Configurează SSO și asigurarea accesului pentru Canva Campus

Canva Campus este soluția Canva pentru învățământul superior, destinată implementării în întregul campus. Asigurarea accesului și autentificarea utilizatorilor sunt gestionate centralizat de echipa ta IT, prin intermediul unei singure organizații Canva.

Acest ghid acoperă:

• Configurare SSO
• Asigurarea accesului utilizatorilor
• Integrare LMS și depanare pentru administratori IT.

În colțul din stânga jos al platformei Canva, selectează-ți inițialele.

• Asigură-te că faci parte din echipa ta Campus (nu un cont personal sau Pro).
• Accesează
  Setări.
• În meniul din stânga, selectează Setări organizație, apoi selectează SSO și asigurarea accesului.

• Dacă această opțiune nu se afișează, contactează-ți persoana de contact Canva.

Apoi, selectează Începe și confirmă permisiunile și accesul la instrumentele de configurare. Selectează Configurează SSO pentru a continua.

1. Sub „Verificați domeniile pe care doriți să le utilizați cu SSO”, selectați Adăugați un domeniu.
2. Introduceți domeniul/domeniile, apoi selectați Trimite.
3. Copiați tokenul înregistrării TXT afișat.
4. La furnizorul dumneavoastră de domenii (ex: GoDaddy, Namecheap):
   • Accesați Setări DNS.
   • Adăugați o înregistrare TXT cu tokenul.
   • Salvați modificările.
5. Verificarea durează 24 până la 72 de ore. Veți primi un e-mail odată ce domeniul dumneavoastră este verificat.
   • Pentru a verifica starea, utilizați mxtoolbox.com.

Selectează-ți mai jos furnizorul de identitate, pentru un ghid despre adăugarea platformei Canva. Avem ghiduri pentru următoarele IdP, însă îl poți folosi atât timp cât furnizorul tău de identitate acceptă SAML 2.0.

• Configurare SAML Azure AD/Entra ID (pentru Canva Enterprise)
• Configurare ADFS SAML
• Okta Configurare SAML
• Configurare SAML GSuite (Google).
• Configurare SAML pentru securitate Duo
• Configurare SAML OneLogin
• Configurare SAML Salesforce

Dacă designul tău nu este listat mai sus, folosește:

• Adresa URL ACS/adresa URL de răspuns: https://www.canva.com/login/saml
• ID-ul/Identificatorul entității: https://www.canva.com
• Atribute SAML: NameID, E-mail, Prenume, LastName, TeamId (obligatoriu pentru configurarea campusului cu elevi)*
• Textul metadatelor (dacă este necesar)

Asigură-te că aserțiunea ta SAML include o semnătură. Verifică setările.

• Scop: diferențiază și atribuie licența corectă elevilor de angajați.
• Cerință: cel puțin două valori unice (de exemplu, elevi, personal).
• Poate fi mapat din grupuri sau atribute Furnizor de identitate existente.
• În cazul Shibboleth, Canva acceptă schema eduPersonAffiliation pentru TeamId (pentru a activa, contactează Asistență Canva/reprezentantul de cont).

În Canva:

Accesează

Configurarea TeamId este esențială pentru acordarea de licențe Premium grupurilor corecte de utilizatori (în special pentru gestionarea licențelor pentru studenți).

Pentru instituțiile care folosesc Entra ID (Microsoft 365), navighează la aplicația Canva Enterprise. Selectează Conectare unică, Atribute și revendicări, apoi Editează pentru a configura revendicarea TeamId.

„TeamId”, și „TeamID” sunt acceptate drept denumire de revendicare. Pentru majoritatea implementărilor în campus, Opțiunea 1 (Revendicare de grup) este cea mai bună practică recomandată. Opțiunea 2 este o alternativă bună dacă există deja un atribut de utilizator adecvat în directorul tău.

Creează un grup de securitate Entra dedicat pentru fiecare echipă Canva. Numele afișat al grupului este trimis ca valoare TeamId și Canva direcționează utilizatorii în consecință. Aceasta este cea mai clară și mai ușor de întreținut abordare.

1. Sub Atribute și revendicări, selectați Adăugați o revendicare de grup.
2. Denumiți revendicarea TeamId.
3. Configurați pentru a trimite nume afișat de grup.

Important: grupurile incluse în această revendicare trebuie să corespundă exact valorilor ID echipei tale Canva și nu trebuie trimise alte grupuri ca parte a aceleași revendicări.

O opțiune bună dacă directorul tău are deja un atribut care distinge în mod fiabil personalul de elevi (de exemplu, choiceType, departament sau un atribut din extensie).

1. Sub Atribute și revendicări, selectați Adăugați o revendicare nouă.
2. Denumiți revendicarea TeamId.
3. Setați Sursă la Atribut și selectați atributul de director relevant.
4. Asigurați-vă că valorile atributului corespund valorilor TeamId pe care le-ați setat în Canva pentru fiecare echipă.

Reține: chiar dacă această abordare poate funcționa, condițiile de revendicare Entra ID au limitări și particularități cunoscute (de exemplu, condiționarea comportamentului de ordine, cazurile marginale cu apartenența la grupuri ce se suprapun). Opțiunile 1 și 2 sunt, în general, mai de încredere pentru implementările în Campus.

Dacă alegi să continui, specifică manual valoarea TeamId pe baza apartenenței la grupul Entra.

1. Sub Atribute și Revendicări, selectați Adăugați o revendicare nouă.
2. Denumiți revendicarea TeamId.
3. Selectați Condiții de revendicare.
4. Pentru fiecare grup (personal, elevi), setați Tipul de utilizator la Membri, selectați grupurile Entra relevante și introduceți valoarea TeamId corespunzătoare (de exemplu „staff” sau „elevi”).
5. Salvați revendicarea.

Se utilizează dacă elevii și personalul tău au domenii de e-mail diferite (de exemplu, @staff.universitate.edu comparativ cu @student.universitate.edu). Se extrage domeniul de e-mail și îl folosește ca valoare TeamId.

1. Sub Atribute și Revendicări, selectați Adăugați o revendicare nouă.
2. Denumiți revendicarea TeamId.
3. Setați Sursa la Transformare.
4. Aplicați transformarea Extrage cu potrivire după @, utilizând user.userPrincipalName sau user.mail ca sursă.

Asigură-te că valorile TeamId setate în Canva corespund șirurilor de domeniu extrase.

Pentru instituțiile care folosesc Okta, TeamId este configurat ca atribut SAML. Înainte de a continua, asigură-te că aplicația Canva Okta este configurată, grupurile Okta sunt atribuite aplicației Canva și setările SAML sunt configurate în Canva. Pentru îndrumări complete privind configurarea, consultă ghidajul privind configurarea Okta SAML din Centrul de ajutor Canva.

Creează grupuri Okta ale căror nume afișate corespund valorilor tale Canva TeamId (de exemplu, un grup numit „campus-staff” este asociat cu TeamId „campus-staff”). Okta filtrează și trimite numele grupului potrivit ca valoare TeamId la conectare.

1. În Okta, accesați Director, apoi selectați Grupuri și creați grupuri utilizând o convenție de denumire consecventă (de exemplu, toate grupurile Campus încep cu "campus-").
2. Navigați la aplicație, apoi selectați Canva. Accesați General, apoi Setări SAML și selectați editează. Selectați Înainte până ajungeți la ecranul Configurare SAML.
3. Sub Instrucțiuni atribut de grup, adăugați:
   1. Nume: TeamId
   2. Filtre: Începe cu, apoi introduceți prefixul convenției dvs. de denumire (de exemplu, "campus-")
4. Salvați. Okta va trimite numele grupului corespunzător ca valoare TeamId.

Folosește această opțiune dacă nu poți folosi o convenție de denumire sau trebuie să mapezi anumite grupuri după ID-ul lor Okta.

1. Pentru fiecare grup, deschide-l în Okta și înregistrează ID-ul grupului din URL (șirul alfanumeric de după ultimul /).
2. Navighează la Aplicații, apoi selectează Canva. Accesează General, apoi selectează Setări SAML și selectează Editează. Selectează Înainte.
3. Sub Declarații de atribute (nu Declarații de atribute de grup), adaugă:
   1. Nume: TeamId
   2. Valoare: Arrays.toCsvString(getFilteredGroups({"",""},"group.name",50))
   3. Înlocuiește <group_id_1> și <group_id_2> cu ID-urile de grup de la Pasul 1.

4. Selectați Înainte, apoi finisaj.

Google Workspace nu acceptă revendicările SAML condiționate pe bază de grupuri ca și cum o acceptă Entra ID, însă există două modalități directe de a completa TeamId pentru implementarea Campus.

Opțiunea 1: folosește un atribut de director existent (sau personalizat).

Ideal dacă urmărești deja o valoare care distinge personalul de elevi sau dorești să adaugi una.

1. În Administrare Google, accesează profilul unui utilizator și găsește (sau adaugă) un atribut personalizat, de exemplu, un câmp Centru de cost sub o schemă personalizată „Informații despre angajat” (alături de câmpuri precum ID angajat, Funcția postului, Departament, ID-ul clădirii etc. ).
2. Completează acel câmp cu o valoare care să identifice grupul de utilizatori, de exemplu, setează Centru de cost la elev pentru conturile de elevi și angajați pentru conturile de personal. Orice atribut existent care distinge deja cele două populații funcționează la fel de bine; Centrul de cost este un câmp convenabil, dacă nu se încadrează nimic altceva.
3. În Administrare Google, accesează Aplicații > Aplicații web și mobile > Canva > Maparea atributelor.
4. Sub Atribute, selectează Adaugă mapare, selectează câmpul director (de exemplu, Detalii despre angajat > Centru de cost) din stânga și introdu TeamId ca atribut App în dreapta.
5. Salvează. Google va trimite acum valoarea acelui câmp ca atribut TeamId pentru fiecare aserțiune SAML.

Opțiunea 2: folosește Grupuri Google

Ideal dacă preferi să gestionezi acest lucru prin calitatea de membru decât printr-un câmp pentru fiecare utilizator.

1. În Google Admin, creează două grupuri: unul pentru personal (de exemplu, „Angajați”) și unul pentru studenți (de exemplu, „Elevi”) și adaugă utilizatorii relevanți la fiecare.
2. În aceeași aplicație Canva SAML (Aplicații > Aplicații web și mobile > Canva > Maparea atributelor), derulează la apartenența la grup (opțional).
3. Adaugă ambele grupuri și setează atributul App la TeamId.
4. Salvează. Google va trimite numele potrivit al grupului ca valoare TeamId pentru fiecare utilizator.

Oricum ar fi: valorile pe care le trimiți (de exemplu, „elev”/”angajat” sau numele grupurilor tale) trebuie să corespundă exact valorilor TeamId configurate pentru echipele corespunzătoare în Setări organizație > Teams de la Canva.

Le poți ridica de la Furnizor de identitate:

• Punctul final SAML 2.0 (HTTP) (adresa URL SSO)
• Emitent furnizor de identitate (ID entitate)
• Certificat public (x.509, codificat în Base64)

Introdu-le în pagina de setări SSO Canva.

1. În Canva, accesați setările contului. Apoi selectați SSO & Asigurarea accesului.
2. Sub Alegeți cine trebuie să utilizeze SSO, selectați SSO opțional pentru toată lumea.
3. Deconectați-vă, apoi pe pagina de conectare, selectați continuă cu conectare unică (SSO).
4. Testați cu:
   • Un cont de elev
   • Un cont de angajat (dacă ambele sunt configurate)

Poți folosi și butonul Test SSO din pagina de setări.

Opțiuni:

• Doar pentru membrii echipei tale (recomandat pentru majoritatea campusurilor)
  • Permite fostilor absolvenți/alți utilizatori din afara echipei tale să folosească în continuare Canva.
• Obligatoriu pentru toți utilizatorii (captură de domeniu)
  • Cea mai clară experiență de conectare, toți utilizatorii din domeniul tău verificat trebuie să se conecteze prin SSO. Recomandări pentru lansări complete în campus.

Consultă Configurarea comenzilor de conectare și înregistrare SSO pentru mai multe detalii.

Cu SSO activat (opțional sau obligatoriu), utilizatorii trebuie să se conecteze cu SSO pentru a se alătura echipelor Campus.

Solicită asistența Canva sau reprezentantului tău Canva un link de conectare SSO personalizat.

Este posibil ca numeroase cadre didactice și cadre didactice să aibă deja un cont Canva personal asociat cu adresa lor de e-mail de serviciu. Când SSO este activat, acești utilizatori vor vedea o solicitare unică de a-și conecta contul existent, la prima conectare SSO.

• Utilizatorii trebuie să finalizeze asocierea contului înainte de a putea fi gestionați în întregime prin politicile SCIM sau de asigurare a accesului. Recomandăm să anunțe personalul înainte de lansarea paginii, astfel încât să știe cum se așteaptă la această solicitare.
• Dacă un utilizator are atât un cont Canva de e-mail personal, cât și unul de serviciu, i se va cere să aleagă pe care să-l asocieze. Designurile din conturile asociate nu se pierd; pot fi copiate manual, dar conturile nu pot fi îmbinate.
• Utilizatorii care omit sau întâmpă o eroare în timpul asocierii pot reveni la aceasta mai târziu, prin Setări. Selectează Conectare și securitate, apoi selectează Asociază-ți contul SSO.

Opțiunea de asigurare a accesului pentru utilizatori controlează modul în care personalul și elevi sunt adăugați în Canva Teams și eliminați după ce părăsesc echipele. Sunt acceptate trei opțiuni. SSO trebuie configurată în întregime înainte de a activa orice metodă de asigurare a accesului.

Cum funcționează: Furnizor de identitate trimite grupuri de utilizatori în Canva prin API-ul SCIM. Motorul pentru politicile de asigurarea accesului din Canva citește acele apartenențe la grupuri și plasează automat utilizatorii în echipa corectă (personal sau elevi) și în orice subgrupuri relevante. Când un utilizator este eliminat dintr-un grup din Furnizor de identitate, asigurarea accesului este anulată în mod automat din Canva.

IdP acceptați: Microsoft Entra ID, Okta, Pingfederate, PingOne.

Notă: Google Workspace nu acceptă SCIM grup push – folosește în schimb Opțiunea 2 sau 3.

Politicile de asigurare a accesului SCIM sunt o funcție de înscriere care trebuie activată de Canva. Pentru a solicita acces, contactează asistența

1. Activați SCIM în Canva: Accesați Setări. Selectați SSO & Asigurarea accesului, apoi selectați Configurare asigurare a accesului. Activați asigurarea accesului SCIM și copiați tokenul API SCIM.

Rețineți endpoint-ul SCIM: https://www.canva.com/_scim/v2. Contactați reprezentantul Canva pentru a activa politicile de asigurare a accesului SCIM pentru organizația dumneavoastră înainte de a continua.

2. Configurați SCIM în Furnizorul de identitate: Introduceți punctul final SCIM și tokenul API în setările de asigurare a accesului ale Furnizorului de identitate. Consultați ghiduri specifice Furnizorului de identitate pentru Entra ID și Okta în Centrul de ajutor Canva.

3. Transmite grupuri de la Furnizorul tău de identitate: Atribuie grupurile pe care dorești să le sincronizezi la Canva (de ex. canva-personal, canva-elevi).

4. Creează Politici de asigurare a accesului în Canva: Mergi la setări. Selectează Securitate, apoi selectează Politici de asigurare a accesului. Selectează Creează politică. Dă-i un nume, selectează grupul Furnizor de identitate ca și condiție, selectează echipa Canva țintă și alege comportamentul de sincronizare a grupului (creează un grup nou, sau sincronizează-te cu un grup Canva existent – numele trebuie să se potrivească exact). Creează minimum două politici: una care mapează grupul tău de personal la echipa de personal și una care mapează grupul tău de elevi la echipa de elevi.

Comportamente principale:

• Anularea accesului: atunci când un utilizator este eliminat dintr-un grup Furnizor de identitate, acesta este eliminat automat din echipa sa Canva, iar contul său este blocat.
• Restabilirea accesului: adaugă din nou utilizatorul în IdP, SCIM îl va asigura accesul în mod automat.
• Ștergerea unei politici elimină toate drepturile de membru Canva la echipe/grupuri aplicate în conformitate cu politica respectivă. Folosește cu atenție.
• Grupurile create prin politicile de asigurarea accesului sunt blocate; Membrii Canva nu pot fi adăugați sau eliminați manual. IdP este sursa adevărului.
• Utilizatorii Canva preexistenți trebuie să finalizeze conectarea contului SSO pentru ca SCIM să îi poată gestiona pe deplin. Solicită-le acestor utilizatori să se conecteze prin SSO înainte de a activa SCIM.
• SCIM nu trimite e-mailuri de bun venit atunci când elevii sunt asigurați de accesul la echipa de elevi.
• Politicile de asigurarea accesului controlează doar atribuirea echipei și grupurilor, nu rolurile. Atribuirea rolurilor trebuie efectuată prin maparea rolurilor SAML sau trebuie setată manual.

Cum funcționează: instituția trimite în avans la Canva o listă cu utilizatorii care trebuie asigurate. Canva încarcă acești utilizatori în echipele corecte.

Recomandat pentru: instituții al căror Furnizor de identitate (de exemplu, Google Workspace) nu acceptă SCIM grup push sau pentru populația inițială a echipei la începutul unui semestru.

Cum să solicitați o încărcare CSV:

1. Pregătiți o foaie de calcul cu următoarele coloane: adresă de e-mail, alocarea echipei.
2. Trimiteți fișierul reprezentantului dumneavoastră Canva sau contactați Asistența Canva.
3. Canva va procesa încărcarea și va confirma la finalizare.
4. Prima autentificare a utilizatorilor trebuie să se facă prin SSO.

Notă: încărcarea CSV nu este automatizată. Pentru tranzițiile semestriale sau modificările de personal, trebuie trimis un nou CSV către echipa noastră de asistență. Utilizatorilor Canva preexistenți incluși în fișierul CSV li se va solicita să își asocieze contul existent la prima conectare SSO.

Cum funcționează: Nu există utilizatori preîncărcați. Când un utilizator se autentifică prin SSO pentru prima dată, Canva îi citește atributele SAML, în special TeamId și opțional rolul, și le adaugă automat la echipa corectă. Fiecare conectare ulterioară menține sincronizarea calitatea de membru al echipei.

Important: dacă JIT este metoda ta principală de asigurare a accesului, Canva recomandă insistent activarea Captură de domeniu (obligatoriu pentru toți) ca control de conectare SSO. Fără captarea domeniului, utilizatorii din domeniul tău pot ocoli SSO, ceea ce înseamnă că este posibil ca JIT să nu ajungă la toți utilizatorii, iar anularea accesului trebuie gestionată manual.

Cum funcționează JIT:

1. Utilizatorul navighează la Canva și se autentifică prin intermediul Furnizorului de identitate.
2. Canva citește valoarea TeamId din aserțiunea SAML.
3. Utilizatorul este adăugat automat la Canva Teams identificată prin TeamId-ul corespunzător.
4. Dacă este prezent un atribut de rol, utilizatorului i se atribuie rolul corespunzător (designer pentru personal, membru pentru elev).
5. La autentificările ulterioare, Canva revalidează apartenența la echipă în raport cu aserțiunea SAML.

• Fără asigurare prealabilă a accesului: utilizatorii apar în Canva doar după prima conectare SSO. Comunicările în bloc sau distribuirea șabloanelor nu pot viza utilizatorii care nu s-au conectat încă.
• Fără anularea automată a configurării configurării: eliminarea unui utilizator din Furnizor de identitate nu înseamnă că este eliminat din Canva. Anularea accesului trebuie să se efectueze manual sau printr-o configurare SCIM separată.
• Nu dezactivează JIT decât dacă SCIM este pe deplin operațional și configurat să se ocupe de întreaga asigurare a accesului.

Canva Campus acceptă LTI (Learning Tools Interoperatability), care permite profesorilor să încorporeze teme școlare Canva în LMS și elevilor să trimită designuri Canva sub formă de lucrări de curs.

SSO trebuie configurată în întregime înainte de a configura LTI. Pentru instrucțiuni de configurare specifice platformei, consultă ghidurile de integrare LMS.

Domeniul de e-mail al utilizatorului nu este verificat în setările tale SSO Canva sau utilizatorul nu și-a asociat contul Canva existent la SSO.

Confirmați că domeniul de e-mail al utilizatorului corespunde unui domeniu verificat în setările dumneavoastră Canva SSO. Dacă are un cont Canva preexistent, este posibil să fie necesar să finalizeze asocierea contului; indicați-i să acceseze Setări, apoi Autentificare și securitate, și să selecteze Asociați-vă contul SSO.

Pentru îndrumări specifice erorilor, consultați Depanarea erorilor SSOpe Centrul de Ajutor Canva.

Valoarea TeamId trimisă de furnizorul tău de identitate nu corespunde exact cu TeamId configurat în Canva. Valorile TeamId diferențiază majuscule/minuscule.

Asigură-te că valoarea TeamId trimisă de Furnizorul tău de identitate se potrivește cu TeamId-ul setat în Canva (mergi la

Este posibil ca politicile de asigurare a accesului să nu fie configurate sau activate pentru organizația ta, tokenul API SCIM să nu mai fie valid sau este posibil ca utilizatorii Canva preexistenți să nu se fi finalizat prima conectare SSO.

• Verificați dacă politicile de asigurare a accesului (Provisioning Policies) sunt configurate pentru a mapa grupurile de la Furnizorul de identitate la corectele Canva Teams.
• Confirmați că politicile de asigurare a accesului au fost activate pentru organizația dvs. de către reprezentantul Canva.
• Verificați dacă tokenul API SCIM de la Furnizorul de identitate este actualizat, în special dacă SCIM a fost recent activat sau dezactivat.
• Dacă utilizatorii afectați au conturi Canva preexistente, puneți-i să se conecteze o singură dată prin SSO, apoi reîncercați sincronizarea.

Nu s-a efectuat reconectarea accesului la utilizatorul prin intermediul furnizorului tău de identitate sau sincronizarea SCIM nu s-a finalizat.

Re-adăugați utilizatorul în Furnizorul de identitate și permiteți sincronizarea SCIM. Dacă problema persistă, contactați Asistența Canva.

Elevul nu a fost conectat la echipa de studenți a instituției sau se conectează cu un cont Canva personal în loc de SSO.

Confirmați că echipei de elevi i-a fost asigurat accesul de către Canva și că elevii se conectează prin SSO. Elevii trebuie să fie membri ai echipei de elevi a instituției pentru a accesa funcțiile premium — conectarea cu un cont personal nu va acorda acces.

Pot personalul și elevii/studenții să partajeze conținut?

Personalul și elevii aparțin unor echipe Canva separate și nu pot distribui conținut în mod direct. Cu toate acestea, se pot utiliza legăturile de colaborare între elevi și personal (profesional). Cadrele didactice pot, de asemenea, să le distribuie șabloane Canva și teme școlare prin integrarea LMS.

Pot foștii absolvenți să păstreze accesul la Canva după absolvire?

Cu SSO setat la Doar pentru membrii din echipa ta, utilizatorii eliminați din echipele tale Canva pierd accesul la funcțiile Campus, însă păstrează orice cont Canva personal. Cu Necesar pentru toți (captură de domeniu), accesul este asociat cu IdP-ul tău; utilizatorii cărora le este revocat acces IdP vor pierde accesul la Canva în domeniul lor instituțional.

Elevii/studenții care doresc să își păstreze designurile trebuie să ia măsuri pentru a copia sau a transfera conținutul lor înainte de absolvire sau de a părăsi instituția. Consultă Copierea designurilor înainte de a absolvi pentru instrucțiuni detaliate.