为教育版设置单点登录（ SSO ）

本文适用于需要设置单点登录（ SSO ）的学校或学区IT管理员和Canva教育版所有者。

• 如果您有企业版套餐，请使用设置单点登录（ SSO ） （适用于企业版）。
• 教师和一般工作人员不需要本指南。

本文涵盖的内容：

• 要求和先决条件
• 分步设置（ 7个阶段）
• 测试和故障排除提示

• 一个支持SAML 2.0的身份提供商（ IdP ）
• 访问（或获得IT团队的支持）以在域名的DNS设置中创建TXT记录。
• Canva可画教育计划（学校和地区、校园或单一学校）

通过添加和验证您的域，我们可以知道将谁视为您的组织成员。 使用你已验证域的电子邮件地址的任何人都可以通过SAML SSO登录。

1. 登录Canva可画帐户
2. 在首页上，选择您的帐户配置文件以打开菜单。
3. 选择
   设置。
4. 选择SSO和配置标签。
   • 如果未看到此信息，请检查您是否已登录正确的帐户
5. 检查你的域名是否已验证。
   • 如果已经列出，你可以跳到第1步-将Canva可画添加到你的身份提供商。
6. 在域名验证标签下，选择添加域名。 你将看到一个弹出窗口。
7. 在文本字段中，输入你要用于单点登录（ SSO ）登录的域名，例如： myschool.edu和Submit domain。
8. 选择复制令牌，复制出现的TXT记录令牌。 现在，你必须将此令牌添加到域名的DNS设置中，以验证所提交域名的所有权。

我们目前有针对这些身份提供者的详细指南：

• ADFS SAML配置
• Azure AD/Entra ID SAML配置
• Classlink SAML配置
• 巧妙的SAML和Rostering配置
• GSuite (Google) SAML配置
• RapidIdentity SAML配置

如果你的身份提供商未在上面列出，你可以使用此信息来配置SAML ：

• ACS URL/回复URL ： https://www.canva.com/login/saml
• 实体ID/标识符： https://www.canva.com
• SAML属性：用户名、电子邮件地址、名字、姓氏
• 元数据文本（如果需要）

确保SAML断言包含签名。 查看设置以便确认。 将Canva可画添加到你的身份提供商后，选择下一步。

在SSO和设置页面（在设置中找到）上，单击管理SSO标签。

对于拥有多所学校的学区，你需要将名册数据传输到Canva可画，以帮助我们确定应将用户分配到哪所学校。

你可以通过不同的方法来执行这一操作。请选择最能满足你的需求的选项。

如果你正在使用Classlink RosterServer (OneRoster)或Clever ，请选择下一步，然后继续执行步骤3 ：添加身份提供程序的元数据。 你可以稍后在第5步：设置用户配置期间向我们发送你的名册数据。

这个选项有多种方法。

如果你的SAML应用中有一个属性，其中包含学校名称、学校ID或与学校相关的任何其他唯一标识符，你可以将其用作“TeamId”属性，以发送有关每个用户所属学校的信息。

1. 在发送该属性的SAML应用中创建声明，并将声明命名为“TeamId” （区分大小写）。
2. 选择查看TeamId说明，然后在对话框中下载CSV模板。 在一列中，添加每所学校的名称。 在第二列中，添加将通过每所学校的声明发送的相应“TeamId”值。
3. 将你的CSV上传至Canva可画。 你的文件审核完成后，我们会向你发送电子邮件通知。 然后，继续下一步骤。

你也可以创建新的声明并使用声明条件来发送基于群组或其他用户属性的“TeamId”属性值。

你可以通过手动创建一组条件来执行此操作，这些条件告诉你的SAML应用根据用户所在的群组为每个用户发送哪个属性值。

例如，如果Harmony小学的学生在“Harmony学生”中，员工在“Harmony员工”中，你可以指示你的SAML应用使用声明条件将“Harmoney”作为两个群组的“TeamId”发送。

将声明命名为“TeamId” ，并与Canva分享一个CSV ，其中包含每所学校的名称以及将通过声明发送的相应“TeamId”值。

你也可以在SAML应用中创建“群组声明” ，将“群组”名作为声明值来发送。为此，你必须在SAML应用中为每所学校设置一个群组。这个群组需要包含学校中的所有用户（学生和员工） ，且这些学校群组必须是作为声明一部分发送的唯一群组。

将声明命名为“TeamId” ，并与Canva分享一个CSV ，其中包含每所学校的名称以及将通过声明发送的相应“TeamId”值。

对于校园，你需要为每个用户发送一个Teamld属性，告诉Canva他们是学生还是员工（教职员工）。

有几个Teamld选项与上述多学校类似，但我们只需要两个TeamId值：一个是员工/教师团队的独特值，一个是学生团队的独特值。

配置TeamId属性后，在Canva中的Canva组织设置中设置这些值。 这可以在Canva可画帐户设置中的“团队”页面上完成，方法是选择右侧的三个点和“编辑Teamld”。

你可以通过两种方式添加身份提供商的元数据：

1. 元数据文件上传：下载你的身份提供商提供的.xml文件。 然后将其上传到Canva可画。 这将自动导入数据并为您预填字段。选择保存元数据。
2. 手动添加元数据：从IdP为每个相应字段添加元数据。选择保存元数据。

保存元数据后，选择下一步。

您可以测试SSO连接以检查其是否正常工作。

1. 测试连接之前，请确保为你自己分配你在身份提供商中创建的Canva可画应用的访问权限。
2. 选择测试SSO。我们会将你跳转到你的身份提供商，以便你使用SSO进行登录。
3. 使用身份提供商详细信息登录。
4. 我们将显示测试连接结果。

• 成功连接：确保我们从你的身份提供商处检索到的属性和值已正确映射，以便用户可以使用SSO进行登录。 如果返回的值不正确，请在身份提供商处更正这些值，然后重试。
• 测试错误：请更正身份提供商中的错误，然后重试。

5.正确映射属性和值后，关闭窗口并继续进行下一步。

1. 选择OneRoster作为设置类型。
2. 检查OneRoster Provisioning以获取详细说明。

1. 选择Clever作为设置类型。
2. 检查Clever SAML & Rostering Configuration以获取详细说明。

完成后继续下一步。

选择希望团队和域名中的其他用户登录的方式。 有关更多详细信息，请参见设置单点登录（ SSO ）登录和注册控制。

1. 转到设置> SSO和配置。
2. 在单点登录标签下，点击管理>配置SSO设置
3. 选择任何人可选。
4. 退出Canva可画帐户，然后重新登录。
5. 在 登录页面，选择使用电子邮件登录，然后选择使用SSO登录。

如果你转至团队页面，则表示单点登录（ SSO ）有效。

1. 回到设置> SSO和配置。
2. 在单点登录下，单击管理>配置SSO设置。
3. 选择所有人都必选（域名捕获）。

这一步非常重要，因为它可以确保您的成员在使用单点登录（ SSO ）登录时被添加到正确的团队中。

1.登录你的Canva可画帐户

2.在左下角，点击你的个人头像，然后选择 设置。

3.从侧边菜单中，选择SSO和配置选项卡。

4.点击单点登录（ SSO ） >管理>配置SSO设置。

5.选择以下一项登录要求：

• 所有用户都必选（域名捕获） ：注销所有用户，无论他们是否已加入团队或组织。
• 仅团队成员必需：仅注销属于链接到SSO的团队或组织的用户。

6.正确映射属性和值后，关闭窗口并继续进行下一步。

7.返回“SSO和配置”选项卡。

8.在域名验证下，点击要注销的域名的强制注销图标（垃圾桶旁）。

• 如果您有多个域，请对您要强制注销的每个域重复此步骤。

如果您已测试单点登录（ SSO ）登录体验并配置了强制注销（推荐） ，然后选择完成设置（ Finish setup ）。 你已成功设置SSO ！