Configurar o início único de sessão (SSO) e o provisionamento para o Canva Universidades

O Canva Universidades é a solução do Canva para instituições de ensino superior ideal para implementações amplas. O provisionamento e a autenticação de usuários são gerenciados de forma centralizada pela sua equipe de TI, por meio de uma única organização do Canva.

Este guia inclui:

• Configuração do SSO
• Provisionamento de usuários
• Integração com sistema de gestão de aprendizagem (LMS) e resolução de problemas para administradores de TI.

No canto inferior esquerdo do Canva, selecione suas iniciais.

• Verifique se você está na sua equipe do Canva para Universidades (e não em uma conta pessoal ou Pro).
• Acesse
  Configurações.
• No menu à esquerda, selecione Configurações da organizaçãoe selecione SSO e provisionamento.

• Se essa opção não aparecer, fale com a sua pessoa de contato no Canva.

Em seguida, selecione Começar e confirme as permissões e o acesso às ferramentas de configuração. Selecione “ Quero acessar a configuração do SSO”para continuar.

1. Em 'Verificar os domínios que você quer usar com o início único de sessão (SSO)', selecione Adicionar um domínio.
2. Insira seu(s) domínio(s) e, em seguida, selecione Enviar.
3. Copie o token de registro TXT exibido.
4. No seu host de domínio (por exemplo, GoDaddy, Namecheap):
   • Vá para Configurações de DNS.
   • Adicione um registro TXT com o token.
   • Salve as alterações.
5. A verificação leva de 24 a 72 horas. Você receberá um e-mail assim que seu domínio for verificado.
   • Para verificar o status, use mxtoolbox.com.

Selecione o seu provedor de identidade abaixo para ver um guia sobre como adicionar o Canva. Temos guias para os seguintes provedores de identidade, mas você poderá usá-lo desde que seu provedor de identidade seja compatível com SAML 2.0.

• Configuração do SAML do Azure AD/Entra ID (para Canva Enterprise)
• Configuração do SAML do ADFS
• Configuração de SAML do Okta
• Configuração de SAML do G Suite (Google)
• Configuração de SAML de segurança Duo
• Configuração do SAML para OneLogin
• Configuração de SAML da Salesforce

Se o seu não estiver na lista acima, use:

• URL do ACS/URL de resposta: https://www.canva.com/login/saml
• Identificador/ID da entidade: https://www.canva.com
• Atributos do SAML: NameID, E-mail, Nome, Sobrenome, ID de equipe (obrigatório para configurar o Canva Universidades com alunos)*
• Texto de metadados : caso seja necessário

Confira se a sua asserção SAML também inclui uma assinatura. Verifique suas configurações.

• Finalidade: Diferencia e atribui a licença correta a alunos e funcionários.
• Requisito: pelo menos dois valores únicos (por exemplo, estudantes, equipe).
• Pode ser mapeado a partir de atributos ou grupos de provedores de identidade existentes.
• Com o Shibbolth, o Canva é compatível com o esquema eduPersonAffiliation para o TeamId (entre em contato com o suporte ou o representante da conta do Canva para habilitar).

No Canva:

Acesse

A configuração do TeamId é fundamental para conceder licenças premium aos grupos de usuários corretos (especialmente para gerenciar licenças para estudantes).

No caso de instituições que usem o Entra ID (Microsoft 365), acesse a candidatura do Canva Enterprise. Selecione Início único de sessão, depois Atributos e declarações e, em seguida, Editar para configurar a declaração do TeamId.

Tanto "TeamId" quanto "TeamID" são aceitos como nomes de reivindicação. Para a maioria das implementações em universidades, a opção 1 (reclamação de grupo) é a prática recomendada. A opção 2 é uma boa alternativa se um atributo do usuário adequado já existir em seu diretório.

Crie um grupo de segurança dedicado para cada equipe do Canva. O nome para exibição do grupo é enviado como o valor do TeamId, e o Canva encaminha os usuários de acordo. Essa é a abordagem mais limpa e mais fácil de manter.

1. Em Atributos e Declarações, selecione Adicionar uma declaração de grupo.
2. Dê um nome à declaração como TeamId.
3. Configure para enviar nomes para exibição de grupo.

Importante: os grupos incluídos nessa solicitação devem corresponder exatamente aos valores do Canva TeamId, e nenhum outro grupo deve ser enviado como parte da mesma solicitação.

Uma boa opção se o diretório já tiver um atributo que diferencie os funcionários dos alunos de maneira confiável (por exemplo, stafftype, departamento ou um atributo de extensão).

1. Em Atributos e Declarações, selecione Adicionar nova declaração.
2. Nomeie a declaração como TeamId.
3. Defina a Origem como Atributo e selecione o atributo de diretório relevante.
4. Certifique-se de que os valores do atributo correspondam aos valores de TeamId que você definiu no Canva para cada equipe.

Observação: mesmo que essa abordagem possa funcionar, as condições de solicitação do Entra ID têm limitações e particularidades conhecidas (por exemplo, comportamento ao fazer pedidos de condições, casos limite com participação em grupo em sobreposição). Em geral, as opções 1 e 2 são mais confiáveis para implementações no Universidades.

Se continuar, especifique de forma manual qual valor do TeamId a ser enviado com base na participação no grupo Entra.

1. Em Atributos & Declarações, selecione Adicionar nova declaração.
2. Nomeie a declaração como TeamId.
3. Selecione Condições de declaração.
4. Para cada grupo (equipe, alunos), defina o Tipo de usuário como Membros, selecione os grupos Entra relevantes e insira o valor TeamId correspondente (por exemplo, "staff" ou "alunos").
5. Salve a declaração.

Use se os funcionários e os alunos tiverem domínios de e-mail diferentes (por exemplo, @equipe.universidade.edu vs. @estudante.universidade.edu). Isso extrai o domínio de e-mail e o usa como valor do TeamId.

1. Em Atributos e Declarações, selecione Adicionar nova declaração.
2. Nomeie a declaração TeamId.
3. Defina a Fonte como Transformação.
4. Aplique a transformação de Extração com 'After matching' em @, usando user.userPrincipalName ou user.mail como a fonte.

Certifique-se de que os valores do TeamId definidos no Canva correspondam às cadeias de domínio extraídas.

Para instituições que usam o Okta, o TeamId é configurado como um atributo do SAML. Antes de continuar, verifique se o aplicativo do Canva Okta está configurado, os grupos Okta foram atribuídos ao aplicativo do Canva e se as configurações de SAML estão definidas no Canva. Para obter orientações de configuração completas, consulte o guia de configuração de SAML do Okta na Central de Ajuda do Canva.

Crie grupos do Okta com nomes para exibição correspondentes aos valores do Canva TeamId (por exemplo, um grupo chamado "campus-staff" é mapeado para o TeamId "campus-staff"). O Okta filtra e envia o nome do grupo correspondente como o valor do TeamId no login.

1. No Okta, vá para Diretório, depois selecione Grupos e crie grupos usando uma convenção de nomenclatura consistente (por exemplo, todos os grupos de Universidades começam com "campus-").
2. Navegue até candidaturas, depois selecione Canva. Vá para Geral, depois para Configurações SAML, e selecione editar. Selecione Avançar até chegar à tela Configurar SAML.
3. Em Declarações de Atributos de Grupo, adicione:
   1. Nome: TeamId
   2. Filtros: Começa com, depois participe do seu prefixo de convenção de nomenclatura (por exemplo, "campus-")
4. Salvar. O Okta enviará o nome do grupo correspondente como o valor do TeamId.

Use esta opção se você não conseguir usar uma convenções de nomenclatura ou precisar mapear grupos específicos pelo Okta ID.

1. Para cada grupo, abra-o no Okta e registre o ID do grupo da URL (a sequência alfanumérica após a última /).
2. Navegue até Aplicativos, então selecione Canva. Vá para Geral, então selecione Configurações SAML, e selecione editar. Selecione Avançar.
3. Em Declarações de Atributos (não Declarações de Atributos de Grupo), adicione:
   1. Nome: TeamId
   2. Valor: Arrays.toCsvString(getFilteredGroups({"",""},"group.name",50))
   3. Substitua <group_id_1> e <group_id_2> pelos IDs de grupo da Etapa 1.

4. Selecione Avançar e depois laminação.

O Google Workspace não é compatível com declarações SAML condicionais baseadas em grupo como o Entra ID, mas há duas maneiras diretas de preencher o TeamId para a implantação do Canva nas suas Universidades.

Opção 1: Use um atributo de diretório existente (ou personalizado)

É melhor se você já rastreia um valor que diferencie a equipe dos alunos ou se quiser adicionar um.

1. No Google admin, acesse o perfil de um usuário e encontre (ou adicione) um atributo personalizado, por exemplo, um campo de centro de custo em um esquema personalizado de "Informações sobre funcionários" (junto com campos como ID do funcionário, cargo, departamento, ID do edifício, etc. ).
2. Preencha esse campo com um valor que identifique o grupo do usuário, por exemplo, defina Centro de custo como aluno para contas de estudantes e funcionário para contas de funcionários. Qualquer atributo existente que já diferencie as duas populações também funciona; O centro de custo é apenas um campo conveniente se não servir para nada mais.
3. No Google admin, acesse Apps > Apps da Web e apps móveis > Canva > Mapeamento de atributos.
4. Em Atributos, selecione Adicionar mapeamento, selecione o campo de diretório (por exemplo, Dados dos funcionários > Centro de custo) à esquerda e insira o TeamId como o atributo do app à direita.
5. Salvar. Agora, o Google enviará o valor desse campo como o atributo do TeamId em cada asserção SAML.

Opção 2: Use os Grupos do Google

É melhor se você preferir gerenciar isso por filiação do que por campo de usuário.

1. No Google admin, crie dois grupos: um para funcionários (por exemplo, “Funcionários”) e outro para alunos (por exemplo, “Alunos”) e adicione os usuários relevantes a cada um.
2. No mesmo app do Canva SAML (Aplicativos > Apps web e móveis > Canva > Mapeamento de atributos), role para baixo até participação em grupo (opcional).
3. Adicione os dois grupos e defina o atributo do app como TeamId.
4. Salvar. O Google enviará o nome do grupo correspondente como o valor do TeamId para cada usuário.

Seja como for: os valores que você enviar (por exemplo, “estudante”/”funcionário” ou os nomes dos seus grupos) devem corresponder exatamente aos valores do TeamId configurados para as equipes correspondentes em Configurações da organização do Canva > Equipes.

Colete estes recursos do seu provedor de identidade:

• SAML 2.0 Endpoint (HTTP) (URL de SSO)
• Emissor do provedor de identidade (ID da entidade)
• Certificado público (x.509, credenciado em Base64)

Insira essas informações na página de configurações do SSO do Canva.

1. No Canva, acesse Configurações da conta. Em seguida, selecione Início único de sessão (SSO) e provisionamento.
2. Em Escolha quem deve usar o Início Único de Sessão (SSO), selecione Início único de sessão (SSO) opcional para todos.
3. Faça logout e, na página de login, selecione Continuar com o Início Único de Sessão (SSO).
4. Teste com:
   • Uma conta de aluno
   • Uma conta de funcionário (se ambas estiverem configuradas)

Você também pode usar o botão Testar SSO na página de configurações.

Opções:

• Somente para membros da sua equipe (recomendado para a maioria das universidades)
  • Permite que ex-alunos/outros usuários de fora da equipe continuem usando o Canva.
• Obrigatório para todo mundo (captura de domínio)
  • Experiência de login mais limpa Todos os usuários do seu domínio verificado devem fazer login usando o início único de sessão (SSO). Recomendados para implementações completas da universidade.

Consulte como configurar o login e os controles de registro do início único de sessão (SSO) para obter mais informações.

Com o início único de sessão (SSO) ativado (opcional ou obrigatório), os usuários devem fazer login com o início único de sessão (SSO) para entrar nas equipes do Canva Universidades.

Peça para o suporte do Canva ou para um representante do Canva para obter um link personalizado para login com o início único de sessão (SSO).

Talvez muitos funcionários e professores já tenham uma conta pessoal no Canva vinculada ao seu endereço de e-mail profissional. Quando o início único de sessão (SSO) está ativado, esses usuários verão um comando único para vincular a conta existente na primeira vez que fizerem login.

• Os usuários devem concluir a vinculação das contas para que possam ser totalmente gerenciadas pelo SCIM ou pelas políticas de provisionamento. Recomendamos notificar a equipe antes do lançamento para que eles saibam que devem esperar esse comando.
• Se um usuário tiver uma conta com e-mail pessoal e uma conta no Canva, ele deverá escolher qual vincular. Os designs de contas desvinculadas não são perdidos. elas podem ser copiadas manualmente, mas não é possível mesclar as contas.
• Os usuários que pularem ou que encontrarem um erro durante a vinculação poderão voltar a ele mais tarde em Configurações. Selecione Login e segurança e, depois, clique em Vincular sua conta de início único de sessão (SSO).

O provisionamento de usuários controla como os funcionários e alunos são adicionados às suas respectiva Canva Equipes e removidos quando eles saem da equipe. São três opções disponíveis. O início único de sessão (SSO) deve ser totalmente configurado antes de ativar qualquer método de provisionamento.

Como funciona: seu provedor de identidade envia grupos de usuários ao Canva por meio da API do SCIM. O mecanismo de política de provisionamento do Canva leia as participações em grupos e coloque automaticamente os usuários na equipe certa (equipe ou alunos) e em qualquer subgrupo relevante. Quando um usuário é removido de um grupo no seu provedor de identidade, ele é automaticamente desprovisionado do Canva.

IdPs compatíveis: Microsoft Entra ID, Okta, PingFederate, PingOne.

Nota: o Google Workspace não é compatível com push de grupo via SCIM. Use as opções 2 ou 3.

As políticas de provisionamento via SCIM são um recurso opcional que deve ser habilitado pelo Canva. Para solicitar acesso, entre em contato com o suporte

1. Ative o SCIM no Canva: Vá para Configurações. Selecione Início único de sessão (SSO) & Provisionamento, depois selecione Configurar provisionamento. Ative o provisionamento SCIM e copie o token da API SCIM.

Observe o endpoint SCIM: https://www.canva.com/_scim/v2. Entre em contato com seu representante da Canva para habilitar as Políticas de Provisionamento SCIM para sua organização antes de prosseguir.

2. Configure o SCIM no seu provedor de identidade: Insira o endpoint SCIM e o token de API nas configurações de provisionamento do seu provedor de identidade. Consulte os guias específicos do provedor de identidade para Entra ID e Okta na Central de Ajuda do Canva.

3. Envie grupos do seu provedor de identidade: Atribua os grupos que você deseja sincronizar ao Canva (por exemplo, canva-staff, canva-alunos).

4. Criar Políticas de Provisionamento no Canva: Vá para Configurações. Selecione Segurança e, em seguida, selecione Políticas de Provisionamento. Selecione Criar Política. Dê um nome, selecione o grupo do provedor de identidade como condição, selecione o Canva Equipes de destino e escolha o comportamento de sincronização de grupo (crie um novo grupo ou sincronize com um grupo Canva existente — os nomes dos grupos devem corresponder exatamente). No mínimo, crie duas políticas: uma mapeando seu grupo de funcionários para a equipe de funcionários e outra mapeando seu grupo de alunos para a equipe de alunos.

Principais comportamentos:

• Desprovisionamento: quando um usuário é removido de um grupo de provedores de identidade, ele é removido automaticamente da equipe do Canva, e a conta é bloqueada.
• Estamos restaurando o acesso: se você adicionar o usuário de novo ao provedor de identidade, o SCIM reproduzirá o conteúdo de forma automática.
• Ao excluir uma política, todas as assinaturas de equipe ou grupo do Canva são removidas. Use com cuidado.
• Os grupos criados por políticas de provisionamento ficam bloqueados; Os membros do Canva não podem ser adicionados nem removidos manualmente. O provedor de identidade é a fonte da verdade.
• Os usuários pré-existentes do Canva devem concluir a vinculação da conta do início único de sessão (SSO) para que o SCIM possa gerenciá-los por completo. Solicite que esses usuários façam login via início único de sessão (SSO) antes de ativar o SCIM.
• O SCIM não envia e-mails de boas-vindas quando os alunos são provisionados na equipe de estudantes.
• As políticas de provisionamento servem para controlar apenas as atribuições de equipes e grupos, não as funções. A atribuição de função deve ser feita via mapeamento de funções do SAML ou definida de forma manual.

Como funciona: a instituição envia ao Canva uma lista de usuários para provisionar com antecedência. O Canva faz upload desses usuários nas equipes certas.

Ideal para: instituições onde o provedor de identidade (por exemplo, o Google Workspace) não é compatível com o push de grupo via SCIM ou para a população inicial da equipe no início de um semestre.

Como solicitar um upload de CSV:

1. Prepare uma planilha com as seguintes colunas: endereço de e-mail, tarefa da equipe.
2. Envie o Arquivo para seu representante da Canva ou entre em contato com o suporte da Canva.
3. A Canva processará o upload e confirmará quando estiver concluído.
4. O primeiro login dos usuários deve ser feito via início único de sessão (SSO).

Observação: o fazer upload do CSV não é automatizado. No caso de transições de semestre ou mudanças de equipe, um novo CSV deve ser enviado à nossa equipe de suporte. Os usuários pré-existentes do Canva incluídos no CSV precisarão vincular a conta existente no primeiro login do início único de sessão (SSO).

Como funciona: não há nenhum usuário predefinido. Quando um usuário se autentica via início único de sessão (SSO) pela primeira vez, o Canva leia seus atributos de SAML, especialmente o TeamId e, opcionalmente, a função, e os adiciona automaticamente à equipe certa. Cada login subsequente mantém a participação na equipe sincronizada.

Importante: se o JIT for seu principal método de provisionamento, o Canva recomendamos que você habilite a Captura de Domínio (obrigatório para todos) como controle de login do início único de sessão (SSO). Sem a captura de domínio, os usuários no seu domínio podem ignorar o início único de sessão (SSO). Isso significa que o JIT pode não alcançar todos os usuários, e o desprovisionamento deve ser feito manualmente.

Como o JIT funciona:

1. O usuário navega até o Canva e se autentica através do seu provedor de identidade.
2. O Canva lê o valor de TeamId na declaração SAML.
3. O usuário é adicionado automaticamente à Canva Equipes cujo TeamId corresponde.
4. Se um atributo de função estiver presente, o usuário recebe a função correspondente (designer para a equipe, membro para os alunos).
5. Em logins subsequentes, o Canva revalida a associação à equipe em relação à declaração SAML.

• Sem pré-provisionamento: os usuários só aparecem no Canva depois de fazerem o primeiro login por início único de sessão (SSO). As comunicações em lote ou o compartilhamento de modelos não podem ser segmentadas por usuários que ainda não fizeram login.
• Sem desprovisionamento automático: remover um usuário do seu provedor de identidade não o remove do Canva. O desprovisionamento deve ser feito manualmente ou com uma configuração separada do SCIM.
• Não desative o JIT a menos que o SCIM esteja totalmente operacional e configurado para processar todo o provisionamento.

O Canva Universidades é compatível com a integração LTI (LTI ou Learning Tools Interoperability), permitindo que os professores incorporem tarefas do Canva no seu sistema de gestão de aprendizagem (LMS) e que os alunos enviem designs do Canva como atividades.

Antes de configurar a integração LTI, você deve configurar o início único de sessão (SSO). Para ver instruções de configuração específicas da plataforma, consulte os guias de integração com LMS.

O domínio de e-mail do usuário não foi verificado nas configurações de SSO do Canva, ou então não foi vinculado a sua conta no Canva ao SSO.

Confirme se o domínio de e-mail do usuário corresponde a um domínio verificado nas suas configurações de início único de sessão (SSO) do Canva. Se eles tiverem uma conta no Canva pré-existente, eles talvez precisem concluir a vinculação da conta; instrua-os a ir para Configurações, depois Login e segurança, e selecionar Vincular sua conta SSO.

Para obter orientação específica sobre erros, consulte Solução de problemas de início único de sessão (SSO)na Central de Ajuda do Canva.

O valor do TeamId enviado pelo seu provedor de identidade não corresponde exatamente ao TeamId configurado no Canva. Os valores do TeamId diferenciam maiúsculas de minúsculas.

Verifique se o valor do ID da equipe enviado pelo seu provedor de identidade corresponde ao ID da equipe definido no Canva (acesse

É possível que as políticas de provisionamento não estejam configuradas ou ativadas para sua organização, que o token de SCIM API tenha perdido a validade ou que os usuários pré-existentes do Canva possam não ter concluído seu primeiro login com o início único de sessão (SSO).

• Verifique se as políticas de provisionamento (Provisioning Policies) estão configuradas para mapear seus grupos do provedor de identidade para as Canva Equipes corretas.
• Confirme se as políticas de provisionamento foram ativadas para sua organização pelo representante do Canva.
• Verifique se o token de API SCIM no seu provedor de identidade está atualizado, especialmente se o SCIM tiver sido alternado recentemente.
• Se os usuários afetados tiverem conta no Canva pré-existentes, peça que façam login por início único de sessão (SSO) uma vez e, em seguida, tentem a sincronização novamente.

O usuário não foi provisionado novamente através do seu provedor de identidade ou a sincronização via SCIM não foi concluída.

Readicione o usuário em seu provedor de identidade e permita que o SCIM sincronize. Se o problema persistir, entre em contato com o suporte do Canva.

O aluno não foi provisionado para a equipe de estudantes da instituição ou está fazendo login com uma conta pessoal do Canva em vez do início único de sessão (SSO).

Confirme se a equipe de alunos foi provisionada pelo Canva e se os alunos estão fazendo login via início único de sessão (SSO). Os alunos devem ser membros da equipe de alunos da instituição para acessar recursos premium — fazer login com uma conta pessoal não concederá acesso.

Os professores e alunos podem compartilhar conteúdo uns com os outros?

Professores e alunos pertencem a diferentes Canva Equipes e não podem Compartilhar conteúdo diretamente. No entanto, links de colaboração podem ser usados entre aluno e funcionários (professores). Os professores também podem Compartilhar modelo do Canva e tarefa com os aluno por meio da integração com o seu sistema de gestão de aprendizagem (LMS).

Os ex-alunos podem continuar tendo acesso ao Canva após a formatura?

Se o início único de sessão (SSO) estiver configurado como Somente para os membros da sua equipe, os usuários que forem removidos das suas equipes do Canva perderão o acesso aos recursos do Canva para Universidades, mas manterão as contas pessoais do Canva. Com a opção Obrigatório para todos (captura de domínio), o acesso fica vinculado ao seu provedor de identidade. os usuários que tiverem acesso ao provedor de identidade for revogado perderão acesso ao Canva no domínio institucional.

Os alunos que quiserem manter seus designs devem tomar medidas para copiar ou transferir seu conteúdo antes da formatura ou da instituição. Consulte o recurso Copiar designs antes da sua formatura para obter instruções detalhadas.