Налаштуйте єдиний вхід і підготовку для Canva для студмістечка

Canva для студмістечка – це рішення Canva для вищої освіти для введення в дію на всій території студмістечка. ІТ-команда централізовано керує підготовкою користувачів і автентифікацією через єдину організацію Canva.

У цьому посібнику описано:

• Конфігурація єдиного входу
• Підготовка користувачів
• Інтеграція СУН та усунення несправностей для ІТ-адміністраторів.

У нижньому лівому куті Canva виберіть ініціали.

• Переконайтеся, що ви належите до команди Campus (не особистий обліковий запис або обліковий запис Pro).
• Перейдіть у
  розділ «Параметри».
• У меню ліворуч виберіть Параметри організації, а потім виберіть Єдиний вхід і підготовка.

• Якщо ви не бачите цієї опції, зверніться до свого контакту Canva.

Потім виберіть Почати й підтвердьте дозволи й доступ до інструментів налаштування. Виберіть Налаштувати функцію єдиного входу,щоб продовжити.

1. У розділі «Підтвердьте домени, з якими ви хочете використовувати єдиний вхід» виберіть Додати домен.
2. Введіть свій домен(и), потім виберіть Надіслати.
3. Скопіюйте показаний маркер запису TXT.
4. У вашого хоста доменів (наприклад, GoDaddy, Namecheap):
   • Перейдіть до Параметрів DNS.
   • Додайте запис TXT з маркером.
   • Збережіть зміни.
5. Перевірка займає від 24 до 72 годин. Ви отримаєте електронний лист, щойно ваш домен буде підтверджено.
   • Щоб перевірити статус, скористайтеся mxtoolbox.com.

Виберіть свого постачальника посвідчень нижче, щоб отримати інструкції з додавання Canva. У нас є інструкції для наведених нижче постачальників посвідчень, але якщо ваш постачальник посвідчень підтримує SAML 2.0, ви можете ним користуватися.

• Конфігурація SAML Azure AD/ Entra ID (Canva для великих підприємств)
• Конфігурація SAML ADFS
• Конфігурація Okta SAML
• Конфігурація SAML для GSuite (Google).
• Конфігурація SAML для Duo Security
• Конфігурація SAML для OneLogin
• Конфігурація SAML для Salesforce

Якщо вашої немає в списку вище, використовуйте:

• URL-адреса ACS/URL-адреса відповіді: https://www.canva.com/login/saml
• Ідентифікатор/ідентифікатор організації: https://www.canva.com
• Атрибути SAML: NameID, Email, FirstName, LastName, TeamId (необхідні для налаштування Campus з учнями)*
• Текст метаданих (за потреби)

Переконайтеся, що твердження SAML містить підпис. Перевірте параметри.

• Мета: розрізняти та призначати правильні ліцензії між учнями й працівниками.
• Вимоги: принаймні два унікальних значення (наприклад, учні, співробітники).
• Можна зіставити з наявних груп або атрибутів постачальника посвідчень.
• Завдяки Shibboleth Canva підтримує схему eduPersonAffiliation для TeamId (зверніться до служби підтримки Canva або представника облікового запису, щоб увімкнути її).

У Canva:

Перейдіть у

Налаштування TeamId має вирішальне значення для надання преміумліцензій відповідним групам користувачів (особливо для керування студентськими ліцензіями).

Для закладів, які використовують Entra ID (Microsoft 365), перейдіть до програми Canva для великих підприємств. Виберіть Єдиний вхід, потім Атрибути й претензії, а потім – Редагувати, щоб налаштувати претензію TeamId.

Як назву претензії можна використовувати як «TeamId», так і «TeamID». Для більшості розгортань у студмістечках рекомендованим варіантом 1 (групова претензія) є найкраща практика. Варіант 2 – гарна альтернатива, якщо відповідний атрибут користувача вже існує у вашому каталозі.

Створіть окрему групу безпеки Entra для кожної команди Canva. Відображуване ім’я групи надсилається як значення TeamId, і Canva відповідно направляє користувачів. Це найефективніший і зручний підхід.

1. У розділі Атрибути та Заяви виберіть Додати групову заяву.
2. Назвіть заяву TeamId.
3. Налаштуйте надсилання групових відображуваних імен.

Важливо! Групи, включені в цю претензію, мають точно відповідати вашим значенням Canva TeamId. Інші групи не можна надсилати як частину тієї самої претензії.

Хороший варіант, якщо у вашому каталозі вже є атрибут, який надійно відрізняє персонал від учнів (наприклад, атрибут EmployeeType, відділ або розширення).

1. У розділі Attributes & Claims виберіть Add new claim.
2. Назвіть заяву TeamId.
3. Установіть для Джерела значення Атрибут і виберіть релевантний атрибут каталогу.
4. Переконайтеся, що значення атрибутів збігаються зі значеннями TeamId, які ви встановили в Canva для кожної команди.

Примітка. Хоча цей підхід може працювати, умови заявки Entra ID мають відомі обмеження та особливості (наприклад, упорядкування умов, граничні випадки з перекриттям членства в групах). Варіанти 1 і 2, як правило, є більш надійними для розгортань у Campus.

Якщо ви продовжите, вручну вкажіть значення TeamId для надсилання на основі членства в групі Entra.

1. У розділі Attributes & Claims виберіть Add new claim.
2. Назвіть заяву TeamId.
3. Виберіть Claim conditions.
4. Для кожної групи (персонал, учні) встановіть Тип користувача на Учасники, виберіть релевантні групи Entra та введіть відповідне значення TeamId (наприклад, "staff" або "students").
5. Збережіть заяву.

Використовуйте, якщо ваші співробітники й студенти мають різні домени електронної пошти (наприклад, @staff.university.edu або @student.university.edu). Це витягує домен електронної пошти й використовує його як значення TeamId.

1. У розділі Атрибути та твердження виберіть Додати нове твердження.
2. Назвіть твердження TeamId.
3. Установіть для параметра Джерело значення Перетворення.
4. Застосуйте перетворення «Витягти» з відповідністю після символу @, використовуючи user.userPrincipalName або user.mail як джерело.

Переконайтеся, що значення TeamId, установлені в Canva, збігаються з вилученими рядками домену.

Для закладів, що використовують Okta, TeamId налаштовується як атрибут SAML. Перш ніж продовжити, переконайтеся, що додаток Canva Okta налаштовано, групи Okta призначено додатку Canva, а параметри SAML налаштовано в Canva. Повні інструкції з налаштування див. у посібнику з налаштування SAML Okta в довідковому центрі Canva.

Створюйте групи Okta, відображувані назви яких збігаються з вашими значеннями в Canva TeamId (наприклад, група з назвою «campus-staff» співпадає з TeamId «campus-staff»). Okta фільтрує й надсилає відповідну назву групи як значення TeamId під час входу.

1. В Okta перейдіть до розділу «Каталог», потім виберіть «Групи» і створіть групи, використовуючи послідовну угоду про найменування (наприклад, усі групи Campus починаються з "campus-").
2. Перейдіть до «заявка», потім виберіть Canva. Перейдіть до «Загальні», потім до «Параметри» SAML і виберіть «редагувати». Виберіть «Далі», доки не дійдете до екрана «Налаштувати SAML».
3. У розділі «Оператори атрибутів групи» додайте:
   1. Назва: TeamId
   2. фільтри: починається з, потім «узяти участь» префікс угоди про найменування (наприклад, "campus-")
4. Зберегти. Okta надішле відповідну назву групи як значення TeamId.

Використовуйте цей параметр, якщо ви не можете використовувати умовні імена або потрібно зіставити певні групи за їхнім ID Okta.

1. Для кожної групи відкрийте її в Okta та запишіть ідентифікатор групи з URL-адреси (буквено-цифровий рядок після останнього /).
2. Перейдіть до Заявки, потім виберіть Canva. Перейдіть до Загальні, потім виберіть Параметри SAML і виберіть Редагувати. Виберіть Далі.
3. У розділі Оператори атрибутів (не Оператори групових атрибутів) додайте:
   1. Ім'я: TeamId
   2. Значення: Arrays.toCsvString(getFilteredGroups({"",""},"group.name",50))
   3. Замініть <group_id_1> та <group_id_2> ідентифікаторами груп із Кроку 1.

4. Виберіть Далі, потім покриття.

Google Workspace не підтримує умовні заявки SAML на основі груп, як Entra ID, але є два простих способи заповнити TeamId для введення в дію в Campus.

Варіант 1. Використовуйте наявний (або настроюваний) атрибут каталогу

Найкраще, якщо ви вже відстежуєте цінність, яка відрізняє персонал від учнів, або готові додати її.

1. У розділі «Адміністратор Google» перейдіть у профіль користувача й знайдіть (або додайте) настроюваний атрибут, як-от поле «Місце витрат» під настроюваною схемою «Інформація про співробітника» (поряд із такими полями, як ідентифікатор працівника, посада, відділ, ідентифікатор будівлі тощо). ).
2. Заповніть це поле значенням, що ідентифікує групу користувача, наприклад, установіть для Центру витрат значення «учня» для облікових записів учня і співробітник для облікових записів співробітників. Будь-який наявний атрибут, який уже розрізняє дві сукупності, працює так само добре; Центр витрат – це просто зручне поле, якщо нічого іншого не підходить.
3. У розділі «Адміністратор Google» виберіть Додатки > Веб і мобільні додатки > Canva > Зіставлення атрибутів.
4. У розділі «Атрибути» виберіть «Додати зіставлення», виберіть поле каталогу (наприклад, «Відомості про співробітника» > «Місце витрат») зліва та введіть TeamId як атрибут додатка праворуч.
5. Зберегти. Тепер Google надсилатиме значення цього поля як атрибут TeamId для кожного підтвердження SAML.

Варіант 2. Використовуйте Групи Google

Краще, якщо ви надасте перевагу керуванню цим параметром за допомогою членства, а не поля для кожного користувача.

1. У розділі «адміністратор Google» створіть дві групи: одну для співробітників (наприклад, «Співробітники»), а іншу для учнів (наприклад, «учні») і додайте до кожної релевантних користувачів.
2. У тому ж SAML-додатка Canva (Додатки > Веб і мобільні додатки > Canva > Зіставлення атрибутів) перейдіть до розділу «Членство в групі» (необов’язково).
3. Додайте обидві групи й установіть для атрибута додатка значення TeamId.
4. Зберегти. Google надішле відповідну назву групи як значення TeamId для кожного користувача.

У будь-якому випадку: надіслані вами значення (наприклад, «учень»/»employee» або назви ваших груп) мають точно збігатися зі значеннями TeamId, налаштованими для відповідних команд у розділі «Параметри організації» > «Команди» в Canva.

Отримайте ці дані від вашого постачальника посвідчень:

• Кінцева точка SAML 2.0 (HTTP) (URL-адреса єдиного входу)
• Видавець постачальника посвідчень (ідентифікатор організації)
• Загальнодоступний сертифікат (x.509, кодування Base64)

Введіть їх на сторінці параметрів єдиного входу Canva.

1. У Canva перейдіть до Параметрів облікового запису. Потім виберіть Єдиний вхід & Підготовка.
2. У розділі Виберіть, хто має використовувати єдиний вхід, виберіть Єдиний вхід необов’язковий для всіх.
3. Вийдіть із системи, потім на сторінці входу виберіть Продовжити з єдиним входом (SSO).
4. Перевірте за допомогою:
   • Облікового запису учня
   • Облікового запису співробітника (якщо налаштовано обидва)

Ви також можете скористатися кнопкою «Тестувати єдиний вхід» на сторінці параметрів.

Варіанти:

• Лише для учасників вашої команди (рекомендовано для більшості студмістечок)
  • Дозволяє випускникам або іншим користувачам за межами вашої команди й далі користуватися Canva.
• Обов’язковий для всіх (захоплення домену)
  • Найзручніший спосіб входу, усі користувачі вашого підтвердженого домену мають входити за допомогою єдиного входу. Рекомендовано для повного випуску студмістечка.

Докладні відомості див. у розділі Налаштування елементів керування для входу та реєстрації єдиного входу .

Якщо ввімкнено єдиний вхід (необов’язково або обов’язково), користувачі повинні ввійти за допомогою єдиного входу, щоб приєднатися до команд Campus.

Зверніться до служби підтримки Canva або до представника Canva щодо настроюваного посилання для входу для єдиного входу.

Можливо, багато співробітників і викладачів уже мають особистий обліковий запис Canva, пов’язаний із робочою адресою електронної пошти. Якщо ввімкнено єдиний вхід, ці користувачі бачитимуть одноразове запит на пов’язання наявних облікових записів під час першого входу в систему єдиного входу.

• Користувачі повинні пов’язати облікові записи, перш ніж ними можна буде повністю керувати за допомогою SCIM або політик підготовки. Радимо сповістити співробітників перед запуском, щоб вони знали, що очікують цього запиту.
• Якщо користувач має особистий обліковий запис Canva та обліковий запис Canva з робочою електронною поштою, йому буде запропоновано вибрати, який для пов’язання. Дизайни з від’єднаних облікових записів не буде втрачено. їх можна скопіювати вручну, але не можна об’єднати облікові записи.
• Користувачі, які пропустили або виникла помилка під час зв’язування, можуть повернутися до неї пізніше в розділі «Параметри». Виберіть Вхід і безпека, а потім – Зв’язати обліковий запис єдиного входу.

Підготовка користувачів керує тим, як співробітники й учні додаються до відповідних команд Canva й видаляються після виходу. Підтримуються три варіанти. Єдиний вхід потрібно повністю налаштувати, перш ніж активувати будь-який спосіб підготовки.

Принцип роботи. Ваш постачальник посвідчень передає групи користувачів до Canva за допомогою API SCIM. Система політики підготовка Canva зчитує ці членства в групах і автоматично розподіляє користувачів до потрібної команди (співробітників або учнів) і до релевантних підгруп. Коли користувача видаляють із групи в постачальник посвідчень, його автоматично деініціалізовано з Canva.

Підтримувані постачальники посвідчень: Microsoft Entra ID, Okta, PingFederate, PingOne.

Примітка. Google Workspace не підтримує групове надсилання SCIM. Скористайтеся варіантом 2 або 3.

Політики підготовки SCIM – це функція, яку потрібно ввімкнути в Canva. Щоб надіслати запит на доступ, зверніться до служби підтримки

1. Увімкніть SCIM у Canva: Перейдіть до параметрів. Виберіть єдиний вхід & підготовка, потім виберіть Налаштувати підготовку. Увімкніть підготовку SCIM та скопіюйте маркер API SCIM.

Зверніть увагу на кінцеву точку SCIM: https://www.canva.com/_scim/v2. Зверніться до представника Canva, щоб увімкнути політики підготовки SCIM для вашої організації, перш ніж продовжити.

2. Налаштуйте SCIM у своєму постачальнику посвідчень: Введіть кінцеву точку SCIM і маркер API у параметрах підготовки свого постачальника посвідчень. Див. напрямні для певних постачальників посвідчень (Entra ID та Okta) у Довідковому центрі Canva.

3. Передайте групи з вашого постачальника посвідчень: Призначте групи, які ви хочете синхронізувати з Canva (наприклад, canva-staff, canva-students).

4. Створення політик підготовки в Canva: Перейдіть до параметрів. Виберіть Безпека, потім виберіть Політики підготовки. Виберіть Створити політику. Назвіть її, виберіть групу постачальника посвідчень як умову, виберіть цільову Команду Canva та виберіть поведінку синхронізації груп (створити нову групу або синхронізувати з існуючою групою Canva; назви груп повинні збігатися в точності). Щонайменше, створіть дві політики: одну для зіставлення вашої групи співробітників з командою співробітників, та іншу для зіставлення вашої групи учнів з командою учнів.

Основні особливості поведінки:

• Деініціалізація: коли користувача видаляють із групи постачальника посвідчень, його автоматично видаляють із команди Canva, а його обліковий запис блокується.
• Відновлення доступу. Повторне додавання користувача в IdP SCIM автоматично створить його повторно.
• Видалення політики призведе до видалення всіх учасників команди/групи Canva, застосованих відповідно до цієї політики. Використовуйте з обережністю.
• Групи, створені за допомогою політик підготовки, блокуються; Учасників Canva не можна додавати або видаляти вручну. IdP – джерело правди.
• Попередні користувачі Canva повинні пов’язати облікові записи єдиного входу, перш ніж SCIM зможе керувати ними. Запросіть цих користувачів увійти за допомогою єдиного входу, перш ніж активувати SCIM.
• SCIM не надсилає вітальні листи, коли студентів підготовлено до команди студентів.
• Політики підготовки керують лише призначеннями команд і груп, а не ролями. Призначення ролей потрібно обробляти за допомогою зіставлення ролей SAML або налаштовувати вручну.

Принцип роботи: установа надсилає Canva список користувачів для попередньої підготовки. Canva передає цих користувачів до правильних команд.

Найкраще для: установ, чиї постачальник посвідчень (наприклад, Google Workspace) не підтримує груповий push SCIM, або для початкового набору команд на початку семестру.

Як запросити передавання CSV:

1. Підготуйте електронну таблицю з такими стовпцями: адреса електронної пошти, командне завдання.
2. Надішліть файл своєму представнику Canva або зверніться до служби підтримки Canva.
3. Canva обробить передавання та підтвердить його завершення.
4. Перший вхід користувачів має здійснюватися через єдиний вхід.

Примітка. Завантаження файлів CSV не відбувається автоматично. У разі переходу на семестр або зміни персоналу потрібно надіслати новий CSV-файл до нашої службу підтримки. Попереднім користувачам Canva, включеним у файл CSV, буде запропоновано зв’язати наявні облікові записи під час першого входу в систему єдиний вхід.

Принцип роботи. Користувачів не завантажено попередньо. Коли користувач вперше проходить автентифікацію за допомогою єдиного входу, Canva зчитує їхні атрибути SAML, зокрема TeamId і роль, і автоматично додає їх до потрібної команди. Кожен наступний вхід підтримує синхронізацію учасників команди.

Важливо! Якщо основним методом підготовки є JIT, Canva настійно рекомендує ввімкнути функцію захоплення домену (обов’язково для всіх) як елемент керування єдиним входом. Без захоплення домену користувачі вашого домену зможуть обійти єдиний вхід, що означає, що JIT може охопити не всіх користувачів, а деініціалізація повинна виконуватися вручну.

Як працює JIT:

1. Користувач переходить до Canva та автентифікується через ваш постачальник посвідчень.
2. Canva зчитує значення TeamId у твердженні SAML.
3. Користувач автоматично додається до Команди Canva, TeamId якої збігається.
4. Якщо присутній атрибут ролі, користувачеві призначається відповідна роль (дизайнер для персоналу, учасник для учнів).
5. Під час наступних входів Canva повторно перевіряє членство в команді відповідно до твердження SAML.

• Без попередньої підготовки: користувачі з’являються в Canva лише після першого входу в систему єдиного входу. Масові повідомлення або спільний доступ до шаблонів не можна націлювати на користувачів, які ще не ввійшли в систему.
• Немає автоматичної деініціалізації: видалення користувача з вашого постачальника посвідчень не призводить до видалення його з Canva. Деініціалізацію потрібно виконати вручну або за допомогою окремого налаштування SCIM.
• Не вимикайте JIT, якщо SCIM не буде повністю працездатним і налаштовано на обробку всієї підготовки.

Canva для студмістечка підтримує LTI (сумісність навчальних інструментів), що дає змогу викладачам вбудувати завдання Canva у вашу СУН, а учням – надсилати дизайни Canva як курсові.

Перед налаштуванням LTI потрібно повністю налаштувати єдиний вхід. Інструкції з налаштування на певній платформі див. у посібниках із інтеграції СУН.

Домен електронної пошти користувача не підтверджено в параметрах єдиного входу в Canva, або він не пов’язав наявний обліковий запис Canva з єдиним входом.

Перевірте, чи електронний домен користувача збігається з підтвердженим доменом у ваших параметрах єдиного входу Canva. Якщо він має наявний обліковий запис Canva, йому може знадобитися завершити прив'язку облікового запису; направте його до Параметри, потім Вхід і безпека, і оберіть Прив'язати свій обліковий запис єдиного входу.

Щоб отримати вказівки щодо конкретних помилок, див. Усунення несправностей єдиного входув Довідковому центрі Canva.

Значення TeamId, надіслане вашим постачальником посвідчень, не збігається з TeamId, налаштованим у Canva. Значення TeamId залежать від регістру.

Перевірте, щоб значення TeamId, надіслане вашим постачальником посвідчень, збігалося зі значенням TeamId, встановленим у Canva (перейдіть до

Можливо, для вашої організації не налаштовано або не ввімкнено політику підготовки, маркер SCIM API більше не дійсний або наявні користувачі Canva не ввійшли вперше в систему єдиного входу.

• Перевірте, чи налаштовано правила підготовки для зіставлення груп постачальника посвідчень із правильними командами Canva.
• Переконайтеся, що представник Canva ввімкнув правила підготовки для вашої організації.
• Перевірте, чи є актуальним маркер API SCIM у вашому постачальнику посвідчень, особливо якщо функцію SCIM нещодавно вмикали чи вимикали.
• Якщо в уражених користувачів є наявні облікові записи Canva, попросіть їх один раз виконати єдиний вхід (SSO), а потім повторити спробу синхронізації.

Користувача не було повторно підготовлено за допомогою вашого постачальника посвідчень або синхронізацію SCIM не завершено.

Передодайте користувача у своєму постачальнику посвідчень і дозвольте SCIM синхронізуватися. Якщо проблема не зникне, зверніться до служби підтримки Canva.

Студента не було підготовлено до команди студентів навчального закладу, або він входить за допомогою особистого облікового запису Canva, а не єдиного входу.

Підтвердьте, що команді учень було забезпечено доступ компанією Canva і що учень входить за допомогою єдиний вхід. Учень повинен бути учасник команди учень закладу, щоб отримати доступ до функцій Преміум ШІ — вхід за допомогою особистий обліковий запис не надасть доступу.

Чи можуть співробітники й учні ділитися контентом один з одним?

Співробітники й учні належать до окремих команд Canva і не можуть ділитися контентом безпосередньо. Однак можна використовувати зв’язки для співпраці між студентами та співробітниками (викладачами). Викладачі також можуть ділитися шаблонами та завданнями Canva зі студентами завдяки інтеграції з СУН.

Чи можуть випускники зберегти доступ до Canva після закінчення навчання?

Якщо для єдиного входу вибрано значення Лише для учасників вашої команди, користувачі, видалені з ваших команд Canva, втрачають доступ до функцій Campus, але зберігають усі особисті облікові записи Canva. Якщо вибрати параметр «Обов’язково для всіх» (захоплення домену), доступ прив’язаний до вашого постачальника посвідчень. користувачі, чиї доступ постачальника посвідчень скасовано, втратять доступ до Canva в домені свого закладу.

Студенти, які хочуть зберегти свої дизайни, повинні вжити заходів, щоб скопіювати або передати свій контент до закінчення або виходу з навчального закладу. Докладні інструкції див. у розділі Копіювання дизайнів перед випуском .