Configuração de SAML com o PingFederate

Antes de configurar o início único de sessão (SSO) para sua equipe, verifique se você tem:

1. uma conta do PingFederate;
2. uma conta no Canva com um domínio verificado e acesso de administrador/titular;
3. um repositório de dados dos usuários (por exemplo, LDAP). Como a configuração de repositórios de dados pode variar entre empresas, não vamos entrar em detalhes sobre sua configuração.

Conferidos os requisitos acima, você pode começar a configurar o SSO para sua equipe.

1. Caso ainda não tenha feito isso, crie um repositório de dados acessando Sistema e Repositório de dados.
2. Selecione "Criar novo repositório de dados" se a fonte de dados desejada não estiver presente. A fonte de dados teria uma lista dos usuários e de seus atributos (nome, e-mail, etc.).

1. Caso ainda não tenha feito isso, crie um validador de credenciais de senha acessando Sistema, Validador de credenciais de senha e Criar nova instância. Se você já tiver um validador de credenciais de senha, confira se ele é compatível com sua fonte de dados.
2. Assegure-se de que o contrato do validador de credenciais de senha inclua o seguinte: sobrenome, nome, nome do usuário/ID/UPN e e-mail.

1. Crie uma nova conexão selecionando Apps > Conexões a provedores de serviços > Criar conexão (

2. Selecione Não usar um modelo.

3. Na aba Tipo de conexão, selecione SSO no navegador e, no menu suspenso, escolha SAML2.0.

4. Na aba Opções de conexão, selecione SSO no navegador.

5. Na aba Importar metadados, selecione URL e, depois, Gerenciar URLs de metadados de parceiros.

6. Selecione Adicionar nova URL.

7. Insira o nome e a URL como https://www.canva.com/_saml/metadata.xml. Desmarque a opção Validar assinatura de metadados.

8. Selecione Carregar metadados, confira se os valores estão corretos e selecione Salvar.

9. Clique no nome que você inseriu no menu suspenso, escolha Carregar metadados e selecione Avançar.

10. Adicione informações gerais e confira se o ID de conexão é igual ao exibido. Dê um nome ao app e modifique o registro de transações de acordo com suas necessidades.

1. No PingFederate, selecione SSO no navegador e, depois, Configurar SSO no navegador.

2. Na aba Perfis de SAML, selecione tanto SSO iniciado pelo provedor de identidade quanto SSO iniciado pelo provedor de serviços.

3. Na aba Tempo de vida da asserção, modifique o valor de acordo com sua preferência.

4. Em Criação de asserções, selecione Configurar a criação de asserções.

5. Selecione Padrão.

6. Faça o mapeamento dos atributos como mostrado na captura de tela abaixo.

7. Em Instância do adaptador, crie uma nova instância ou selecione uma existente. Se já houver alguma instância do adaptador, confira se os atributos necessários para o Canva estão disponíveis.
8. Estenda o contrato conforme exibido. Observe que os atributos são provenientes do repositório de dados. Faça as atualizações necessárias se estiver usando uma fonte de dados diferente ou se os atributos com o mesmo nome não estiverem presentes. Certifique-se de que os atributos necessários sejam e-mail, nome e sobrenome.

9. Selecione um ID como a chave única. Em Registro, modifique as opções de acordo com suas necessidades.

10. Em Contrato do adaptador, configure-o ou selecione um contrato existente. Os atributos necessários para o Canva são e-mail, nome e sobrenome. Mapeie de acordo e insira o valor do filtro.

11. No menu suspenso, selecione o adaptador recém-criado ou outro adaptador existente.

12. Selecione Usar somente os valores do contrato do adaptador na asserção de SAML.

13. Ajuste o mapeamento conforme exibido abaixo. Se você preferir usar critérios de emissão, adicione-os aqui.

14. Em Configurações do protocolo, selecione Configurar o protocolo.

15. Confira se a URL do terminal de login é igual à exibida.

16. Desmarque as opções SOAP e Artefato.

17. Selecione Sempre assinar a asserção.

18. Na aba Criptografia, selecione Nenhuma.

19. Confira os valores e selecione Salvar.
20. Na aba Credenciais, selecione Configurar credenciais.

21. Crie um novo certificado ou selecione um que já esteja ativo.

1. No PingFederate, acesse Aplicativos > Conexões a provedores de serviços. Você deve ver a conexão recém-criada.
2. Selecione Exportar metadados.

3. Em Certificados, selecione o certificado usado anteriormente. Assegure-se de que o certificado usado na conexão seja o mesmo utilizado para assinar os metadados exportados.
4. Selecione Exportar e salve o arquivo.

5. Abra o arquivo exportado e anote o Valor do certificado e o Valor de vinculação do POST de SSO.

6. Acesse Sistema, selecione Configurações do protocolo e depois, Informações da federação. Insira a URL de vinculação do POST dos metadados exportados.

1. Faça login na sua conta do Canva.
2. Na página inicial, clique no perfil da sua conta para abrir o menu.
3. Escolha
   Configurações.
4. No menu lateral, clique em
   SSO e provisionamento.
5. Em Verificação de domínio, insira o domínio da sua equipe.
6. Clique em Enviar domínio. Você receberá um token DNS.
7. Crie um registro TXT do token DNS usando seu host de domínio. Você pode pedir ajuda à equipe de TI para fazer isso.

1. Faça login na sua conta do Canva.
2. Na página inicial, clique no perfil da sua conta para abrir o menu.
3. Escolha
   Configurações.
4. No menu lateral, clique em
   SSO e provisionamento.
5. Na seção de autenticação de SAML, insira as seguintes informações do PingFederate.
6. No campo Terminal de SAML 2.0 (HTTP), cole a URL do serviço de início único de sessão do provedor de identidade. Ela está disponível nos metadados exportados.
7. No campo Emissor do provedor de identidade, cole seu ID de emissor. Ela está disponível nos metadados exportados.
8. No campo Certificado público, cole todo o conteúdo da seção Certificado X.509 nos metadados baixados.

9. Clique em Salvar alterações.

1. Na página inicial, clique no perfil da sua conta para abrir o menu.
2. Escolha
   Configurações.
3. No menu lateral, clique em
   SSO e provisionamento.
4. Em Escolher quem deve usar o início único de sessão (SSO), selecione SSO opcional para todos.
5. Faça logout da sua conta no Canva.
6. Faça login de novo usando o SSO. Na página de login, selecione Continuar com e-mail e, depois, selecione o link Continuar com o início único de sessão (SSO).

Se você for redirecionado à conta da sua equipe, significa que o SSO foi configurado corretamente.

Escolha como você quer que as pessoas façam login em equipes que tenham o início único de sessão (SSO) habilitado.

1. Na página inicial, clique no perfil da sua conta para abrir o menu.
2. Escolha
   Configurações.
3. No menu lateral, clique em
   SSO e provisionamento.
4. Em Escolher quem deve usar o início único de sessão (SSO), selecione uma opção. Saiba mais sobre cada opção em Configurar controles de login e registro.
5. Clique em Salvar alterações.