Konfiguracja SAML Azure AD/ Entra ID (dla szkół)

Skonfiguruj pojedyncze logowanie (SSO) dla zespołu, korzystając z usługi Azure Active Directory (AD)/ Entra ID firmy Microsoft.

1. Z konta administratora usługi Azure AD lub identyfikatora Entra ID przejdź do identyfikatora Microsoft Entra w menu portalu.
2. W sekcji Zarządzaj wybierz Aplikacje dla przedsiębiorstw.
3. Kliknij opcję Nowa aplikacja.
4. W pasku wyszukiwania wpisz Canva, a następnie wybierz je z listy wyników.

5. Kliknij przycisk Utwórz , aby dodać aplikację.

6. Wybierz opcję Skonfiguruj pojedyncze logowanie.

7. Zaakceptuj i zapisz ustawienia pojedynczego logowania. Identyfikator i adres URL odpowiedzi są wstępnie wypełniane przez aplikację i nie trzeba ich aktualizować.

8. Opcjonalnie: w sekcji Atrybuty i twierdzenia nazwy twierdzeń można zaktualizować zgodnie z poniższym opisem, aby były bardziej zrozumiałe.

9. Upewnij się, że atrybuty są skonfigurowane tak, aby odpowiadały „nazwom roszczeń” dokładnie tak, jak pokazano poniżej. Pojedyncze szkoły i wszystkie marki edukacyjne, które nie korzystają z aplikacji, nie potrzebują atrybutu TeamID.

• Jedna szkoła

• Placówki wieloszkolne, które nie przyjmują obowiązków

10. W sekcji Certyfikat podpisywania SAML kliknij opcję

11. Niżej w sekcji „Konfiguruj platformę Canva”skopiuj poniższe dane. Będą one potrzebne do ukończenia konfiguracji na platformie Canva.

• Adres URL logowania
• Identyfikator Azure AD/ Entra

1. Przejdź do strony Właściwości w usłudze Azure AD/Entra ID.
2. Skonfiguruj dostęp użytkownika do platformy Canva. Wybierz jedno z poniższych rozwiązań:

• Aby wszyscy użytkownicy mogli korzystać z platformy Canva, w polu Wymagane przypisanie użytkownika wybierz opcję Nie.
• Aby zezwolić na używanie platformy Canva tylko określonym użytkownikom, przejdź do sekcji Użytkownicy i grupy, a następnie dodaj użytkowników i grupy, którym chcesz zapewnić dostęp do platformy Canva.

Umożliwi to identyfikowanie, którzy z użytkowników są uczniami, a którzy są nauczycielami lub pracownikami. Można to zrobić na dwa sposoby:

Jeśli role użytkowników są rozróżniane na podstawie domeny w ich adresie e-mail, możesz skonfigurować regułę, która przesyła atrybut „Role”, biorąc pod uwagę, że domena w adresie nauczycieli to @ district.org (w przeciwieństwie do domeny @students.district.org).

Upewnij się, że nazwa oświadczenia w tym kroku to „Role” oraz że pole „Przestrzeń nazw” jest puste.

Jeśli role użytkowników są rozróżniane na podstawie członkostwa w grupie, możesz skonfigurować regułę, która przesyła atrybut Role „Teacher” w przypadku użytkowników należących do grup pracowników w usłudze Azure/ Entra ID. Można to zrobić w sekcji Atrybuty i oświadczenia, dodając nowe oświadczenie.

Upewnij się, że nazwa oświadczenia w tym kroku to „Role” oraz że pole „Przestrzeń nazw” jest puste.

Aby uzyskać więcej informacji, zapoznaj się z artykułem firmy Microsoft dotyczącym dostosowywania roszczeń wydanych w tokenie SAML do aplikacji korporacyjnych.

W przypadku sieci szkół, dla których skonfigurowano wiele szkół, konieczne jest przeniesienie danych listy na platformę Canva, aby ułatwić nam ustalenie, do której szkoły należy przypisać danego użytkownika.

Można to zrobić na różne sposoby. Wybierz jedną z poniższych opcji, która najlepiej odpowiada Twoim potrzebom:

Jeśli korzystasz z platformy Classlink, możesz przesłać nam dane listy poprzez RosterSync. Sprawdź OneRoster Provisioning, aby dowiedzieć się, jak to zrobić.

Istnieje kilka możliwości skorzystania z tej opcji:

Jeśli w aplikacji SAML używany jest atrybut z nazwą szkoły, identyfikatorem szkoły lub innym unikatowym identyfikatorem powiązanym ze szkołą, możesz użyć go jako atrybutu „TeamId” w celu przesłania informacji o tym, do której szkoły należą poszczególni użytkownicy.

1. W aplikacji Canva w usłudze Azure/ Entra ID wybierz Pojedyncze logowanie.
2. Edytuj Atrybuty i Zastrzeżenia.
3. Dodaj oświadczenie i nadaj mu nazwę TeamId.
4. Jako Atrybut źródłowy wybierz atrybut wysyłający unikatowy identyfikator szkoły.

Następnie udostępnij platformie Canva plik CSV z nazwami poszczególnych szkół i odpowiadającymi im wartościami atrybutu „TeamId”, który zostanie wysłany w formie oświadczenia.

Można też utworzyć nowe oświadczenie i użyć warunków oświadczeń w celu wysłania wartości atrybutu „TeamId” na podstawie grup lub innych atrybutów użytkowników.

Możesz to zrobić, tworząc ręcznie zestaw warunków informujących aplikację SAML, które wartości atrybutu wysłać w przypadku każdego z użytkowników na podstawie grupy, do której należy.

Jeśli na przykład uczniowie szkoły podstawowej Harmony należą do grupy „Uczniowie Harmony”, a pracownicy należą do grupy „Pracownicy Harmony”, trzeba poinstruować aplikację SAML za pomocą warunków oświadczeń, że w przypadku obu grup jako atrybutu „TeamId” musi użyć „Harmony”.

1. W aplikacji Canva na platformie Azure/ Entra ID wybierz opcję Pojedyncze logowanie.
2. Edytuj Atrybuty i Zastrzeżenia.
3. Dodaj roszczenie i nazwij je TeamId.
4. Wybierz Warunki roszczenia.
5. Dla każdego zestawu grup, który składa się na szkołę, jako typ użytkownika wybierz opcję Członkowie, a następnie wybierz grupy.
6. Wybierz Atrybut, a następnie wprowadź wartość, która ma służyć jako unikatowy identyfikator szkoły.

Następnie udostępnij platformie Canva plik CSV z nazwami poszczególnych szkół i odpowiadającymi im wartościami atrybutu „TeamId”, który zostanie wysłany w formie oświadczenia.

Można także utworzyć w aplikacji SAML oświadczenie grupy, które umożliwia wysłanie nazwy grupy jako wartości oświadczenia. Aby można było skorzystać z tego rozwiązania, w aplikacji SAML każda ze szkół musi mieć jedną grupę. Do tej grupy muszą należeć wszyscy użytkownicy z danej szkoły (uczniowie i pracownicy), przy czym te grupy szkolne muszą być jedynymi grupami wysłanymi w ramach oświadczenia.

1. w aplikacji Canva na karcie Azure/Entra ID wybierz opcję pojedynczego logowania.
2. Edytuj atrybuty i twierdzenia.
3. Dodaj przejęcie grupy i nadaj jej nazwę TeamId.
4. Postępuj zgodnie z instrukcjami dotyczącymi konfigurowania oświadczeń grupy dla aplikacji za pośrednictwem usługi Azure Active Directory.

Następnie udostępnij platformie Canva plik CSV z nazwami poszczególnych szkół i odpowiadającymi im wartościami atrybutu „TeamId”, który zostanie wysłany w formie oświadczenia.

1. Zaloguj się na konto Canva.
2. Przejdź do awatara profilu, a następnie wybierz opcję
   Ustawienia.
3. Z menu bocznego wybierz opcję
   SSO i aprowizacja.
4. Wybierz opcję Pojedyncze logowanie (SSO), Zarządzaj, a następnie Edytuj metadane dostawcy tożsamości.
5. W poluSSO lub adresu URL logowania wklej adres URL logowania.
6. W polu Identyfikator jednostki lub Adres URL wystawcy wklej identyfikator identyfikatora Entra i usługi Azure AD.
7. W polu certyfikatu publicznego X.509 wklej całą zawartość z certyfikatu SAML do podpisywania plików zakodowanych algorytmem Base64.
8. Kliknij Zapisz i dalej.

Istnieją dwa proste sposoby na przetestowanie konfiguracji:

1. Przejdź do swojego awatara profilu, a następnie
   do sekcji Ustawienia.
2. Z menu bocznego wybierz opcję
   SSO i aprowizacja.
3. W sekcji Pojedyncze logowanie (SSO), wybierz opcję Zarządzaj, a następnie opcję Test SSO.

1. Przejdź do
   sekcji SSO i aprowizacji.
2. Wybierz opcję Pojedyncze logowanie (SSO), Zarządzaj, a potem Skonfiguruj ustawienia SSO.
3. Ustaw opcję ustawień pojedynczego logowania (SSO) na Opcjonalne dla wszystkich.
4. Wyloguj się z konta Canva.
5. Na stronie logowania wybierz opcję Kontynuuj za pomocą adresu e-mail, a następnie opcję Zaloguj się za pomocą pojedynczego logowania (SSO).

Przeprowadź test, używając konta ucznia oraz konta nauczyciela. Jeśli konfiguracja pojedynczego logowania (SSO) przebiegła pomyślnie:

• Zalogowałeś się jako nauczyciel i możesz zobaczyć stronę Osoby.
• Zalogowałeś się jako uczeń i nie możesz zobaczyć strony Osoby.

Wybierz, jak użytkownicy mają się logować. Zalecamy wymaganie pojedynczego logowania (SSO) w przypadku wszystkich użytkowników w domenie.

1. Na stronie głównej przejdź do awatara profilu, a następnie wybierz
   opcję Ustawienia.
2. Z menu bocznego wybierz opcję
   SSO i aprowizacja.
3. Wybierz opcję Pojedyncze logowanie (SSO), Zarządzaj, a potem Skonfiguruj ustawienia SSO.
4. W ustawieniach pojedynczego logowania (SSO) wybierz ustawienie Wymagane dla wszystkich (przechwytywanie domeny)
5. Kliknij Zapisz połączenie.