GSuite (Google) SAML配置（适用于教育版）

使用GSuite (Google)为你的学校系统设置单点登录(SSO)。

1. 从Google Admin控制台，转到应用> Web和移动应用。
2. 单击添加应用，然后单击搜索应用。
3. 在搜索字段中，键入Canva。 选择Canva Web (SAML)应用。
4. 在Google身份提供商详情页面上，复制或备注单点登录（ SSO ） URL和实体ID。 在下一步中需要这些信息。 确保已选中已签名的响应框。

5. 在同一页面，下载证书，然后单击继续。
6. 在服务提供商详情窗口中，保留页面上的大部分设置。 更多详细信息，参阅下方备注。点击继续。
7. 在属性部分，确保字段如下所示，然后单击完成。

服务提供商详情NameId ：我们建议发送带有非电子邮件地址唯一标识符的自定义属性。如果没有，你可以使用主电子邮件地址，但这可能会使Canva可画在你的用户更改电子邮件地址或你的机构更改电子邮件域名时自动更新电子邮件地址变得更具挑战性。

为避免出现问题，请勿使用名字或姓氏作为NameId。

这一步将帮助我们识别哪些用户是学生，哪些是教师或员工。有多种操作方法。

Canva可以根据常见电子邮件模式分配学生或教师角色。例如：

• 学生在一个电子邮件域名；员工在另一个
• 学生在开头有一个数字；员工没有

如果你希望我们在你的帐户上激活此功能，请完成单点登录（ SSO ）设置过程，然后联系我们的支持团队以激活基于域的角色映射。

如果你使用其他来源的数据填充Google Admin ，则可以将该来源设置为以所需的格式将数据发送给Google。

在源数据库（ Active Directory或SIS ）中，创建一个映射，将“员工”一词作为教师或员工的“成本中心”值发送给Google。“学生”值可以留空或为“学生”。

我们建议在Google Admin用户配置文件中使用“成本中心”用户属性，因为它在SAML过程中可用，但通常不被学区使用。

如果使用批量CSV导入或使用外部脚本工具（或者GAM或Gopher等脚本工具）手动填充Google Admin ，则可以使用相同的过程填充角色属性。

在Google中，将“员工”一词作为教师和员工“成本中心”的值进行填充。“学生”值可以留空或为“学生”。

我们建议在Google Admin用户配置文件中使用“成本中心”用户属性，因为它在SAML过程中可用，但通常不被学区使用。

对于具有多所学校设置的学区，你需要将名册数据传输到Canva可画，以帮助我们确定应将用户分配到哪所学校。你可以通过多种方法来执行这一操作。

如果你正在使用Classlink ，你可以通过RosterSync向我们发送你的名册数据。检查OneRoster Provisioning以了解如何操作。

这个选项有多种方法。

如果你的SAML应用中有一个属性，其中包含学校名称、学校ID或与学校相关的任何其他唯一标识符，你可以将其用作“TeamId”属性，以发送有关每个用户所属学校的信息。

1. 在Google Workspace的Canva可画应用中，转到SAML属性映射。
2. 选择添加新映射。
3. 在Google目录属性下，选择包含唯一学校标识符的属性。
4. 输入TeamId作为应用属性。

之后，与Canva可画分享一个CSV文件，其中包含每所学校的名称和将通过声明发送的相应“TeamId”值。

你也可以在SAML应用中创建“群组声明” ，将“群组”名作为声明值来发送。为此，你必须在SAML应用中为每所学校设置一个群组。这个群组需要包含学校中的所有用户（学生和员工） ，且这些学校群组必须是作为声明一部分发送的唯一群组。

1. 在Google Workspace的Canva可画应用中，转到SAML属性映射。
2. 转到群组成员资格部分。
3. 在Google群组下，输入每所学校群组的名称。每所学校只能有一个小组。
4. 输入TeamId作为应用属性。

之后，与Canva可画分享一个CSV文件，其中包含每所学校的名称和每所学校Google群组的确切名称。

您可以使用组织单位为组织中的每所学校组建一个动态群组。动态群组可以由多个组织单位组成。

1. 为每所学校创建一个动态群组。 转到目录>群组。
2. 选择创建动态群组。
3. 在筛选逻辑上，如果群组将包含多个组织单位，请选择OR。
4. 使用以下详细信息设置筛选。 如果学生和教师在不同的组织单位中，你需要两个条件，如下所示。

5. 勾选排除挂起用户复选框。
6. 单击预览确认电子邮件。然后单击创建动态群组。
7. 输入以下详细信息：
   • 群组名称-这将是传递给Canva可画的名称
   • 群组电子邮件地址-应当与群组名称相同
8. 选择保存。

1. 登录Canva可画帐户。
2. 在首页上，选择您的帐户配置文件以打开菜单。
3. 选择
   设置。
4. 从侧边菜单中，选择
   SSO和配置选项卡。
5. 在单点登录（ SSO ）下，点击管理>编辑IdP元数据。
6. 输入来自GSuite （ Google ）的以下详细信息。
   1. SSO或登录URL ：粘贴您的SSO URL。
   2. 实体ID或颁发者URL ：粘贴您的实体ID。
   3. X.509公共证书：粘贴你的证书中的所有内容。
7. 点击保存并下一步。

1. 登录管理控制台。
2. 转到应用> Web和移动应用。
3. 选择Canva可画应用。
4. 前往设置>用户访问。
5. 要为你学区中的每个人打开Canva可画，选择为每个人打开，然后单击保存。
6. 要为组织单位打开Canva可画，选择组织单位，然后选择打开。

了解有关组织单位和组设置的更多信息。

测试SSO设置有两种简单方法：

如果你仍在设置SSO页面，请滚动到测试SSO连接部分，然后单击测试SSO。 如果你是从Canva首页开始：

1. 在首页上，选择您的帐户配置文件以打开菜单。
2. 选择
   设置。
3. 从侧边菜单中，单击
   SSO和配置选项卡。
4. 在单点登录（ SSO ） >管理>测试SSO下。

这样，您无需退出即可快速查看是否一切正常。

1. 在注销之前，请转到
   SSO和设置选项卡。
2. 点击单点登录（ SSO ） >管理>配置SSO设置。
3. 将登录选项设置为“人人可选”。
4. 退出Canva可画帐户。
5. 在 登录页面，单击使用电子邮件登录，然后选择使用SSO登录。

确保使用学生帐户和教师帐户进行测试。如果满足以下条件，则说明你已成功配置单点登录（ SSO ） ：

• 您以教师身份登录并可以看到人员页面。
• 您以学生身份登录，无法看到人员页面。

选择你希望成员登录的方式。我们建议要求域名中的每个人都使用单点登录（ SSO ）。

1. 在首页上，选择您的帐户配置文件以打开菜单。
2. 选择设置。
3. 点击单点登录（ SSO ） >管理>配置SSO设置。
4. 选择所有人都必选（域名捕获）。
5. 点击保存更改。