Configuração de SAML com o ADFS (Canva Educação)

Configure o início único de sessão (SSO) para a sua escola usando os Serviços de Federação do Active Directory (ADFS) da Microsoft.

1. Faça login no seu servidor ADFS. Se precisar de ajuda para implantar o ADFS, consulte este guia.
2. Abra o console de gerenciamento do ADFS e, depois, selecione Trust Relationships (Relações de confiança) > Relying Party Trusts (Objetos de confiança de terceira parte confiável).
3. No menu Actions (Ações), clique em Add Relying Party Trust (Adicionar relação de confiança para usuário autenticado). Isso abrirá um assistente que orientará você ao longo do processo.
4. No passo Select Data Source (Selecionar fonte de dados) , selecione Enter data about the relying party manually (Inserir dados sobre usuário de confiança manualmente).

5. No passo Specify Display Name (Especificar nome de exibição), insira “Canva”.

6. No passo Escolher perfil, selecione Perfil AD FS.

7. No passo Configurar certificado, não altere os valores padrão das configurações de certificado.
8. No passo Configurar URL, selecione Habilitar o suporte ao protocolo de SAML 2.0 WebSSO e insira o terminal de serviço de SAML do Canva: “https://www.canva.com/login/saml”.

9. No passo Configurar identificadores, insira “https://www.canva.com”, e clique em Adicionar.

10. No passo a seguir, você poderá adicionar a opção de autenticação multifatorial.
11. No passo Escolher regras de autorização de emissão, selecione Permitir que todos os usuários acessem esta terceira parte confiável. Clique em Próximo e verifique as suas configurações.
12. Na tela final, a opção Open the Edit Claim Rules dialog for this relying party trust when the wizard closes (Abrir a caixa de diálogo de edição de regras de declaração para esse objeto de confiança de terceira parte confiável quando o assistente for selecionado. Clique em Fechar.

Após adicionar o Canva ao AD FS, o editor de regras de declaração será aberto para você criar declarações de asserção ou regras.

Você precisará de duas declarações: uma para Atributos do Canva e outra para NameID (ID do nome). O Canva só recebe os atributos e valores para tipos de declaração de saída, então a lista de atributos pode ser diferente.

1. Clique em Add Rule (Adicionar regra).

2. Crie uma regra para enviar atributos LDAP como declarações. Adicione tipos de declaração de saída para os campos Email, FirstName (Nome) e LastName (Sobrenome). Observação: os tipos de declaração de saída diferenciam maiúsculas e minúsculas.

3. Crie uma nova regra para transformar uma declaração de entrada. Abra a regra de declaração NameID (ID do nome) necessária e modifique o formato do ID do nome de saída para Identificador persistente. Clique em Concluir para salvar.

Este passo serve para identificar quais usuários são estudantes e quais são professores ou funcionários. Existem duas maneiras de fazer isso.

O Canva pode atribuir a função de estudante ou professor com base em padrões de e-mail comuns. Por exemplo:

• Os estudantes usam um domínio de e-mail, enquanto os funcionários usam outro
• Os estudantes têm um número no início, enquanto os funcionários, não

Se quiser ativar esse recurso na sua conta, conclua o processo de configuração de SSO e entre em contato com nossa equipe de suporte para ativar o mapeamento de funções com base no domínio.

Caso não haja um padrão entre os endereços de e-mail, o Canva pode fazer uma análise para atribuir as funções. Siga estes passos:

1. Crie uma regra para enviar a associação ao grupo como uma reivindicação. Você precisará enviar a palavra "staff" para qualquer usuário que seja funcionário. Dê o nome Temporário a esta regra.
2. Copie a Linguagem da regra no Passo 1.
3. Crie uma nova regra e selecione Enviar declarações usando uma regra personalizada.
4. Clique em Avançar.
5. Dê o nome Função à regra e, em seguida, cole a Linguagem da regra que você copiou no Passo 2.
6. Exclua "http://schemas.microsoft.com/ws/2008/06/identity/claims/".
7. Exclua sua regra temporária.

No caso de redes escolares com configuração de várias escolas, você precisará transferir os dados da lista de integrantes ao Canva para nos ajudar a identificar a qual escola cada usuário deverá ser atribuído.

Existem diferentes maneiras de fazer isso. Escolha abaixo a opção mais adequada às suas necessidades.

Os usuários do Classlink podem nos enviar os dados da lista de integrantes por meio do RosterSync. Para saber como, consulte Provisionamento com OneRoster.

Existem várias maneiras de fazer isso.

Se houver um atributo no app de SAML com o nome, ID ou qualquer outro identificador único relacionado à escola, você poderá usá-lo como atributo de “TeamId” para informar a qual escola cada usuário pertence.

No app de SAML, crie uma declaração chamada "TeamId" para enviar o atributo.

Em seguida, envie ao Canva um arquivo CSV contendo o nome de cada escola e o valor “TeamId” correspondente, que será enviado por meio da declaração.

No app de SAML, você também pode criar uma declaração de grupo, que envia o nome do grupo como um valor de declaração. Para que essa opção funcione, é preciso ter apenas um grupo para cada escola no app de SAML. Esse grupo precisa conter todos os usuários da escola (estudantes e funcionários), e os grupos escolares precisam ser os únicos grupos enviados como parte da declaração.

Dê o nome "TeamId" à declaração e envie ao Canva um arquivo CSV contendo o nome de cada escola e o valor "TeamId" correspondente, que será enviado por meio da declaração.

1. Faça login na sua conta do Canva.
2. Na página inicial, acesse o avatar do seu perfil e selecione
   Configurações.
3. No menu lateral, clique em
   SSO e provisionamento.
4. Em Início único de sessão (SSO), clique em Gerir e, em seguida, em Editar metadados IdP.
5. No campo SSO ou URL de login, insira o URL do terminal SAML 2.0 (também chamado de URL do SAML 2.0/W-Federation).
6. No campo Entity ID (ID da entidade) ou Issuer URL (URL do emissor), insira seu Identity Provider Issuer (Em
7. No campo X.509 Public Certificate (Certificado público X.509), cole todo o conteúdo do certificado baixado (exemplo de certificado).
8. Clique em Save (Salvar) e Next (Av

Existem duas maneiras fáceis de testar sua configuração:

1. Acesse o avatar do seu perfil e, em seguida,
   Configurações.
2. No menu lateral, selecione
   SSO e provisionamento.
3. Em Início único de sessão (SSO), selecione Gerir e, em seguida, Testar SSO.

1. Ir para
   SSO e provisionamento
2. Selecione Início único de sessão (SSO), Gerir e Configurar definições de SSO.
3. Defina a opção de configurações de SSO como Opcional para todos.
4. Faça logout da sua conta no Canva.
5. Na página de login, selecione Continuar com e-mail e, depois, faça login com SSO.

Não se esqueça de fazer testes usando a conta de estudante e a conta de professor. A configuração do início único de sessão (SSO) terá sido bem-sucedida se:

• Você fez login como professor e pode ver a página Pessoas.
• Você fez login como aluno e não consegue ver a página Pessoas.

Escolha como você quer que as pessoas façam login. Recomendamos configurar o início único de sessão (SSO) como obrigatório para todos os usuários no seu domínio.

1. Na página inicial, acesse o avatar do seu perfil e selecione
   Configurações.
2. No menu lateral, selecione
   SSO e provisionamento.
3. Selecione Início único de sessão (SSO), Gerir e Configurar definições de SSO.
4. Defina as configurações de SSO como Obrigatório para todas as pessoas (captura de domínio).
5. Selecione Salvar conexão.