Single Sign-On (SSO) einrichten (For Education)

Dieser Artikel richtet sich an IT-Administratoren von Schulen oder Schulbezirken und Inhaber*innen von Canva Education, die Single Sign-On (SSO) einrichten möchten.

• Wenn du ein Canva Enterprise-Abonnement hast, findest du weitere Informationen unter SSO einrichten (für Canva Enterprise).
• Lehrkräfte und allgemeine Mitarbeitende benötigen diese Anleitung nicht.

In diesem Artikel erfährst du:

• welche Anforderungen und Voraussetzungen gelten
• wie du die Einrichtung Schritt für Schritt durchführst (7 Phasen)
• Tipps zum Testen und zur Fehlerbehebung

• SAML 2.0: Ein Standard für sichere Anmeldungen zwischen Apps und Identitätssystemen.
• IdP (Identitätsanbieter): Der Dienst, der Anmeldungen verwaltet (z. B. Azure, Google Workspace, ADFS).
• TXT-Eintrag: Eine kurze Textzeile, die du in den DNS-Einstellungen deiner Domain hinzufügst, um nachzuweisen, dass sie dir gehört.
• TeamId: Ein eindeutiger Wert, der Schulen, Campus oder Gruppen innerhalb deiner Organisation kennzeichnet.

• Ein Identitätsanbieter (IdP), der SAML 2.0 unterstützt
• Zugriff auf die DNS-Einstellungen deiner Domain (oder Unterstützung durch dein IT-Team), um dort einen TXT-Eintrag zu erstellen.
• Ein Canva Education-Abonnement (Schulen und Schulbezirke, Campus oder einzelne Schule)

Wenn du deine Domain hinzufügst und bestätigst, wissen wir, welche Personen zu deiner Organisation gehören. Alle Personen, die eine E-Mail-Adresse mit einer deiner bestätigten Domains verwenden, können sich über SAML SSO anmelden.

1. Melde dich bei deinem Canva Konto an
2. Wähle auf der Startseite dein Kontoprofil aus, um das Menü zu öffnen.
3. Wähle
   Einstellungen.
4. Wähle den Tab SSO & Provisionierung aus.
   • Wenn diese Option nicht angezeigt wird, überprüfe, ob du beim richtigen Konto angemeldet bist
5. Überprüfe, ob deine Domain bestätigt wurde.
   • Falls ja, fahre mit Schritt 1 – Canva zu deinem Identitätsanbieter hinzufügen. fort.
6. Wähle unter dem Tab Domain verification die Option Domain hinzufügen aus. Ein Pop-up-Fenster wird angezeigt.
7. Gib im Textfeld die Domain ein, die du für die SSO-Anmeldung verwenden möchtest, zum Beispiel: myschool.edu, und wähle Domain einreichen. aus.
8. Wähle Token kopieren aus, um den angezeigten Token des TXT-Eintrags zu kopieren. Füge diesen Token jetzt in den DNS-Einstellungen deiner Domain hinzu, um nachzuweisen, dass dir die eingereichte Domain gehört.

Für die folgenden Identitätsanbieter gibt es ausführliche Anleitungen:

• ADFS-SAML-Konfiguration
• Azure AD/Entra ID-SAML-Konfiguration
• Classlink-SAML-Konfiguration
• Clever-SAML- und Stammdatenabgleich-Konfiguration
• GSuite (Google)-SAML-Konfiguration
• RapidIdentity-SAML-Konfiguration

Wenn dein Identitätsanbieter oben nicht aufgeführt ist, kannst du anhand dieser Informationen SAML konfigurieren:

• ACS-URL/Antwort-URL: https://www.canva.com/login/saml
• Entitäts-ID/Bezeichner: https://www.canva.com
• SAML-Attribute: NameID, Email, FirstName, LastName
• Metadatentext (falls erforderlich)

Deine SAML-Assertion muss eine Signatur enthalten. Überprüfe dies in deinen Einstellungen. Nachdem du Canva zu deinem Identitätsanbieter hinzugefügt hast, wähle Weiter.

Klicke auf der Seite „SSO und Provisionierung“ (zu finden unter Einstellungen) auf den Tab SSO verwalten.

Wenn dein Schulbezirk mehrere Schulen umfasst, musst du deine Stammdaten an Canva übertragen. So können wir ermitteln, welcher Schule ein*e Nutzer*in zugewiesen werden soll.

Dafür gibt es verschiedene Möglichkeiten. Wähle die Option, die am besten zu deinen Anforderungen passt.

Wenn du Classlink RosterServer (OneRoster) oder Clever verwendest, wähle Weiter und fahre mit Schritt 3: Metadaten deines Identitätsanbieters hinzufügen fort. Deine Stammdaten kannst du uns später in Schritt 5: Provisionierung von Nutzer*innen einrichten senden.

Diese Option lässt sich auf verschiedene Arten umsetzen.

Wenn deine SAML-App ein Attribut mit dem Namen der Schule, der Schul-ID oder einem anderen eindeutigen Kennzeichen der Schule enthält, kannst du dieses als Attribut „TeamId“ verwenden, um zu übermitteln, zu welcher Schule die einzelnen Nutzer*innen gehören.

1. Erstelle in deiner SAML-App einen Claim, der dieses Attribut übermittelt, und nenne den Claim „TeamId“ (Groß- und Kleinschreibung beachten).
2. Wähle TeamId-Anleitung ansehen aus und lade die CSV-Vorlage im Dialogfeld herunter. Trage in einer Spalte den Namen jeder Schule ein. Füge in einer zweiten Spalte den entsprechenden „TeamId“-Wert hinzu, der für die jeweilige Schule über den Claim übermittelt wird.
3. Lade deine CSV-Datei auf Canva hoch. Wir schreiben dir per E-Mail, sobald deine Datei überprüft wurde. Fahre anschließend mit dem nächsten Schritt fort.

Du kannst auch einen neuen Claim erstellen und mithilfe von Claim-Bedingungen „TeamId“-Attributwerte basierend auf Gruppen oder anderen Nutzerattributen senden.

Erstelle dazu manuell eine Reihe von Bedingungen, die deiner SAML-App mitteilen, welchen Attributwert sie für jede*n Nutzer*in senden soll – abhängig von der Gruppe, zu der die Person gehört.

Wenn zum Beispiel die Schüler*innen der Harmony Elementary zur Gruppe „Harmony Students“ und die Mitarbeitenden zur Gruppe „Harmony Staff“ gehören, kannst du deiner SAML-App mithilfe von Claim-Bedingungen vorgeben, für beide Gruppen „Harmony“ als „TeamId“ zu senden.

Nenne den Claim „TeamId“ und teile Canva eine CSV-Datei mit dem Namen jeder Schule sowie dem entsprechenden „TeamId“-Wert mit, der über den Claim gesendet wird.

Du kannst in deiner SAML-App auch einen Gruppen-Claim erstellen, der den Gruppennamen als Claim-Wert sendet. Dafür muss es in deiner SAML-App für jede Schule genau eine Gruppe geben. Diese Gruppe muss alle Personen der Schule (Schüler*innen und Mitarbeitende) enthalten. Außerdem dürfen nur diese Schulgruppen als Teil des Claims gesendet werden.

Nenne den Claim „TeamId“ und teile Canva eine CSV-Datei mit dem Namen jeder Schule sowie dem entsprechenden „TeamId“-Wert mit, der über den Claim gesendet wird.

Für Campus musst du für jede Person ein Teamld-Attribut senden, damit Canva erkennt, ob es sich um eine studierende oder angestellte Person (Lehrkraft, Mitarbeitende) handelt.

Für Teamld gibt es mehrere Optionen, die den oben beschriebenen Möglichkeiten für mehrere Schulen ähneln. Der Unterschied: Wir benötigen nur zwei TeamId-Werte – einen eindeutigen Wert für das Team der Mitarbeitenden/Lehrkräfte und einen für das Schüler*innen-Team.

Sobald du ein TeamId-Attribut konfiguriert hast, lege diese Werte in den Organisationseinstellungen deiner Canva Organisation fest. Das kannst du auf der Seite Teams in deinen Canva Kontoeinstellungen erledigen: Wähle dazu rechts die drei Punkte und dann Teamld bearbeiten.

Du kannst die Metadaten deines Identitätsanbieters auf zwei Arten hinzufügen:

1. Metadatendatei hochladen: Lade die vom Identitätsanbieter bereitgestellte .xml-Datei herunter. Lade sie anschließend in Canva hoch. Dadurch werden die Daten automatisch importiert und die Felder vorausgefüllt. Wähle Metadaten speichern.
2. Metadaten manuell hinzufügen: Füge die Metadaten deines IdP in die entsprechenden Felder ein. Wähle Metadaten speichern.

Nachdem du die Metadaten gespeichert hast, wähle Weiter.

Du kannst testen, ob deine SSO-Verbindung funktioniert.

1. Bevor du die Verbindung testest, stelle sicher, dass du dir selbst Zugriff auf die Canva-Anwendung zugewiesen hast, die du in deinem Identitätsanbieter erstellt hast.
2. Wähle SSO testen. Wir leiten dich zu deinem Identitätsanbieter weiter, damit du dich mit SSO anmelden kannst.
3. Melde dich mit deinen Zugangsdaten für den Identitätsanbieter an.
4. Die Ergebnisse des Verbindungstests werden angezeigt.

• Verbindung erfolgreich: Stelle sicher, dass die von deinem Identitätsanbieter abgerufenen Attribute und Werte korrekt zugeordnet sind, damit sich Nutzer*innen mit SSO anmelden können. Wenn die zurückgegebenen Werte falsch sind, korrigiere sie in deinem Identitätsanbieter und wiederhole den Test.
• Testfehler: Behebe die Fehler in deinem Identitätsanbieter und wiederhole den Test.

5. Sobald die Attribute und Werte korrekt zugeordnet sind, schließe das Fenster und fahre mit dem nächsten Schritt fort.

1. Wähle OneRoster als Provisionierungstyp aus.
2. Eine ausführliche Anleitung findest du unter OneRoster-Provisionierung.

1. Wähle Clever als Provisionierungstyp aus.
2. Eine ausführliche Anleitung findest du unter Clever-SAML- und Stammdatenabgleich-Konfiguration.

Für die Einrichtung von Wonde benötigst du Unterstützung von Canva und Wonde. Die Schritte hängen davon ab, ob deine Organisation neu bei Canva ist oder Canva bereits verwendet.

Eine ausführliche Anleitung findest du unter Wonde-Provisionierung.

Fahre anschließend mit dem nächsten Schritt fort.

Lege fest, wie sich dein Team und andere Nutzer*innen deiner Domain anmelden sollen. Weitere Informationen findest du unter SSO-Anmelde- und Registrierungssteuerung einrichten.

1. Gehe zu Einstellungen > SSO und Provisionierung.
2. Klicke unter dem Tab „Single Sign-On“ auf Verwalten > SSO-Einstellungen konfigurieren.
3. Wähle Optional für alle.
4. Melde dich von deinem Canva Konto ab und anschließend wieder an.
5. Wähle auf der Anmeldeseite die Option Mit E-Mail-Adresse fortfahren und dann Mit SSO anmelden.

Wenn du zur Seite deines Teams weitergeleitet wirst, funktioniert SSO.

1. Gehe zurück zu Einstellungen > SSO und Provisionierung.
2. Klicke unter Single Sign-On auf Verwalten > SSO-Einstellungen konfigurieren.
3. Wähle Für alle erforderlich (Domain-Erfassung).

Dieser Schritt ist wichtig, damit deine Mitglieder bei der Anmeldung mit SSO den richtigen Teams hinzugefügt werden.

1. Melde dich bei deinem Canva Konto an.

2. Klicke unten links auf deinen Profil-Avatar und wähle dann Einstellungen.

3. Wähle im Seitenmenü den Tab SSO und Provisionierung.

4. Klicke auf Single Sign-On (SSO) > Verwalten > SSO-Einstellungen konfigurieren.

5. Wähle eine der folgenden Anmeldeanforderungen:

• Für alle erforderlich (Domain-Erfassung): Meldet alle Nutzer*innen ab, unabhängig davon, ob sie dem Team oder der Organisation beigetreten sind.
• Nur für Mitglieder deines Teams erforderlich: Meldet nur Nutzer*innen ab, die zum Team oder zur Organisation gehören, das bzw. die mit deinem SSO verknüpft ist.

6. Sobald die Attribute und Werte korrekt zugeordnet sind, schließe das Fenster und fahre mit dem nächsten Schritt fort.

7. Gehe zurück zum Tab SSO und Provisionierung.

8. Klicke unter Domain-Bestätigung neben der Domain, von der du Nutzer*innen abmelden möchtest, auf das Symbol „Abmeldung erzwingen“ (neben dem Papierkorb).

• Wenn du mehrere Domains hast, wiederhole diesen Schritt für jede Domain, für die du die Abmeldung erzwingen möchtest.

Wenn du die SSO-Anmeldung getestet und die Abmeldung erzwungen hast (empfohlen), wähle Einrichtung abschließen. SSO ist jetzt eingerichtet!