ADFS SAML-konfiguration (för utbildning)

Konfigurera enkel inloggning (SSO) för din skola med hjälp av Microsofts Active Directory Federation Services (ADFS).

1. Logga in på din ADFS-server. Om du behöver hjälp med att distribuera ADFS, kolla den här guiden.
2. Öppna administrationskonsollen i ADFS och välj Betrodda relationer > Förtroendeparter.
3. Från menyn Åtgärder, klicka på Lägg till Relying Party Trust. Detta öppnar en guide som guidar dig genom processen.
4. I steget Välj datakälla väljer du Ange data om förtroendeparten manuellt.

5. I steget Ange visningsnamn anger du "Canva".

6. I steget Välj profil väljer du ADFS-profil.

7. I steget Konfigurera certifikat lämnar du certifikatinställningarna på sina standardvärden.
8. I steget Konfigurera URL välj Aktivera support för SAML 2.0 WebSSO -protokollet och ange Canvas SAML-tjänst endpoint: "https://www.canva.com/login/saml".

9. I steget Konfigurera identifierare, ange "https://www.canva.com", och klicka på Lägg till.

10. I nästa steg kan du lägga till valfri multifaktorautentisering.
11. I steget Välj regler för utfärdande väljer du Tillåt alla användare att få åtkomst till denna förtroendepart. Klicka på Nästa och granska dina inställningar.
12. På den sista skärmen, se till att dialogrutan Öppna redigera anspråksregler för denna förtroendepart när guiden stängs är vald. Klicka på Stäng.

När du har lagt till Canva till ADFS öppnas anspråksregelredigeraren där du kan skapa regler eller påståendeanspråk.

Du behöver två anspråk: ett för Canva Attribut och ett för NamnID. Canva får endast utgående anspråksattribut och värden, så listan med attribut kan se annorlunda ut.

1. Klicka på Lägg till regel.

2. Skapa en regel för att skicka LDAP som anspråk. Lägg till utgående anspråk för E-post, förnamn och efternamn (Obs! Utgående anspråk är skiftlägeskänsliga).

3. Skapa en annan regel för att omvandla ett inkommande anspråk. Öppna den obligatoriska NamnID-anspråksregeln och ändra formatet för utgående namn-ID till Persistent identifierare. Klicka på Slutför för att spara.

Det här steget hjälper oss att identifiera vilka användare som är studenter och vilka som är lärare eller personal. Det finns två metoder.

Canva kan tilldela student- eller lärarroller baserat på vanliga e-postmönster. Till exempel:

• Studenter på en e-postdomän och personal på en annan
• till personal har studenter en siffra i början

Om du vill att vi ska aktivera detta på ditt konto, slutför SSO-konfigurationsprocessen och kontakta sedan vårt supportteam för att aktivera domänbaserad rollmappning.

Om du inte har ett e-postmönster kan Canva utföra en analys för att tilldela roller. Följ dessa steg:

1. Skapa en regel för att skicka gruppmedlemskap som ett anspråk. Du måste skicka ordet ”personal” för varje användare som tillhör personalen. Döp denna regel till Tillfällig.
2. Visa Rollspråket i steg 1 och kopiera det.
3. Skapa en ny regel och välj Skicka anspråk med anpassad roll.
4. Klicka på Nästa.
5. Döp regeln till Roll och klistra in det Rollspråk som du kopierade från steg 2.
6. Radera "http://schemas.microsoft.com/ws/2008/06/identity/claims/".
7. Radera din Tillfälliga regel.

När det gäller distrikt med flera skolor måste du överföra din tjänstelista till Canva så att vi kan identifiera den skola till vilken användaren ska tilldelas.

Det finns flera metoder. Välj det alternativ nedan som passar bäst för dina behov.

Om du använder Classlink kan du skicka oss din tjänstelista via RosterSync. Kontrollera OneRoster Provisioning för att veta hur.

Man kan använda ett antal metoder för det här alternativet.

Om du har ett attribut i din SAML-app med skolans namn, skolans ID eller någon annan unik identifierare för skolan kan du använda det som ditt ”TeamId” -attribut när du skickar information om vilken skola varje användare hör till.

Skapa ett anspråk i din SAML-app som skickar detta attribut och döp anspråket till ”TeamId”.

Därefter delar du en CSV-fil med Canva som innehåller namnet på varje skola och det motsvarande ”TeamId” -värde som kommer att skickas med anspråket.

Du kan även skapa ett gruppanspråk i din SAML-app som skickar gruppnamnet som anspråksvärde. För att det ska fungera måste du ha en enkel grupp i din SAML-app för varje skola. Gruppen måste innehålla alla användare på skolan (studenter och personal) och dessa skolgrupper måste vara de enda grupper som ingår i sändningen som en del av anspråket.

Döp anspråkets ”TeamId” och dela en CSV med Canva som innehåller namnet på varje skola och det ”TeamId” -värde som ska skickas med anspråket.

1. Logga in på ditt Canva-konto.
2. Från startsidan, gå till din profilavatar och välj sedan
   Inställningar.
3. På sidomenyn klickar du på
   SSO och provisionering.
4. Under Enkel inloggning (SSO) klickar du på Hanteraoch sedan Redigera IdP-metadata.
5. I fältet SSO eller inloggningsadress anger du din SAML 2.0 Endpoint URL (även kallad SAML 2.0/W-Federation URL).
6. I fältet Entitets-ID eller Utfärdar-URL anger du din Utfärdare för identitetsleverantör.
7. I fältet X.509 offentligt-certifikat klistrar du in allt innehåll från det nedladdade certifikatet (provcertifikat).
8. Klicka på Spara och nästa.

Det finns två enkla sätt att testa din konfiguration:

1. Gå till din profilavatar och sedan
   Inställningar.
2. På sidomenyn väljer du
   SSO och provisionering.
3. Under Enkel inloggning (SSO), välj Hantera och sedan Testa SSO.

1. Gå till
   SSO och provisionering
2. Välj Enkel inloggning (SSO), sedan Hantera och sedan Konfigurera SSO-inställningar.
3. Ställ in alternativet SSO-inställningar på Valfritt för alla.
4. Logga ut från ditt Canva-konto.
5. På inloggningssidan väljer du Fortsätt med e-post och sedan Logga in med SSO.

Se till att du testar med ett studentkonto och ett lärarkonto. Du har genomfört konfigurationen av SSO om:

• Du loggade in som lärare och kan se sidan Personer.
• Du loggade in som student och kan inte se sidan Personer.

Välj hur du vill att personer ska logga in. Vi rekommenderar att du kräver SSO för alla i din domän.

1. Från startsidan, gå till din profilavatar och välj sedan
   Inställningar.
2. På sidomenyn väljer du
   SSO och provisionering.
3. Välj Enkel inloggning (SSO), sedan Hantera och sedan Konfigurera SSO-inställningar.
4. Ställ in SSO-inställningarna på Obligatoriskt för alla (domäninhämtning).
5. Välj Spara anslutning.