Configurar el inicio de sesión único (SSO) para Canva Educación

Este artículo está dirigido a administradores de TI de escuelas o sistemas educativos y propietarios de Canva Educación que necesitan configurar el inicio de sesión único (SSO).

• Si tienes un plan de Canva Empresas, consulta Configurar el SSO (para Canva Empresas).
• El personal docente y administrativo en general no necesita esta guía.

En este artículo encontrarás:

• Requisitos y condiciones previas
• Instrucciones de configuración paso a paso (7 etapas)
• Consejos para probar y solucionar problemas

• SAML 2.0: estándar para iniciar sesión de forma segura entre apps y sistemas de identidad.
• IdP (proveedor de identidad): servicio que administra los inicios de sesión (por ejemplo, Azure, Google Workspace o ADFS).
• Registro TXT: una pequeña línea de texto que agregas a la configuración de tu dominio para demostrar que te pertenece.
• TeamId: valor único que identifica escuelas, campus o grupos dentro de tu organización.

• Un proveedor de identidad (IdP) que admita SAML 2.0
• Acceso (o ayuda de tu equipo de TI) para crear un registro TXT en la configuración de DNS de tu dominio.
• Un plan de Canva Educación (Escuelas y sistemas educativos, Universidades o una sola escuela)

Agregar y verificar tu dominio nos permite saber quiénes pertenecen a tu organización. Cualquier persona que use una dirección de correo electrónico de tus dominios verificados podrá iniciar sesión mediante SAML SSO.

1. Inicia sesión en tu cuenta de Canva
2. En la página de inicio, selecciona el perfil de tu cuenta para abrir el menú.
3. Selecciona
   Configuración.
4. Selecciona la pestaña SSO y aprovisionamiento.
   • Si no ves esta opción, asegúrate de haber iniciado sesión en la cuenta correcta
5. Comprueba si se verificó tu dominio.
   • Si ya está verificado, ve al Paso 1: Agrega Canva a tu proveedor de identidad.
6. En la pestaña Verificación del dominio, selecciona Agregar dominio. Se abrirá una ventana emergente.
7. En el campo de texto, ingresa el dominio que quieras usar para iniciar sesión con SSO, por ejemplo: myschool.edu, y selecciona Enviar dominio.
8. Selecciona Copiar token para copiar el token del registro TXT que aparece. Ahora debes agregar este token a la configuración de DNS de tu dominio para verificar que eres su propietario.

Actualmente, tenemos guías detalladas para estos proveedores de identidad:

• Configuración de ADFS SAML
• Configuración de Azure AD/Entra ID SAML
• Configuración de Classlink SAML
• Configuración de Clever SAML y asignación de listas
• Configuración de GSuite (Google) SAML
• Configuración de RapidIdentity SAML

Si tu proveedor de identidad no aparece en la lista anterior, puedes usar esta información para configurar SAML:

• URL de ACS/URL de respuesta: https://www.canva.com/login/saml
• ID de entidad/identificador: https://www.canva.com
• Atributos SAML: NameID, Email, FirstName, LastName
• Texto de metadatos (si es necesario)

Asegúrate de que tu afirmación SAML incluya una firma. Revisa la configuración para verificarlo. Después de agregar Canva a tu proveedor de identidad, selecciona Siguiente.

En la página SSO y aprovisionamiento (que encontrarás en Configuración), haz clic en la pestaña Administrar SSO.

Si tu sistema educativo incluye varias escuelas, tendrás que transferir los datos de las listas a Canva para ayudarnos a identificar a qué escuela se debe asignar cada usuario.

Hay varias formas de hacerlo. Elige la opción que mejor se adapte a tus necesidades.

Si usas Classlink RosterServer (OneRoster) o Clever, selecciona Siguiente y continúa con el Paso 3: Agrega los metadatos de tu proveedor de identidad. Puedes enviarnos los datos de las listas más adelante, durante el Paso 5: Configura el aprovisionamiento de usuarios.

Hay varias formas de usar esta opción.

Si tienes un atributo en tu app de SAML con el nombre de la escuela, el ID de la escuela u otro identificador único relacionado con ella, puedes usarlo como atributo “TeamId” para enviar información sobre a qué escuela pertenece cada usuario.

1. Crea un claim en tu app de SAML que envíe ese atributo y asígnale el nombre "TeamId" (distingue entre mayúsculas y minúsculas).
2. Selecciona Ver instrucciones de TeamId y descarga la plantilla CSV en el cuadro de diálogo. En una columna, agrega el nombre de cada escuela. En una segunda columna, agrega el valor de “TeamId” correspondiente que se enviará mediante el claim para cada escuela.
3. Sube tu archivo CSV a Canva. Te enviaremos un correo cuando hayamos revisado el archivo. Luego, continúa con el siguiente paso.

También puedes crear una nueva declaración y usar condiciones para enviar valores del atributo “TeamId” según los grupos u otros atributos de usuario.

Puedes hacerlo creando manualmente un conjunto de condiciones que indiquen a tu app SAML qué valor de atributo enviar para cada usuario, según el grupo al que pertenezca.

Por ejemplo, si quienes estudian en Harmony Elementary están en el grupo "Harmony Students" y el personal está en "Harmony Staff", puedes indicarle a tu app SAML que envíe "Harmony" como “TeamId” para ambos grupos mediante condiciones.

Asigna a la declaración el nombre "TeamId" y comparte con Canva un archivo CSV que incluya el nombre de cada escuela y el valor correspondiente de “TeamId” que se enviará mediante la declaración.

También puedes crear una declaración de grupo en tu app SAML, que envíe el nombre del grupo como valor de la declaración. Para que esto funcione, debes tener un solo grupo en tu app SAML para cada escuela. El grupo debe incluir a todas las personas de la escuela (estudiantes y personal), y estos grupos escolares deben ser los únicos que se envíen como parte de la declaración.

Asigna a la declaración el nombre "TeamId" y comparte con Canva un archivo CSV que incluya el nombre de cada escuela y el valor correspondiente de “TeamId” que se enviará mediante la declaración.

Para Universidades, tendrás que enviar un atributo TeamId para cada usuario, para indicarle a Canva si es estudiante o empleado (personal docente o administrativo).

Las opciones de TeamId son similares a las que se mencionaron para varias escuelas, pero solo necesitamos dos valores de TeamId: uno único para el equipo de personal docente/administrativo y otro para el equipo de estudiantes.

Una vez que hayas configurado un atributo TeamId, establece esos valores en la configuración de la organización de Canva. Para hacerlo, ve a la página Equipos, dentro de la configuración de tu cuenta de Canva, selecciona los tres puntos de la derecha y elige Editar TeamId.

Puedes agregar los metadatos de tu proveedor de identidad de dos formas:

1. Subir un archivo de metadatos: Descarga el archivo .xml que proporciona tu proveedor de identidad y súbelo a Canva. Así, los datos se importarán automáticamente y los campos se completarán por ti. Selecciona Guardar metadatos.
2. Agregar los metadatos manualmente: Agrega los metadatos de tu IdP en cada campo correspondiente. Selecciona Guardar metadatos.

Después de guardar los metadatos, selecciona Siguiente.

Puedes probar la conexión SSO para comprobar si funciona.

1. Antes de probar la conexión, asegúrate de asignarte acceso a la app de Canva que creaste en tu proveedor de identidad.
2. Selecciona Probar SSO. Te llevaremos a tu proveedor de identidad para que inicies sesión con SSO.
3. Inicia sesión con tus datos del proveedor de identidad.
4. Te mostraremos los resultados de la prueba de conexión.

• Conexión exitosa: Asegúrate de que los atributos y valores que obtuvimos de tu proveedor de identidad estén asignados correctamente para que los usuarios puedan iniciar sesión con SSO. Si los valores que recibimos son incorrectos, corrígelos en tu proveedor de identidad y vuelve a probar.
• Errores en la prueba: Corrige los errores en tu proveedor de identidad y vuelve a probar.

5. Una vez que los atributos y valores estén asignados correctamente, cierra la ventana y continúa con el siguiente paso.

1. Selecciona OneRoster como tipo de aprovisionamiento.
2. Consulta Aprovisionamiento de OneRoster para obtener instrucciones detalladas.

1. Selecciona Clever como tipo de aprovisionamiento.
2. Consulta Configuración de Clever SAML y asignación de listas para obtener instrucciones detalladas.

Para configurar Wonde, necesitarás ayuda de Canva y Wonde. Los pasos dependen de si tu organización es nueva en Canva o si ya lo usa.

Consulta Aprovisionamiento de Wonde para obtener instrucciones detalladas.

Cuando termines, continúa con el siguiente paso.

Selecciona cómo quieres que tu equipo y otras personas de tu dominio inicien sesión. Consulta Configurar los controles de inicio de sesión y registro con SSO para obtener más información.

1. Ve a Configuración > SSO y aprovisionamiento.
2. En la pestaña Inicio de sesión único, haz clic en Administrar > Configurar los ajustes de SSO
3. Selecciona Opcional para todos.
4. Cierra la sesión de tu cuenta de Canva y vuelve a iniciarla.
5. En la página de inicio de sesión, selecciona Continuar con correo electrónico y luego Iniciar sesión con SSO.

Si llegas a la página de tu equipo, significa que el SSO funciona.

1. Vuelve a Configuración > SSO y aprovisionamiento.
2. En Inicio de sesión único, haz clic en Administrar > Configurar los ajustes de SSO.
3. Selecciona Obligatorio para todos (captura de dominio).

Este paso es importante porque garantiza que tus miembros se agreguen a los equipos correctos cuando inicien sesión con SSO.

1. Inicia sesión en tu cuenta de Canva.

2. En la esquina inferior izquierda, haz clic en tu avatar de perfil y selecciona Configuración.

3. En el menú lateral, selecciona la pestaña SSO y aprovisionamiento.

4. Haz clic en Inicio de sesión único (SSO) > Administrar > Configurar los ajustes de SSO.

5. Elige uno de los siguientes requisitos de inicio de sesión:

• Obligatorio para todos (captura de dominio): cierra la sesión de todos los usuarios, hayan ingresado o no al equipo u organización.
• Obligatorio solo para los miembros de tu equipo: cierra la sesión solo de quienes forman parte del equipo u organización vinculados a tu SSO.

6. Una vez que los atributos y valores estén asignados correctamente, cierra la ventana y continúa con el siguiente paso.

7. Vuelve a la pestaña SSO y aprovisionamiento.

8. En Verificación del dominio, haz clic en el ícono para forzar el cierre de sesión (junto al ícono de la papelera) del dominio del que quieras cerrar la sesión.

• Si tienes varios dominios, repite este paso en cada uno en el que quieras forzar el cierre de sesión.

Si probaste la experiencia de inicio de sesión con SSO y configuraste el cierre de sesión forzado (recomendado), selecciona Finalizar configuración. ¡Configuraste el SSO correctamente!