Configuração do SAML com o Azure AD/Entra ID (Canva para Educação)

Configure o início único de sessão (SSO) para a sua equipe usando o Azure Active Directory (AD)/Entra ID da Microsoft.

1. Na sua conta de administrador do Azure AD ou do Entra ID, acesse o Microsoft Entra ID no menu do portal.
2. Em Gerenciar, selecione Aplicativos Enterprise.
3. Clique em Novo aplicativo.
4. Na barra de busca, digite Canva e selecione-o na lista de resultados.

5. Clique em Create (Criar) para adicionar o aplicativo.

6. Selecione Configurar logon único.

7. Aceite e salve as configurações de início único de sessão. O identificador e a URL de resposta são preenchidos por meio do app e não precisam ser atualizados.

8. Opcional: Na seção Atributos e Declarações, é possível atualizar os nomes das declarações da seguinte forma para facilitar o entendimento.

9. Garanta que os atributos estejam configurados exatamente com os mesmos “nomes de declaração” exibidos abaixo. As escolas individuais e marcas educacionais com listas de turmas não sincronizadas não precisam do atributo TeamID.

• Escola individual

• Configurações de várias escolas com listas de turmas não sincronizadas

10. Na seção SAML Signing Certificate (Certificado de assinatura de SAML), clique em

11. Mais abaixo, na seção Set up Canva (Configurar o Canva), copie os dados a seguir. Você precisará deles para concluir a configuração no Canva.

• Login URL (URL de login)
• Azure AD/Entra ID Identifier (Identificador do Azure AD/Entra ID)

1. No Azure AD/ Entra ID, acesse a página Properties (Propriedades).
2. Configure o acesso dos usuários ao Canva. Escolha uma das opções a seguir:

• Para permitir que todos os usuários usem o Canva, defina o campo User assignment required (Atribuição de usuário necessária) como No (Não).
• Para permitir que apenas usuários específicos usem o Canva, acesse Users and Groups (Usuários e grupos), depois adicione os usuários e grupos que devem ter acesso ao Canva.

Este passo serve para identificar quais usuários são estudantes e quais são professores ou funcionários. Existem duas maneiras de fazer isso.

Caso seja possível diferenciar as funções dos usuários pelo domínio de e-mail, configure uma regra para enviar o atributo de função de professor se o domínio for @rede-escolar.org e não @estudantes.rede-escolar.org.

Neste passo, o nome da sua declaração deve ser Role (função), e o campo Namespace (Espaço de nomes) deve ficar em branco.

Caso seja possível diferenciar as funções dos usuários de acordo com os grupos aos quais eles estão associados, você pode configurar uma regra para enviar o atributo de função de professor aos usuários que façam parte de grupos de funcionários no Azure/Entra ID. Para isso, basta adicionar uma nova declaração na seção Attributes & Claims (Atributos e declarações).

Neste passo, o nome da sua declaração deve ser Role (função), e o campo Namespace (Espaço de nomes) deve ficar em branco.

Para saber mais, consulte o artigo da Microsoft sobre como personalizar declarações emitidas no token SAML para apps empresariais.

No caso de redes escolares com configuração de várias escolas, você precisará transferir os dados da lista de integrantes ao Canva para nos ajudar a identificar a qual escola cada usuário deverá ser atribuído.

Existem diferentes maneiras de fazer isso. Escolha abaixo a opção mais adequada às suas necessidades:

Os usuários do Classlink podem nos enviar os dados da lista de integrantes por meio do RosterSync. Para saber como, consulte Provisionamento com OneRoster.

Existem várias maneiras de fazer isso:

Se houver um atributo no app de SAML com o nome, ID ou qualquer outro identificador único relacionado à escola, você poderá usá-lo como atributo de “TeamId” para informar a qual escola cada usuário pertence.

1. No app do Canva no Azure/Entra ID, selecione Single Sign-on (Início único de sessão).
2. Edite o campo Attributes & Claims (Atributos e declarações).
3. Adicione uma declaração chamada TeamId.
4. Em Source attribute (Atributo de origem), selecione o atributo que envia o identificador único da escola.

Em seguida, envie ao Canva um arquivo CSV contendo o nome de cada escola e o valor “TeamId” correspondente, que será enviado por meio da declaração.

Também é possível criar uma nova declaração e usar condições para enviar os valores do atributo "TeamId" com base nos grupos ou outros atributos dos usuários.

Para fazer isso, crie manualmente um conjunto de condições que indiquem ao app de SAML o valor do atributo que deve ser enviado para cada usuário de acordo com o grupo em que ele está.

Por exemplo, se os alunos da Escola Harmonia estiverem em "Estudantes Harmonia" e os funcionários estiverem em "Equipe Harmonia", você pode usar condições de declaração para instruir o app de SAML a enviar "Harmonia" como "TeamId" para os dois grupos.

1. No app do Canva no Azure/Entra ID, selecione Single Sign-on (Início único de sessão).
2. Edite o campo Attributes & Claims (Atributos e declarações).
3. Adicione uma declaração chamada TeamId.
4. Selecione Claim conditions (Condições de declaração).
5. Em cada conjunto de grupos que compõem uma escola, selecione Members (Membros) como o tipo de usuário, depois selecione os grupos.
6. Selecione Attribute (Atributo), depois insira o valor que será o identificador único da escola.

Em seguida, envie ao Canva um arquivo CSV contendo o nome de cada escola e o valor “TeamId” correspondente, que será enviado por meio da declaração.

No app de SAML, você também pode criar uma declaração de grupo, que envia o nome do grupo como um valor de declaração. Para que essa opção funcione, é preciso ter apenas um grupo para cada escola no app de SAML. Esse grupo precisa conter todos os usuários da escola (estudantes e funcionários), e os grupos escolares precisam ser os únicos grupos enviados como parte da declaração.

1. no app do Canva no Azure/ Entra ID, selecione Single Sign-on (Início único de sessão).
2. Edite o campo Attributes & Claims (Atributos e declarações).
3. Adicione uma declaração de grupo chamada TeamId.
4. Siga as instruções sobre como configurar declarações de grupo para aplicativos via Azure Active Directory.

Em seguida, envie ao Canva um arquivo CSV contendo o nome de cada escola e o valor “TeamId” correspondente, que será enviado por meio da declaração.

1. Faça login na sua conta do Canva.
2. Acesse o avatar do seu perfil e selecione
   Configurações.
3. No menu lateral, selecione
   SSO e provisionamento.
4. Selecione Início único de sessão (SSO), Gerir e Editar metadados IdP.
5. No campo SSO ou login URL (URL de login), cole o seu Login URL (URL de login).
6. No campo Entity ID (ID da entidade) ou Issuer URL (URL do emissor), cole o Azure AD/ Entra ID Identifier (Identificador do Azure AD
7. No campo X.509 public certificate, cole todo o conteúdo do SAML Signing Certificate - Base64 encoded.
8. Clique em Save (Salvar) e Next (Av

Existem duas maneiras fáceis de testar sua configuração:

1. Acesse o avatar do seu perfil e, em seguida,
   Configurações.
2. No menu lateral, selecione
   SSO e provisionamento.
3. Em Início único de sessão (SSO), selecione Gerir e, em seguida, Testar SSO.

1. Vá para
   SSO e provisionamento.
2. Selecione Início único de sessão (SSO), Gerir e Configurar definições de SSO.
3. Defina a opção de configurações de SSO como Opcional para todos.
4. Faça logout da sua conta no Canva.
5. Na página de login, selecione Continuar com e-mail e, depois, faça login com SSO.

Não se esqueça de fazer testes usando a conta de estudante e a conta de professor. A configuração do início único de sessão (SSO) terá sido bem-sucedida se:

• Você fez login como professor e pode ver a página Pessoas.
• Você fez login como aluno e não consegue ver a página Pessoas.

Escolha como você quer que as pessoas façam login. Recomendamos configurar o início único de sessão (SSO) como obrigatório para todos os usuários no seu domínio.

1. Na página inicial, acesse o avatar do seu perfil e selecione
   Configurações.
2. No menu lateral, selecione
   SSO e provisionamento.
3. Selecione Início único de sessão (SSO), Gerir e Configurar definições de SSO.
4. Defina as configurações de SSO como Obrigatório para todas as pessoas (captura de domínio)
5. Clique em Salvar conexão.