การตั้งค่า Single Sign-On (SSO) เพื่อการศึกษา

บทความนี้มีไว้สำหรับผู้ดูแลระบบไอทีของโรงเรียนหรือเขตการศึกษาและเจ้าของ Canva Education ที่ต้องตั้งค่าSingle sign on (SSO)

• หากคุณมีแผนสำหรับองค์กรให้ใช้การตั้งค่า SSO (สำหรับองค์กร)
• ครูและเจ้าหน้าที่ทั่วไปไม่จำเป็นต้องมีคู่มือนี้

บทความนี้ครอบคลุมอะไรบ้าง:

• ข้อกำหนดและข้อกำหนดเบื้องต้น
• การตั้งค่าทีละขั้นตอน (7 ขั้นตอน)
• เคล็ดลับการทดสอบและแก้ไขปัญหา

• ผู้ให้บริการข้อมูลประจำตัว (IdP) ที่รองรับ SAML 2.0
• เข้าถึง (หรือการสนับสนุนจากทีมไอทีของคุณ) เพื่อสร้างระเบียน TXT ในการตั้งค่า DNS ของโดเมน
• แผนการศึกษา Canva (โรงเรียนและเขตวิทยาเขตหรือโรงเรียนเดี่ยว)

การเพิ่มและยืนยันโดเมนของคุณช่วยให้เราทราบว่าจะปฏิบัติต่อใครในฐานะสมาชิกองค์กรของคุณ ทุกคนที่ใช้ที่อยู่อีเมลพร้อมโดเมนที่ได้รับการยืนยันของคุณจะสามารถลงชื่อเข้าใช้ผ่าน SAML SSO ได้

1. ลงชื่อเข้าใช้บัญชี Canva ของคุณ
2. ที่หน้าแรกให้เลือกโปรไฟล์บัญชีของคุณเพื่อเปิดเมนู
3. เลือก
   การตั้งค่า
4. เลือกแท็บ SSO และการเตรียมการ
   • หากไม่พบให้ตรวจสอบว่าคุณเข้าสู่ระบบบัญชีที่ถูกต้อง
5. ตรวจสอบว่าโดเมนของคุณได้รับการยืนยันหรือไม่
   • หากอยู่ในรายการแล้วคุณสามารถข้ามไปที่ขั้นตอนที่ 1 - เพิ่ม Canva ไปที่ผู้ให้บริการด้านตัวตนของคุณ
6. ภายใต้แท็บการยืนยันโดเมนให้เลือกเพิ่มโดเมน หน้าต่างป๊อปอัพจะปรากฏขึ้น
7. ในฟิลด์ข้อความให้ป้อนโดเมนที่คุณต้องการใช้สำหรับการเข้าสู่ระบบด้วย SSO ตัวอย่างเช่น: myschool.edu และส่งโดเมน
8. เลือกคัดลอกโทเค็นเพื่อคัดลอกโทเค็นระเบียน TXT ที่ปรากฏขึ้น ตอนนี้คุณต้องเพิ่มโทเค็นนี้ไปที่การตั้งค่า DNS ของโดเมนเพื่อตรวจสอบความเป็นเจ้าของโดเมนที่คุณส่ง

ขณะนี้เรามีคำแนะนำโดยละเอียดสำหรับผู้ให้บริการข้อมูลประจำตัวเหล่านี้:

• การกำหนดค่า ADFS SAML
• กำหนดค่า SAML ของ Azure AD/Entra ID
• การกำหนดค่า Classlink SAML
• กำหนดค่า SAML และ Rostering ที่ชาญฉลาด
• กำหนดค่า GSuite (Google) SAML
• การกำหนดค่า SAML

หากผู้ให้บริการด้านตัวตนของคุณไม่อยู่ในรายการข้างต้นคุณสามารถใช้ข้อมูลนี้เพื่อกำหนดค่า SAML:

• ACS URL/URL การตอบกลับ: https://www.canva.com/login/saml
• ID เอนทิตี้/ตัวระบุ: https://www.canva.com
• แอตทริบิวต์ SAML: NameID, Email, FirstName, LastName
• ข้อความข้อมูลเมตา (ถ้าจำเป็น)

ตรวจสอบให้แน่ใจว่าการยืนยัน SAML ของคุณมีลายเซ็นแล้ว โปรดตรวจสอบการตั้งค่าเพื่อยืนยัน หลังจากที่คุณเพิ่ม Canva ไปที่ผู้ให้บริการด้านตัวตนของคุณแล้วให้เลือกถัดไป

ในหน้า SSO และการจัดเตรียม (พบได้ในการตั้งค่า) ให้คลิกแท็บจัดการ SSO

สำหรับเขตที่ใช้การตั้งค่าแบบหลายโรงเรียนคุณจะต้องถ่ายโอนข้อมูลบัญชีรายชื่อไปที่ Canva เพื่อช่วยเราระบุโรงเรียนที่ผู้ใช้ควรได้รับมอบหมาย

คุณสามารถดำเนินการนี้ได้หลายวิธีโปรดเลือกตัวเลือกที่ตรงกับความต้องการของคุณที่สุด

หากใช้ Classlink RosterServer (OneRoster) หรือ Clever ให้เลือกถัดไปและดำเนินการต่อในขั้นตอนที่ 3: เพิ่มข้อมูลเมตาของผู้ให้บริการข้อมูลประจำตัว คุณสามารถส่งข้อมูลบัญชีรายชื่อของคุณในภายหลังระหว่างขั้นตอนที่ 5: ตั้งค่าการจัดเตรียมผู้ใช้

คุณสามารถดำเนินการได้หลายวิธีหากต้องการใช้ตัวเลือกนี้

หากคุณมีแอตทริบิวต์ในแอพ SAML ที่มีชื่อโรงเรียนรหัสโรงเรียนหรือตัวระบุที่ไม่ซ้ำกันอื่นๆซึ่งเชื่อมโยงกับโรงเรียนคุณสามารถใช้ข้อมูลดังกล่าวเป็นแอตทริบิวต์ “TeamId” สำหรับส่งข้อมูลว่าผู้ใช้แต่ละรายสังกัดอยู่กับโรงเรียนใด

1. สร้างการอ้างสิทธิ์ในแอพ SAML ซึ่งจะส่งแอตทริบิวต์ดังกล่าวและตั้งชื่อการอ้างสิทธิ์ว่า "TeamId" (คำนึงถึงตัวพิมพ์เล็กและใหญ่)
2. เลือกดูคำแนะนำ TeamId และดาวน์โหลดเทมเพลต CSV ในกล่องโต้ตอบ ในคอลัมน์หนึ่งให้เพิ่มชื่อโรงเรียนแต่ละโรงเรียน ในคอลัมน์ที่สองให้เพิ่มค่า “TeamId” ที่เกี่ยวข้องที่จะส่งผ่านการอ้างสิทธิ์สำหรับแต่ละโรงเรียน
3. อัพโหลด CSV ของคุณไปยัง Canva เราจะส่งอีเมลถึงคุณหลังจากที่ไฟล์ของคุณได้รับการตรวจสอบแล้ว จากนั้นไปยังขั้นตอนถัดไป

คุณยังสามารถสร้างการอ้างสิทธิ์ใหม่แล้วใช้เงื่อนไขการอ้างสิทธิ์ส่งค่าแอตทริบิวต์ “TeamId” ตามกรุ๊ปหรือแอตทริบิวต์อื่นๆของผู้ใช้ได้ด้วย

คุณสามารถดำเนินการด้วยตัวเองได้โดยสร้างชุดเงื่อนไขที่ระบุค่าแอตทริบิวต์ที่แอพ SAML ต้องส่งให้กับผู้ใช้แต่ละรายโดยใช้ข้อมูลกรุ๊ปของผู้ใช้ดังกล่าว

ตัวอย่างเช่นหากนักเรียนที่โรงเรียน Harmony Elementary อยู่ใน "นักเรียน Harmony" และบุคลากรอยู่ใน "บุคลากร Harmony" คุณสามารถบอกให้แอพ SAML ส่ง "Harmony" เป็น “TeamId” ให้กับทั้งสองกรุ๊ปโดยใช้เงื่อนไขการอ้างสิทธิ์ได้

ตั้งชื่อการอ้างสิทธิ์เป็น "TeamId" แล้วแชร์ไฟล์ CSV ที่มีชื่อและค่า “TeamId” ของแต่ละโรงเรียนที่จะส่งให้ผ่านการอ้างสิทธิ์ไปที่ Canva

คุณสามารถสร้างการอ้างสิทธิ์แบบกรุ๊ปในแอพ SAML ได้เช่นกันโดยการดำเนินการนี้จะส่งชื่อกรุ๊ปเป็นค่าการอ้างสิทธิ์คุณจะต้องมีหนึ่งกรุ๊ปในแอพ SAML สำหรับแต่ละโรงเรียนจึงสามารถใช้การดำเนินการนี้ได้โดยกรุ๊ปดังกล่าวจะต้องประกอบด้วยผู้ใช้ทั้งหมดในโรงเรียน (นักเรียนและบุคลากร) และต้องเป็นเพียงกรุ๊ปเดียวที่ส่งเป็นส่วนหนึ่งของการอ้างสิทธิ์

ตั้งชื่อการอ้างสิทธิ์เป็น "TeamId" แล้วแชร์ไฟล์ CSV ที่มีชื่อและค่า “TeamId” ของแต่ละโรงเรียนที่จะส่งให้ผ่านการอ้างสิทธิ์ไปที่ Canva

สำหรับแคมปัสคุณจะต้องส่งแอตทริบิวต์ Teamld สำหรับผู้ใช้แต่ละคนเพื่อบอก Canva ว่าพวกเขาเป็นนักเรียนหรือพนักงาน (คณาจารย์เจ้าหน้าที่)

มีตัวเลือก Teamld หลายแบบที่คล้ายกับหลายโรงเรียนที่กล่าวถึงข้างต้นยกเว้นว่าเราต้องการค่า TeamId เพียงสองค่าเท่านั้น: หนึ่งค่าที่ไม่ซ้ำกันสำหรับเจ้าหน้าที่/ทีมคณาจารย์ของคุณและอีกหนึ่งสำหรับทีมนักเรียนของคุณ

เมื่อคุณกำหนดค่าแอตทริบิวต์ TeamId แล้วให้ตั้งค่าเหล่านั้นในการตั้งค่าองค์กร Canva ของคุณภายใน Canva ซึ่งสามารถทำได้ในหน้าทีมภายในการตั้งค่าบัญชี Canva ของคุณโดยเลือกจุดสามจุดทางด้านขวาและแก้ไข Teamld

คุณสามารถเพิ่มข้อมูลเมตาของผู้ให้บริการข้อมูลประจำตัวของคุณได้สองวิธี:

1. การอัปโหลดไฟล์ข้อมูลเมตา: ดาวน์โหลดไฟล์ .xml ที่ได้รับจากผู้ให้บริการด้านตัวตนของคุณ จากนั้นอัปโหลดไปยัง Canva การดำเนินการนี้จะนำเข้าข้อมูลโดยอัตโนมัติและกรอกข้อมูลในฟิลด์ให้คุณล่วงหน้าเลือกบันทึกข้อมูลเมตา
2. เพิ่มเมตาดาต้าด้วยตนเอง: เพิ่มเมตาดาต้าจาก IdP ของคุณสำหรับแต่ละฟิลด์ที่เกี่ยวข้องเลือกบันทึกเมตาดาต้า

หลังจากบันทึกข้อมูลเมตาของคุณแล้วให้เลือกถัดไป

คุณสามารถทดสอบการเชื่อมต่อ SSO ของคุณเพื่อตรวจสอบว่าใช้งานได้หรือไม่

1. ก่อนที่คุณจะทดสอบการเชื่อมต่อโปรดตรวจสอบให้แน่ใจว่าคุณได้กำหนดสิทธิ์การเข้าถึงแอพพลิเคชั่น Canva ที่สร้างขึ้นในผู้ให้บริการข้อมูลประจำตัวของคุณแล้ว
2. เลือกทดสอบ SSO เราจะเปลี่ยนเส้นทางคุณไปที่ผู้ให้บริการด้านตัวตนเพื่อลงชื่อเข้าใช้ด้วย SSO
3. ลงชื่อเข้าใช้ด้วยรายละเอียดผู้ให้บริการด้านตัวตน
4. เราจะแสดงผลการทดสอบการเชื่อมต่อ

• การเชื่อมต่อที่ประสบความสำเร็จ: ตรวจสอบให้แน่ใจว่าได้แมปแอตทริบิวต์และค่าที่เราได้รับจากผู้ให้บริการด้านตัวตนของคุณอย่างถูกต้องเพื่อให้ผู้ใช้สามารถลงชื่อเข้าใช้ด้วย SSO ได้ ถ้าค่าที่ส่งคืนไม่ถูกต้องให้แก้ไขในผู้ให้บริการด้านตัวตนของคุณและลองทดสอบอีกครั้ง
• ข้อผิดพลาดในการทดสอบ: แก้ไขข้อผิดพลาดในผู้ให้บริการด้านตัวตนของคุณและลองทดสอบอีกครั้ง

5. เมื่อจับคู่แอตทริบิวต์และค่าต่างๆอย่างถูกต้องแล้วให้ปิดหน้าต่างและไปยังขั้นตอนต่อไป

1. เลือก OneRoster เป็นประเภทการจัดเตรียมของคุณ
2. ตรวจสอบ OneRoster Provisioning สำหรับคำแนะนำโดยละเอียด

1. เลือกฉลาดเป็นประเภทการจัดเตรียมของคุณ
2. ตรวจสอบการกำหนดค่า SAML และ Rostering ที่ชาญฉลาดสำหรับคำแนะนำโดยละเอียด

ดำเนินการขั้นตอนถัดไปเมื่อเสร็จสิ้น

เลือกวิธีที่คุณต้องการให้ทีมและผู้ใช้รายอื่นๆจากโดเมนของคุณลงชื่อเข้าใช้ ดูรายละเอียดเพิ่มเติมได้ที่การตั้งค่าการควบคุมการลงชื่อเข้าใช้ด้วย SSO และการสมัครใช้งาน

1. ไปที่การตั้งค่า > SSO และการเตรียมการ
2. ภายใต้แท็บSingle sign onคลิกจัดการ > กำหนดค่าการตั้งค่า SSO
3. เลือกไม่บังคับสำหรับทุกคน
4. ออกจากระบบบัญชี Canva ของคุณแล้วลงชื่อเข้าใช้อีกครั้ง
5. ใน หน้าลงชื่อเข้าใช้ให้เลือกดำเนินการต่อด้วยอีเมลแล้วเลือกลงชื่อเข้าใช้ด้วย SSO

หากระบบนำคุณไปยังหน้าของทีมหมายความว่า SSO ทำงานแล้ว

1. กลับไปที่การตั้งค่า > SSO และการจัดเตรียม
2. ภายใต้การลงชื่อเพียงครั้งเดียวคลิกจัดการ > กำหนดค่าการตั้งค่า SSO
3. เลือกบังคับใช้กับทุกคน (การจับภาพโดเมน)

ขั้นตอนนี้มีความสำคัญเนื่องจากจะช่วยให้มั่นใจได้ว่าสมาชิกของคุณจะถูกเพิ่มเข้าไปในทีมที่ถูกต้องเมื่อพวกเขาเข้าสู่ระบบด้วย SSO

1. ลงชื่อเข้าใช้บัญชี Canva ของคุณ

2. ที่มุมล่างซ้ายให้คลิกรูปประจำตัวโปรไฟล์จากนั้นเลือก การตั้งค่า

3. จากเมนูด้านข้างให้เลือกแท็บ SSO และการจัดเตรียม

4. คลิกการลงชื่อเข้าใช้เพียงครั้งเดียว (SSO) > จัดการ > กำหนดค่าการตั้งค่า SSO

5. เลือกหนึ่งในข้อกำหนดการเข้าสู่ระบบต่อไปนี้:

• บังคับใช้กับทุกคน (การจับภาพโดเมน): ออกจากระบบผู้ใช้ทั้งหมดไม่ว่าพวกเขาจะเข้าร่วมทีมหรือองค์กรหรือไม่ก็ตาม
• จำเป็นสำหรับสมาชิกในทีมของคุณเท่านั้น: ออกจากระบบเฉพาะผู้ใช้ที่เป็นส่วนหนึ่งของทีมหรือองค์กรที่เชื่อมโยงกับ SSO ของคุณ

6. เมื่อจับคู่แอตทริบิวต์และค่าต่างๆอย่างถูกต้องแล้วให้ปิดหน้าต่างและไปยังขั้นตอนต่อไป

7. กลับไปที่แท็บ SSO และการเตรียมการ

8. ภายใต้การยืนยันโดเมนให้คลิกไอคอนบังคับให้ออกจากระบบ (ถัดจากถังขยะ) สำหรับโดเมนที่คุณต้องการออกจากระบบ

• หากคุณมีโดเมนหลายโดเมนให้ทำซ้ำขั้นตอนนี้สำหรับแต่ละโดเมนที่คุณต้องการบังคับให้ออกจากระบบ

หากคุณได้ทดสอบประสบการณ์การลงชื่อเข้าใช้ด้วย SSO และกำหนดค่าการออกจากระบบ Force แล้ว (แนะนำ) จากนั้นเลือกเสร็จสิ้นการตั้งค่า คุณตั้งค่า SSO เสร็จแล้ว!