Thiết lập tính năng Đăng nhập một lần (SSO) cho Giáo dục

Bài viết này dành cho quản trị viên CNTT của trường học hoặc học khu và chủ sở hữu Canva Education, những người cần thiết lập tính năng Đăng nhập một lần (SSO).

• Nếu bạn có gói Doanh nghiệp, hãy sử dụng Thiết lập SSO (Cho Doanh nghiệp).
• Giáo viên và nhân viên nói chung không cần hướng dẫn này.

Nội dung của bài viết này:

• Yêu cầu và điều kiện tiên quyết
• Thiết lập từng bước (7 giai đoạn)
• Mẹo kiểm tra và khắc phục sự cố

• Nhà cung cấp dịch vụ danh tính (IdP) hỗ trợ SAML 2.0
• Truy cập (hoặc hỗ trợ từ nhóm CNTT của bạn) để tạo bản ghi txt trong phần cài đặt DNS của tên miền.
• Kế hoạch Giáo dục Canva (Trường học & Học khu, Cơ sở hoặc Trường đơn lẻ)

Thêm và xác minh miền của bạn cho phép chúng tôi biết ai sẽ được coi là thành viên trong tổ chức của bạn. Bất kỳ ai sử dụng địa chỉ email có miền đã xác minh của bạn đều có thể đăng nhập bằng SAML SSO.

1. Đăng nhập vào tài khoản Canva
2. Trên trang chủ, chọn hồ sơ tài khoản của bạn để mở menu.
3. Chọn
   Cài đặt.
4. Chọn SSO & cấp quyền.
   • Nếu bạn không thấy mục này, hãy kiểm tra xem bạn đã đăng nhập vào đúng tài khoản chưa
5. Kiểm tra xem miền của bạn đã được xác minh chưa.
   • Nếu nó đã được liệt kê, bạn có thể chuyển đến Bước 1 - Thêm Canva vào nhà cung cấp dịch vụ danh tính của bạn.
6. Bên dưới thẻ Xác minh tên miền, Chọn Thêm tên miền. Một cửa sổ sẽ bật lên.
7. Trong trường văn bản, nhập tên miền bạn muốn dùng để đăng nhập SSO, ví dụ: myschool.edu và Gửi tên miền.
8. Chọn Sao chép mã thông báo để sao chép mã thông báo bản ghi txt xuất hiện. Bây giờ bạn phải thêm token này vào phần cài đặt DNS của tên miền để xác minh quyền sở hữu của tên miền bạn đã gửi.

Chúng tôi hiện có hướng dẫn chi tiết cho các nhà cung cấp dịch vụ nhận dạng này:

• Cấu hình SAML ADFS
• Cấu hình SAML Azure AD/ Entra ID
• Cấu hình SAML Classlink
• SAML & Bảng phân công Thông minh
• Cấu hình SAML GSuite (Google)
• Cấu hình SAML RapidIdentity

Nếu Identity Provider của bạn không có trong danh sách trên, bạn có thể sử dụng thông tin này để định cấu hình SAML:

• URL ACS/URL trả lời: https://www.canva.com/login/saml
• ID/Giá trị nhận dạng thực thể: https://www.canva.com
• Thuộc tính SAML: NameID, Email, FirstName, LastName
• Văn bản siêu dữ liệu (nếu cần)

Hãy đảm bảo nội dung xác nhận SAML bao gồm chữ ký. Kiểm tra phần cài đặt để xác minh. Sau khi bạn thêm Canva vào hệ thống nhận dạng, hãy chọn Tiếp theo.

Trên trang SSO & Provisioning (Cung cấp) (trong Cài đặt), nhấp vào tab Manage SSO (Quản lý SSO).

Đối với các trường học có thiết lập nhiều cơ sở, bạn sẽ cần chuyển dữ liệu roster của mình cho Canva để giúp chúng tôi xác định nên chỉ định người dùng vào cơ sở nào.

Có nhiều cách để thực hiện việc này. Hãy chọn tùy chọn phù hợp với nhu cầu của bạn nhất.

Nếu bạn đang sử dụng Classlink RosterServer (OneRoster) hoặc Clever, hãy chọn Tiếp theo và tiếp tục Bước 3: Thêm siêu dữ liệu của nhà cung cấp dịch vụ Danh tính. Bạn có thể gửi cho chúng tôi dữ liệu bảng phân công của bạn sau trong Bước 5: Thiết lập cấp quyền cho người dùng.

Khi chọn tùy chọn này, bạn có thể thực hiện theo một số cách.

Nếu bạn có một thuộc tính trong ứng dụng SAML với tên trường học, ID trường học hoặc bất kỳ mã định danh duy nhất nào khác liên quan đến trường học, bạn có thể sử dụng thuộc tính đó làm thuộc tính "TeamId" để gửi thông tin về trường học của mỗi người dùng.

1. Tạo một xác nhận trong ứng dụng SAML của bạn để gửi thuộc tính đó và đặt tên cho xác nhận là "TeamId" (phân biệt chữ hoa chữ thường).
2. Chọn Xem hướng dẫn TeamId và tải xuống mẫu CSV trong hộp thoại. Trong một cột, thêm tên của từng trường. Trong cột thứ hai, thêm giá trị "TeamId" tương ứng sẽ được gửi qua yêu cầu bồi thường cho từng trường học.
3. Tải tệp CSV của bạn lên Canva. Chúng tôi sẽ gửi email cho bạn sau khi xem xét xong tệp của bạn. Sau đó, chuyển sang bước tiếp theo.

Bạn cũng có thể tạo xác nhận mới và sử dụng các điều kiện xác nhận để gửi các giá trị thuộc tính "TeamId" dựa trên các nhóm hoặc thuộc tính người dùng khác.

Bạn có thể làm điều này bằng cách tạo thủ công tập hợp các điều kiện cho ứng dụng SAML biết giá trị thuộc tính nào cần gửi cho mỗi người dùng dựa trên nhóm mà người dùng đó tham gia.

Ví dụ: nếu học sinh tại Trường tiểu học Harmony thuộc "Học sinh Harmony" và nhân viên thuộc "Nhân viên Harmony", bạn có thể yêu cầu ứng dụng SAML gửi "Harmony" dưới dạng "TeamId" cho cả hai nhóm bằng cách sử dụng các điều kiện xác nhận.

Đặt tên cho Xác nhận là "TeamId" và chia sẻ tệp CSV với Canva. Tệp này bao gồm tên của từng trường học và giá trị "TeamId" tương ứng sẽ được gửi qua xác nhận.

Bạn cũng có thể tạo Xác nhận theo nhóm trong ứng dụng SAML. Ứng dụng này sẽ gửi tên Nhóm dưới dạng giá trị xác nhận. Để thực hiện việc này, bạn phải có một nhóm duy nhất trong ứng dụng SAML cho mỗi trường học. Nhóm này cần bao gồm tất cả người dùng trong trường học (học sinh/sinh viên và nhân viên) và các nhóm trường học này phải là các nhóm duy nhất được gửi như một phần của xác nhận.

Đặt tên cho Xác nhận là "TeamId" và chia sẻ tệp CSV với Canva. Tệp này bao gồm tên của từng trường học và giá trị "TeamId" tương ứng sẽ được gửi qua xác nhận.

Đối với Khu học xá, bạn cần gửi thuộc tính Teamld cho mỗi người dùng, để cho Canva biết họ là sinh viên hay nhân viên (giảng viên, nhân viên).

Có một số tùy chọn Teamld tương tự như đa trường được đề cập ở trên, ngoại trừ chúng tôi chỉ cần hai giá trị TeamId: Một giá trị duy nhất cho nhân viên/nhóm giảng viên của bạn và một cho nhóm sinh viên của bạn.

Sau khi bạn đã định cấu hình thuộc tính TeamId, hãy đặt các giá trị đó trong phần Cài đặt tổ chức Canva trong Canva. Thao tác này có thể được thực hiện trên trang Teams trong phần cài đặt tài khoản Canva của bạn bằng cách chọn ba dấu chấm ở bên phải và Chỉnh sửa Teamld.

Bạn có thể thêm siêu dữ liệu của nhà cung cấp danh tính theo hai cách:

1. Tải lên tệp siêu dữ liệu: Tải xuống tệp .xml do nhà cung cấp danh tính của bạn cung cấp. Sau đó tải lên Canva. Thao tác này sẽ tự động nhập dữ liệu và điền sẵn các trường cho bạn. Chọn Lưu siêu dữ liệu.
2. Thêm siêu dữ liệu theo cách thủ công: Thêm siêu dữ liệu từ IdP của bạn cho mỗi trường tương ứng. Chọn Lưu siêu dữ liệu.

Sau khi lưu siêu dữ liệu của bạn, hãy chọn Tiếp.

Bạn có thể kiểm tra kết nối SSO của mình để xem nó có hoạt động không.

1. Trước khi kiểm tra kết nối, bạn hãy nhớ nhớ chỉ định cho mình quyền truy cập vào ứng dụng Canva mà bạn đã tạo trong nhà cung cấp dịch vụ nhận dạng.
2. Chọn Kiểm tra SSO. Chúng tôi sẽ chuyển hướng bạn đến Identity Provider để đăng nhập bằng SSO.
3. Đăng nhập với chi tiết về nhà cung cấp dịch vụ danh tính của bạn.
4. Chúng tôi sẽ hiển thị kết quả kết nối thử nghiệm.

• Kết nối thành công: Đảm bảo các thuộc tính và giá trị mà chúng tôi truy xuất từ nhà cung cấp danh tính của bạn được ánh xạ chính xác để người dùng có thể đăng nhập bằng SSO. Nếu giá trị trả về không chính xác, hãy sửa trong nhà cung cấp danh tính rồi thử kiểm tra lại.
• Lỗi kiểm tra: Sửa lỗi trong nhà cung cấp danh tính của bạn và thử kiểm tra lại.

5. Khi các thuộc tính và giá trị được ánh xạ chính xác, hãy đóng cửa sổ và chuyển sang bước tiếp theo.

1. Chọn OneRoster làm loại cung cấp của bạn.
2. Kiểm tra Cấp quyền OneRoster để biết hướng dẫn chi tiết.

1. Chọn Thông minh làm loại cung cấp của bạn.
2. Kiểm tra Cấu hình SAML & Phân công Thông minh để biết hướng dẫn chi tiết.

Chuyển sang bước tiếp theo sau khi hoàn tất.

Chọn cách bạn muốn đội của mình và những người dùng khác trong tên miền đăng nhập. Xem Thiết lập biện pháp kiểm soát đăng nhập và đăng ký SSO để biết thêm chi tiết.

1. Truy cập vào Cài đặt > SSO và cấp quyền.
2. Trong thẻ Đăng nhập một lần, nhấp vào Quản lý > Định cấu hình cài đặt SSO
3. Chọn tùy chọn cho mọi người.
4. Đăng xuất khỏi tài khoản Canva rồi đăng nhập lại.
5. Trên trang đăng nhập, chọn Tiếp tục với email, rồi chọn Đăng nhập bằng SSO.

Nếu bạn được đưa đến trang của đội, điều này có nghĩa là SSO đang hoạt động.

1. Quay lại Cài đặt > SSO và cấp quyền.
2. Trong Đăng nhập một lần, nhấp vào Quản lý > Định cấu hình cài đặt SSO.
3. Chọn Bắt buộc đối với mọi người (toàn bộ tên miền).

Bước này rất quan trọng vì nó đảm bảo các thành viên của bạn được thêm vào đúng nhóm khi họ đăng nhập bằng SSO.

1. Đăng nhập vào tài khoản Canva của bạn

2. Ở góc dưới cùng bên trái, nhấp vào hình đại diện trong hồ sơ, rồi chọn Cài đặt.

3. Từ menu bên, chọn thẻ SSO và cung cấp..

4. Nhấp vào Đăng nhập một lần (SSO) > Quản lý > Định cấu hình cài đặt SSO.

5. Chọn một trong các yêu cầu đăng nhập sau:

• Bắt buộc đối với mọi người (toàn bộ tên miền): Đăng xuất tất cả người dùng, cho dù họ đã tham gia nhóm hoặc tổ chức hay chưa.
• Chỉ bắt buộc đối với thành viên trong đội của bạn: Chỉ đăng xuất những người dùng là thành viên trong đội hoặc tổ chức được liên kết với SSO của bạn.

6. Khi các thuộc tính và giá trị được ánh xạ chính xác, hãy đóng cửa sổ và chuyển sang bước tiếp theo.

7. Quay lại tab SSO và cấp quyền.

8. Trong Xác minh miền, nhấp vào biểu tượng Bắt buộc đăng xuất (bên cạnh Thùng rác) cho miền bạn muốn đăng xuất.

• Nếu bạn có nhiều tên miền, hãy lặp lại bước này cho mỗi tên miền bạn muốn buộc đăng xuất.

Nếu bạn đã kiểm tra trải nghiệm đăng nhập SSO và cấu hình Force logout (nên dùng), sau đó chọn Finish setup (Hoàn tất thiết lập). Bạn đã thiết lập thành công SSO!