderscentrum twee groepen: één voor personeel (bijv. 'Werknemers') en één voor studenten (bijv 'Leerlingen') en voeg aan elk de relevante gebruikers toe.
2. Scrol in dezelfde SAML-app van Canva (Apps > Web- en mobiele apps > Canva > Kenmerktoewijzing) naar Groepslidmaatschap (optioneel).
3. Voeg beide groepen toe en stel het App kenmerk in op TeamId.
4. Opslaan. Google stuurt de overeenkomende groepsnaam als de TeamId-waarde voor elke gebruiker.

Hoe dan ook: de waarden die je verstuurt (bijv. 'student'/'employee' of je groepsnamen) moeten exact overeenkomen met de TeamId waarden die zijn geconfigureerd voor de corresponderende teams in Canva's Organisatie-instellingen > Teams.

Verzamel deze van je Identity Provider:

• SAML 2.0-eindpunt (HTTP) (SSO-URL)
• uitgever Identity Provider (entiteits-ID)
• Openbaar certificaat (x.509, Base64-gecodeerd)

Voer deze in op de pagina met Canva SSO-instellingen.

1. Ga in Canva naar Accountinstellingen. Selecteer vervolgens SSO & Inrichten.
2. Selecteer onder Kies wie SSO moet gebruiken de optie SSO optioneel voor iedereen.
3. Uitloggen en selecteer vervolgens op de inlogpagina Verdergaan met eenmalige aanmelding (SSO).
4. Testen met:
   • Een leerlingaccount
   • Een werknemersaccount (indien beide zijn geconfigureerd)

Je kunt ook de knop SSO testen gebruiken op de instellingenpagina.

Opties:

• Alleen voor leden in je team (aanbevolen voor de meeste campussen)
  • Hiermee kunnen alumni/andere gebruikers buiten je team Canva blijven gebruiken.
• Vereist voor iedereen (domeinconsolidatie)
  • Schoonste inlogervaring Alle gebruikers op je geverifieerde domein moeten inloggen via SSO. Aanbevolen voor volledige implementaties op de campus.

Zie SSO-aanmeldings- en registratiebeheer instellen voor meer informatie.

Als SSO is ingeschakeld (optioneel of vereist), moeten gebruikers inloggen met SSO om lid te worden van Campus-teams.

Vraag Canva-ondersteuning of je Canva-vertegenwoordiger om een aangepaste SSO-inloglink.

Veel medewerkers en faculteiten hebben al een persoonlijk Canva-account dat is gekoppeld aan hun zakelijk e-mailadres. Wanneer SSO is ingeschakeld, zien deze gebruikers een eenmalige prompt om hun bestaande account te koppelen bij de eerste keer inloggen.

• Gebruikers moeten het koppelen van het account voltooien voordat ze volledig kunnen worden beheerd via SCIM of provisioningbeleid. We raden je aan om je personeel hiervan vóór de livegang op de hoogte te brengen, zodat ze weten dat ze deze prompt kunnen verwachten.
• Als een gebruiker zowel een persoonlijk als een zakelijk Canva-account heeft, wordt hen gevraagd te kiezen welke ze willen koppelen. Ontwerpen van ontkoppelde accounts gaan niet verloren; ze kunnen handmatig worden gekopieerd, maar accounts kunnen niet worden samengevoegd.
• Gebruikers die dit overslaan of een fout tegenkomen tijdens het koppelen, kunnen hier later naar terugkeren via Instellingen. Selecteer Inloggen en beveiligingen selecteer vervolgens Je SSO-account koppelen.

Met gebruikersprovisioning wordt bepaald hoe medewerkers en leerlingen aan hun respectievelijke Canva-teams worden toegevoegd en wanneer ze worden verwijderd. Er worden drie opties ondersteund. SSO moet volledig worden geconfigureerd voordat een provisioningmethode wordt geactiveerd.

Hoe het werkt: je Identity Provider pusht gebruikersgroepen naar Canva via de SCIM API. De inrichtingsbeleid-engine van Canva leest die groepslidmaatschappen en plaatst gebruikers automatisch in het juiste team (personeel of leerlingen) en in relevante subgroepen. Wanneer een gebruiker wordt verwijderd uit een groep in je Identity Provider, wordt deze automatisch uitgeschreven bij Canva.

Ondersteunde IdP's: Microsoft Entra ID, Okta, PingFederate, PingOne.

Opmerking: Google Workspace biedt geen ondersteuning voor SCIM-groepspush. Gebruik in plaats daarvan optie 2 of 3.

SCIM-provisioningbeleid is een opt-infunctie die door Canva moet worden ingeschakeld. Neem contact op met de ondersteuning

1. SCIM inschakelen in Canva: Ga naar Instellingen. Selecteer SSO & Inrichten, selecteer vervolgens Inrichten configureren. Schakel SCIM-inrichting in, en kopieer de SCIM API-token.

Let op het SCIM-eindpunt: https://www.canva.com/_scim/v2. Neem contact op met uw Canva-vertegenwoordiger om het SCIM-inrichtingsbeleid voor uw organisatie in te schakelen voordat u verdergaat.

2. Configureer SCIM in uw Identity Provider: Voer de SCIM-eindpunt en API-token in de inrichtingsinstellingen van uw Identity Provider in. Zie Identity Provider-specifieke hulplijnen voor Entra ID en Okta op het Canva Helpcentrum.

3. Groepen pushen vanuit uw Identity Provider: Wijs de groepen die u wilt synchroniseren toe aan Canva (bijv. canva-staff, canva-leerlingen).

4. Inrichtingsbeleid maken in Canva: Ga naar Instellingen. Selecteer Beveiliging en selecteer vervolgens Inrichtingsbeleid. Selecteer Beleid maken. Geef het een naam, selecteer de Identity Provider-groep als voorwaarde, selecteer het doel-Canva Teams en kies het groepssynchronisatiegedrag (maak een nieuwe groep aan, of synchroniseer met een bestaand Canva Teams; namen moeten exact overeenkomen). Maak minimaal twee beleidsregels aan: één die uw personeelsgroep koppelt aan het personeelsteam en één die uw leerlingengroep koppelt aan het leerlingenteam.

Belangrijke gedragingen:

• Uitschrijven: wanneer een gebruiker wordt verwijderd uit een IdP-groep, worden ze automatisch verwijderd uit hun Canva-team en wordt hun account vergrendeld.
• Toegang herstellen: als je de gebruiker opnieuw toevoegt aan de IdP-SCIM, wordt deze automatisch opnieuw ingericht.
• Als je een beleid verwijdert, worden alle Canva-team-/groepslidmaatschappen verwijderd die door dat beleid worden toegepast. Wees voorzichtig bij het gebruik.
• Groepen die zijn gemaakt door provisioningbeleid zijn vergrendeld; Canva-leden kunnen niet handmatig worden toegevoegd of verwijderd. De IdP is de bron van de waarheid.
• Reeds bestaande Canva-gebruikers moeten het SSO-account koppelen voordat SCIM ze volledig kan beheren. Vraag deze gebruikers om in te loggen via SSO voordat ze SCIM activeren.
• SCIM verstuurt geen welkomst-e-mails wanneer studenten worden ingeschreven in het studententeam.
• Provisioningbeleid controleert alleen de team- en groepstoewijzing, niet de rollen. De roltoewijzing moet worden afgehandeld via SAML-roltoewijzing of handmatig worden ingesteld.

Hoe het werkt: de onderwijsinstelling stuurt Canva vooraf een lijst met gebruikers die moeten worden ingericht. Canva uploadt deze gebruikers naar de juiste teams.

Het meest geschikt voor: instellingen met Identity Provider (bijv. Google Workspace) die SCIM-groepspush niet ondersteunen, of voor het eerste teampopulatie aan het begin van een semester.

Hoe een CSV-upload aan te vragen:

1. Bereid een spreadsheet voor met de volgende kolommen: e-mailadres, teamtaak.
2. Stuur het Bestand naar je Canva-vertegenwoordiger of neem contact op met Canva Ondersteuning.
3. Canva zal de upload verwerken en bevestigen wanneer deze voltooid is.
4. De eerste login van gebruikers moet via SSO zijn.

Opmerking: CSV-uploads zijn niet geautomatiseerd. Voor overgangen naar een semester of personeelswijzigingen moet een nieuw CSV worden ingediend bij ons Helpdesk. Reeds bestaande Canva-gebruikers die zijn opgenomen in het CSV-bestand, worden gevraagd om hun bestaande account te koppelen bij de eerste keer inloggen met SSO.

Hoe het werkt: er zijn geen gebruikers voorgeladen. Wanneer een gebruiker zich voor de eerste keer verifieert via SSO, leest Canva diens SAML-kenmerken, met name TeamId en optioneel rol, en worden ze automatisch toegevoegd aan het juiste team. Elke volgende keer inloggen zorgt ervoor dat hun teamlidmaatschap gesynchroniseerd blijft.

Belangrijk: als JIT je primaire inrichtingsmethode is, raadt Canva je ten zeerste aan domeinconsolidatie (vereist voor iedereen) in te schakelen als SSO-inlogbeheer. Zonder domeinregistratie kunnen gebruikers op je domein SSO omzeilen, wat betekent dat JIT mogelijk niet alle gebruikers bereikt en de uitschrijving handmatig moet worden afgehandeld.

Hoe JIT werkt:

1. De gebruiker navigeert naar Canva en verifieert via uw Identity Provider.
2. Canva leest de TeamId-waarde in de SAML-bewering.
3. De gebruiker wordt automatisch toegevoegd aan de Canva Teams waarvan de TeamId overeenkomt.
4. Als een rolkenmerk aanwezig is, wordt de gebruiker de corresponderende rol toegewezen (ontwerper voor medewerkers, lid voor leerlingen).
5. Bij volgende aanmeldingen controleert Canva het teamlidmaatschap opnieuw aan de hand van de SAML-bewering.

• Geen pre-inrichting: gebruikers worden alleen weergegeven in Canva na hun eerste SSO-aanmelding. Bulkcommunicatie of het delen van sjablonen kan zich niet richten op gebruikers die nog niet zijn ingelogd.
• Geen automatische uitschrijving: als je een gebruiker van je Identity Provider verwijdert, wordt deze niet van Canva verwijderd. Het uitschrijven moet handmatig gebeuren of via een afzonderlijke SCIM-configuratie.
• Schakel JIT alleen uit als SCIM volledig operationeel is en is geconfigureerd om alle inrichting af te handelen.

Canva for Campus ondersteunt LTI (Learning Tools Interoperability), waardoor faculteiten Canva-taken in je LVS kunnen insluiten en leerlingen Canva-ontwerpen kunnen indienen als cursussen.

SSO moet volledig worden geconfigureerd voordat je LTI instelt. Zie LMS-integratiehandleidingen voor platformspecifieke installatie-instructies.

Het e-maildomein van de gebruiker is niet geverifieerd in je Canva SSO-instellingen, of ze hebben hun bestaande Canva-account niet aan SSO gekoppeld.

Controleer of het e-maildomein van de gebruiker overeenkomt met een geverifieerd domein in uw Canva SSO-instellingen. Als ze al een Canva-account hebben, moeten ze mogelijk hun account koppelen; leid ze dan naar Instellingen, vervolgens naar Inloggen en beveiliging, en selecteer Uw SSO-account koppelen.

Voor foutspecifieke begeleiding, zie Problemen oplossen met SSO-foutenop het Canva Hulpcentrum.

De TeamId-waarde die door je identiteitsprovider wordt verzonden, komt niet precies overeen met het TeamId dat in Canva is geconfigureerd. TeamId-waarden zijn hoofdlettergevoelig.

Controleer of de TeamId-waarde die is verzonden door uw Identity Provider overeenkomt met de TeamId die is ingesteld in Canva (ga naar

Mogelijk is er geen provisioningbeleid ingesteld of ingeschakeld voor je organisatie, is het SCIM API-token mogelijk niet meer geldig of hebben reeds bestaande Canva-gebruikers hun eerste SSO-aanmelding nog niet voltooid.

• Controleer of de inrichtingsbeleidsregels zo zijn ingesteld dat je Identity Provider-groepen worden gekoppeld aan de juiste Canva Teams.
• Bevestig dat de inrichtingsbeleidsregels voor je organisatie zijn ingeschakeld door je Canva-vertegenwoordiger.
• Controleer of het SCIM-API-token in je Identity Provider actueel is, met name als SCIM onlangs is omgeschakeld.
• Als getroffen gebruikers al een Canva-account hebben, laat hen dan eenmalig inloggen via SSO en probeer de synchronisatie vervolgens opnieuw.

De gebruiker is niet opnieuw geregistreerd via je Identity Provider of de SCIM-synchronisatie is niet voltooid.

Voeg de gebruiker opnieuw toe in uw Identity Provider en laat SCIM synchroniseren. Als het probleem aanhoudt, neem dan contact op met Canva Ondersteuning.

De student is niet geregistreerd bij het studententeam van de instelling of hij/zij logt in met een persoonlijk Canva-account in plaats van SSO.

Bevestig dat het leerling team is ingericht door Canva en dat leerlingen inloggen via SSO. Leerlingen moeten lid zijn van het leerling team van de instelling om toegang te krijgen tot premium functies — inloggen met een persoonlijk account geeft geen toegang.

Kunnen medewerkers en leerlingen content met elkaar delen?

Medewerkers en leerlingen behoren tot afzonderlijke Canva-teams en kunnen content niet rechtstreeks delen. Er kunnen echter samenwerkingskoppelingen worden gebruikt tussen leerlingen en personeel (faculteit). Faculteit kan ook Canva-sjablonen en -taken delen met leerlingen via je LVS-integratie.

Kunnen alumni hun Canva-toegang behouden na hun afstuderen?

Als SSO is ingesteld op Alleen voor leden in je team, verliezen gebruikers die uit je Canva-teams zijn verwijderd de toegang tot Campus-functies, maar behouden ze nog een persoonlijk Canva-account. Met Vereist voor iedereen (domeinconsolidatie) is toegang gekoppeld aan je IdP; gebruikers van wie de IdP-toegang is ingetrokken, verliezen de toegang tot Canva op hun instellingsdomein.

Studenten die hun ontwerpen willen behouden, moeten stappen ondernemen om de content te kopiëren of over te dragen voordat ze afstuderen of de instelling verlaten. Zie Ontwerpen kopiëren voordat je afstudeert voor gedetailleerde instructies.