为企业版版设置单点登录（ SSO ）

为组织设置单点登录（SSO），让注册和登录体验更加轻松。

设置单点登录（SSO）前，请确保满足以下要求：

• 支持 SAML 2.0 的身份提供商。
• 有权限（或获得 IT 团队的支持）在 DNS 中创建 TXT记录。

开始设置：

1. 登录 Canva可画帐户。
2. 在首页上，选择帐户个人资料以打开菜单。
3. 选择
   设置。
4. 在侧边菜单中，点击
   单点登录和配置 标签。

• 如果你使用的不是 Canva可画企业版或其他符合条件的订阅方案，可能看不到此标签，也可能会收到提示，要求你升级以使用单点登录设置。

添加并验证域名有助于我们识别组织成员。使用已验证域名的电子邮件地址的任何人，都可以通过 SAML SSO 登录。

1. 在域名验证标签下，点击添加域名。此时会弹出一个窗口。
2. 在文本框中输入你想用于组织单点登录的域名。
3. 点击提交。接下来，你会看到TXT记录令牌，需要将它添加到 DNS 主机以验证所提交域名的所有权。点击复制令牌。

你可以把 TXT记录看作验证码。将它添加到 DNS 设置后，Canva可画就能验证你是否拥有并控制该域名。如果启用了域名捕获设置，这也能防止他人使用你公司的域名创建 Canva可画团队。

1. 前往管理域名的网站（例如 GoDaddy 或 Namecheap）。
2. 找到管理 DNS或DNS 设置选项。你可以在这里编辑域名的技术信息。
3. 在 DNS 设置中，选择添加新记录，并将类型选为TXT。
4. 填写详细信息。你需要提供名称（例如你的域名）、时间设置（通常保持默认值即可）以及要关联到域名的文本。
5. 填写完信息后，保存设置。按钮可能标为保存或创建。

请注意，具体的文字和按钮名称可能因域名管理服务而异。如果不确定，可以向域名服务提供商寻求帮助。

使用单点登录登录 Canva可画之前，需要先验证 TXT记录。添加 TXT记录后，通常会在 24 小时内完成验证，但 DNS记录缓存过期时间（TTL）可能会让验证耗时更久。根据主机服务商的不同，DNS 更改最长可能需要 72 小时才能生效。域名上的令牌验证完成后，你会收到一封电子邮件。

如需查看状态，可以使用 https://mxtoolbox.com/ 等网站，输入域名并查看 TXT记录是否显示。

在单点登录和配置页面上，点击单点登录（SSO）标签，然后点击设置单点登录。

选择你的身份提供商，查看如何添加 Canva可画的指南。目前支持以下身份提供商：

• ADFS SAML 配置
• Azure AD/ Entra ID SAML 配置
• Duo Security SAML 配置
• GSuite (Google) SAML 配置
• Okta SAML 配置
• OneLogin SAML 配置
• Salesforce SAML 配置

如果上方列表中没有你的身份提供商，请使用以下信息将 Canva可画添加到身份提供商：

• ACS URL/回复 URL：https://www.canva.com/login/saml
• 实体 ID/标识符：https://www.canva.com
• SAML 属性：NameID、Email、FirstName、LastName
• 元数据文本（如需要）

确保 SAML 断言中包含签名。请检查设置并确认。

将 Canva可画添加到身份提供商后，选择下一步。

你可以通过以下两种方式添加身份提供商的元数据：

1. 上传元数据文件：下载身份提供商提供的.xml文件，然后将其上传到 Canva可画。系统会自动导入数据并为你预填字段。选择保存元数据。
2. 手动添加元数据：将身份提供商提供的元数据添加到对应字段中。选择保存元数据。

3. 配置单点退出 URL（可选）：将 Canva可画的退出 URL 添加到身份提供商：

• 在身份提供商中，前往 SAML 配置。
• 找到服务提供商单点退出 URL 字段，并添加 www.canva.com/logout/saml
• 然后，将身份提供商的单点退出 URL 添加到 Canva可画的元数据字段中。

如果组织有多个团队，请确保已在身份提供商中配置TeamId SAML 属性。如需完成此设置，可以返回第 1 步。

否则，选择下一步继续执行第 3 步：测试单点登录连接。

你可以测试单点登录连接，确认其是否正常运行。

1. 测试连接前，请确保已在身份提供商中将你自己分配为有权访问所创建 Canva可画应用的用户。
2. 选择测试单点登录。我们会将你重定向到身份提供商，以便你通过单点登录。
3. 使用身份提供商帐户信息登录。
4. 我们会显示连接测试结果。

• 连接成功：请确认从身份提供商获取的属性和值已正确映射，以便用户能够通过单点登录。如果返回的值不正确，请在身份提供商中修正，然后重新测试。
• 测试错误：请在身份提供商中修正错误，然后重新测试。

5. 属性和值正确映射后，关闭窗口并继续下一步。

准备好详细信息后，请在 Canva可画的单点登录设置页面中输入：

1. 登录 Canva可画帐户。
2. 在首页上，选择帐户个人资料以打开菜单。
3. 选择
   设置。
4. 在侧边菜单中，点击单点登录和配置标签。
5. 点击单点登录（SSO） > 管理 > 编辑身份提供商元数据。
6. 在以下三个字段中输入身份提供商的详细信息：

• 单点登录或登录 URL
• 实体 ID 或颁发者 URL
• X.509 公钥证书

6. 点击保存并下一步。

选择你希望团队成员和来自你域名的其他用户使用哪种方式登录。你可以设为必需，也可以设为可选。详情请参阅设置单点登录注册和登录控制。

有两种简单的方法可以测试单点登录设置：

选项 1：使用“测试单点登录”按钮

1. 前往设置。
2. 在侧边菜单中，点击单点登录和配置标签。
3. 前往单点登录（SSO） > 管理 > 测试单点登录。

无需退出登录，即可快速检查所有设置是否正常。

选项 2：退出后使用单点登录重新登录

1. 退出登录前，前往单点登录和配置标签。
2. 点击单点登录（SSO） > 管理 > 配置单点登录设置。
3. 将登录选项设为对所有人可选。
4. 退出 Canva可画帐户。
5. 在登录页面上，点击使用电子邮件继续，然后选择使用单点登录。

如果登录后跳转到团队页面，说明单点登录设置成功！如果遇到错误，请参阅单点登录错误排查文章获取帮助。

温馨提示：两种方法都试一遍，可以让你更放心地确认设置无误。

组织管理员可以使所有现有登录用户的会话过期，或强制这些用户退出登录；这些用户的电子邮件地址必须属于已验证域名之一。用户再次登录时，如果没有使用单点登录访问 Canva可画，系统会提示他们将帐户关联到单点登录。

这对于将现有用户整合到团队中，以及在所有用户中强制使用单点登录方式尤其有用。

1. 登录 Canva可画帐户。
2. 在首页上，选择帐户个人资料以打开菜单。
3. 选择
   设置。
4. 在侧边菜单中，选择单点登录和配置标签。
5. 点击单点登录（SSO） > 管理 > 配置单点登录设置。
6. 选择以下其中一项登录要求：

• 所有人都必须使用（域名捕获）：所有用户都会退出登录，无论他们是否已加入团队或组织。
• 仅团队成员必须使用：只有属于与单点登录关联的团队或组织的用户才会退出登录。

7. 点击保存连接。

8. 返回单点登录和配置标签。

9. 在域名验证下，点击要退出登录的域名旁边的强制退出登录图标（位于垃圾桶图标旁）。如果有多个域名，请对每个需要强制退出登录的域名重复此步骤。

如果已测试单点登录体验并配置强制退出登录（推荐），请选择完成设置。单点登录设置成功！