Configura el inicio de sesión único (SSO) y el aprovisionamiento de Canva Universidades

Canva Universidades es la solución de Canva para centros de educación superior, con implementación en todo el campus. El aprovisionamiento y la autenticación de usuarios se gestionan de forma centralizada desde una única organización de Canva por parte del equipo de TI.

Esta guía trata los siguientes temas:

• Configuración del inicio de sesión único (SSO)
• Aprovisionamiento de usuarios
• Integración con el sistema de gestión del aprendizaje (LMS) y solución de problemas para administradores de TI.

En la esquina inferior izquierda de Canva, selecciona tus iniciales.

• Asegúrate de estar en tu equipo de Universidades (no en una cuenta personal ni Pro).
• Ve a
  Configuración.
• En el menú de la izquierda, selecciona Configuración de la organización, y, a continuación, Inicio de sesión único (SSO) y aprovisionamiento.

A continuación, selecciona Empezar y confirma los permisos y el acceso a las herramientas de configuración. Selecciona Ir a la configuración del inicio de sesión único (SSO) para continuar.

1. En Verificar los dominios con los que quieres usar el inicio de sesión único (SSO), selecciona Añadir un dominio.
2. Introduce tu(s) dominio(s) y luego selecciona Enviar.
3. Copia el token de registro TXT que se muestra.
4. En tu proveedor de dominio (por ejemplo, GoDaddy, Namecheap):
   • Ve a Configuración de DNS.
   • Añade un registro TXT con el token.
   • Guarda los cambios.
5. La verificación tarda entre 24 y 72 horas. Recibirás un correo electrónico una vez que tu dominio esté verificado.
   • Para comprobar el estado, usa mxtoolbox.com.

Selecciona tu proveedor de identidad en la lista para consultar una guía sobre cómo añadir Canva. Tenemos guías para los siguientes proveedores de identidad (IdP), pero puedes usar cualquier otro siempre que admita SAML 2.0.

• Configuración de SAML para Azure AD/ Entra ID (para Enterprise)
• Configuración de SAML para ADFS
• Configuración de SAML para Okta
• Configuración de SAML para GSuite (Google)
• Configuración de SAML para Duo Security
• Configuración de SAML para OneLogin
• Configuración de SAML para Salesforce

Si el tuyo no aparece en la lista, usa estos datos:

• URL de ACS/URL de respuesta: https://www.canva.com/login/saml
• ID de entidad/identificador: https://www.canva.com
• Atributos SAML: NameID, Email, FirstName, LastName, TeamId (obligatorio para configurar Universidades con estudiantes)*
• Texto de metadatos (si es necesario)

Asegúrate de que la aserción SAML incluya una firma. Comprueba la configuración para verificarlo.

• Finalidad: Distingue entre estudiantes y personal, y asigna la licencia adecuada a cada grupo.
• Requisito: Al menos dos valores únicos (por ejemplo, estudiantes y personal).
• Se puede asignar desde grupos o atributos existentes del proveedor de identidad.
• Con Shibboleth, Canva admite el esquema eduPersonAffiliation para TeamId (ponte en contacto con el equipo de Ayuda o con tu representante de cuenta de Canva para habilitarlo).

En Canva:

Ve a

Configurar TeamId es esencial para asignar licencias premium a los grupos de usuarios adecuados (sobre todo para gestionar las licencias de estudiantes).

Si tu institución usa Entra ID (Microsoft 365), ve a la aplicación empresarial de Canva. Selecciona Inicio de sesión único, luego Atributos y notificaciones y, por último, Editar para configurar la notificación TeamId.

Se aceptan tanto «TeamId» como «TeamID» como nombre de la notificación. En la mayoría de las implementaciones en campus, la opción 1 (notificación de grupo) es la práctica recomendada. La opción 2 es una buena alternativa si ya existe un atributo de usuario adecuado en tu directorio.

Crea un grupo de seguridad de Entra exclusivo para cada equipo de Canva. El nombre visible del grupo se envía como el valor TeamId, y Canva enruta a los usuarios en consecuencia. Este es el enfoque más limpio y fácil de mantener.

1. En Atributos y reclamaciones, seleccione Añadir una reclamación de grupo.
2. Asigne el nombre TeamId a la reclamación.
3. Configure el envío de nombres para mostrar de grupo.

Importante: los grupos incluidos en esta notificación deben coincidir exactamente con los valores de TeamId de Canva. No se deben enviar otros grupos como parte de la misma notificación.

Una buena opción si tu directorio ya tiene un atributo que distingue de forma fiable al personal de los estudiantes (por ejemplo, tipo de empleado, departamento o un atributo de extensión).

1. En Atributo & Declaraciones, seleccione Agregar nueva declaración.
2. Asigne a la declaración el nombre TeamId.
3. Establezca Origen en Atributo y seleccione el atributo de directorio relevante.
4. Asegúrese de que los valores de atributo coincidan con los valores de TeamId que haya configurado en Canva para cada equipo.

Nota: Si bien este enfoque puede funcionar, las condiciones para reclamar el ID de Entra tienen limitaciones y peculiaridades conocidas (por ejemplo, comportamiento de pedido de condiciones, casos límite con pertenencias a grupos que se superponen). Las opciones 1 y 2 suelen ser más fiables para implementaciones en universidades.

Si continúas, especifica manualmente qué valor de TeamId quieres enviar en función de la pertenencia al grupo de Entra.

1. En Atributos y Reclamaciones, selecciona Agregar nueva reclamación.
2. Nombra la reclamación como TeamId.
3. Selecciona Condiciones de la reclamación.
4. Para cada grupo (personal, estudiantes), establece el tipo de usuario en Miembros, selecciona los grupos de Entra relevantes e introduce el valor TeamId correspondiente (p. ej., "personal" o "estudiantes").
5. Guarda la reclamación.

Utilízalo si el personal y tus estudiantes tienen dominios de correo diferentes (por ejemplo, @personal.universidad.edu o @estudiante.universidad.edu). Se extrae el dominio de correo electrónico y se usa como valor de TeamId.

1. En Atributo y Reclamaciones, seleccione Agregar nueva reclamación.
2. Asigne a la reclamación el nombre TeamId.
3. Establezca el Origen en Transformación.
4. Aplicar la transformación Extract con la opción After matching on en @, utilizando user.userPrincipalName o user.mail como origen.

Asegúrate de que los valores de TeamId configurados en Canva coincidan con las cadenas de dominio extraídas.

Si tu institución usa Okta, TeamId se configura como un atributo SAML. Antes de continuar, asegúrate de que la aplicación de Canva en Okta esté configurada, de que los grupos de Okta estén asignados a la aplicación de Canva y de que los ajustes de SAML estén configurados en Canva. Para obtener instrucciones completas, consulta la guía de configuración de SAML para Okta en el Centro de Ayuda de Canva.

Crea grupos de Okta cuyos nombres para mostrar coincidan con los valores de tu TeamId de Canva (por ejemplo, un grupo llamado "campus-staff" se asigna a TeamId "campus-staff"). Okta filtra y envía el nombre del grupo coincidente como el valor TeamId al iniciar sesión.

1. En Okta, ve a Directorio, luego selecciona Grupos y crea grupos utilizando una convención de nomenclatura coherente (p. ej., todos los grupos de Universidades empiezan por "campus-").
2. Ve a Aplicaciones, luego selecciona Canva. Ve a General, luego a Configuración de SAML y selecciona editar. Selecciona Siguiente hasta que llegues a la pantalla Configurar SAML.
3. En Declaraciones de Atributos de Grupo, añade:
   1. Nombre: TeamId
   2. Filtro: Empieza por, luego introduce tu prefijo de convención de nomenclatura (p. ej., "campus-")
4. Guarda. Okta enviará el nombre de grupo coincidente como valor de TeamId.

Usa esta opción si no puedes usar una convención de nomenclatura o si necesitas mapear grupos específicos por su ID de Okta.

1. Para cada grupo, ábrelo en Okta y registra el ID de grupo de la URL (la cadena alfanumérica después de la última /).
2. Navega a Aplicaciones, luego selecciona Canva. Ve a General, luego selecciona Configuración de SAML, y selecciona editar. Selecciona Siguiente.
3. En Declaraciones de Atributo (no Declaraciones de Atributo de Grupo), agrega:
   1. Nombre: TeamId
   2. Valor: Arrays.toCsvString(getFilteredGroups({"",""},"group.name",50))
   3. Reemplaza <group_id_1> y <group_id_2> con los ID de grupo del Paso 1.

4. Seleccione Siguiente, luego acabado.

Google Workspace no admite notificaciones SAML condicionales basadas en grupos como Entra ID, pero hay dos formas sencillas de asignar valores a TeamId para la implementación de Universidades.

Ideal si ya haces un seguimiento de un valor que diferencia al personal del alumnado, o si estás dispuesto a añadir uno.

1. En Google Admin, ve al perfil de una persona y busca (o añade) un atributo personalizado, por ejemplo, un campo «Centro de coste» dentro de un esquema personalizado de «Información del empleado» (junto a campos como «ID de empleado», «Puesto», «Departamento», «ID del edificio», etc.).
2. Rellena ese campo con un valor que identifique el grupo de la persona. Por ejemplo, establece «Centro de coste» como «estudiante» para las cuentas de estudiantes y como «empleado» para las cuentas del personal. Cualquier atributo existente que ya permita distinguir entre ambas poblaciones también sirve; «Centro de coste» es simplemente un campo práctico si no hay otro más adecuado.
3. En Google Admin, ve a Apps > Aplicaciones web y móviles > Canva > Asignación de atributos.
4. En «Atributos», selecciona «Añadir asignación», selecciona el campo del directorio (por ejemplo, «Detalles del empleado» > «Centro de coste») a la izquierda e introduce TeamId como atributo de la app a la derecha.
5. Guarda. Google enviará ahora el valor de ese campo como atributo TeamId en cada aserción SAML.

Es la mejor opción si prefieres gestionarlo mediante la pertenencia a grupos en lugar de usar un campo para cada usuario.

1. En la consola de administración de Google, crea dos grupos: uno para el personal (p. ej., «Empleados») y otro para el alumnado (p. ej., «Estudiantes»), y añade a cada uno las personas usuarias pertinentes.
2. En la misma app de SAML de Canva (Apps > Aplicaciones web y móviles > Canva > Asignación de atributos), desplázate hasta Pertenencia a grupos (opcional).
3. Añade ambos grupos y establece TeamId como atributo de la app.
4. Guarda. Google enviará el nombre del grupo correspondiente como valor de TeamId para cada usuario.

En ambos casos: los valores que envíes (por ejemplo, «estudiante»/«personal» o los nombres de tus grupos) deben coincidir exactamente con los valores de TeamId configurados en los equipos correspondientes, en Configuración de la organización > Equipos de Canva.

Recopila estos datos de tu proveedor de identidad:

• Punto de conexión SAML 2.0 (HTTP) (URL de inicio de sesión único [SSO])
• Emisor del proveedor de identidad (ID de entidad)
• Certificado público (x.509, codificado en Base64)

Introduce estos datos en la página de configuración del inicio de sesión único (SSO) de Canva.

1. En Canva, ve a la configuración de la cuenta. Luego, selecciona Inicio de sesión único (SSO) y aprovisionamiento.
2. En Selecciona quién debe usar el inicio de sesión único (SSO), elige Inicio de sesión único (SSO) opcional para todos.
3. Cierra sesión y, en la página de inicio de sesión, selecciona Usar inicio de sesión único (SSO).
4. Prueba con:
   • Una cuenta de Estudiante
   • Una cuenta de empleado (si ambas están configuradas)

También puedes usar el botón Probar inicio de sesión único (SSO) en la página de configuración.

Opciones:

• Solo para miembros de tu equipo (recomendado para la mayoría de los campus)
  • Permite que antiguos alumnos y otras personas ajenas a tu equipo sigan usando Canva.
• Obligatorio para todos (captura de dominio)
  • Ofrece una experiencia de inicio de sesión más sencilla: todos los usuarios de tu dominio verificado deben iniciar sesión mediante el inicio de sesión único (SSO). Recomendado para implementaciones en todo el campus.

Consulta Configurar los controles de inicio de sesión y registro mediante SSO para obtener más información.

Cuando el inicio de sesión único (SSO) esté habilitado (de forma opcional u obligatoria), los usuarios tendrán que iniciar sesión mediante SSO para unirse a los equipos de Universidades.

Pide al equipo de Ayuda o a tu representante de Canva un enlace personalizado para iniciar sesión mediante SSO.

Es posible que muchos miembros del personal y del profesorado ya tengan una cuenta personal de Canva vinculada a su correo del trabajo. Cuando se habilite el inicio de sesión único (SSO), la primera vez que inicien sesión de esta forma se les pedirá una sola vez que vinculen su cuenta actual.

• Los usuarios deben vincular sus cuentas antes de que se puedan gestionar por completo mediante políticas de SCIM o de aprovisionamiento. Te recomendamos avisar al personal antes de la puesta en marcha para que sepa que verá este aviso.
• Si un usuario tiene una cuenta personal de Canva y otra con el correo del trabajo, se le pedirá que elija cuál quiere vincular. Los diseños de las cuentas no vinculadas no se pierden: se pueden copiar manualmente, pero no es posible fusionar las cuentas.
• Los usuarios que omitan la vinculación o tengan algún error podrán retomarla más adelante desde Configuración. Selecciona Inicio de sesión y seguridad y, a continuación, Vincular tu cuenta de SSO.

El aprovisionamiento de usuarios determina cómo se añaden el personal y los estudiantes a sus respectivos equipos de Canva y cómo se les elimina cuando se marchan. Se admiten tres opciones. El inicio de sesión único (SSO) debe estar completamente configurado antes de activar cualquier método de aprovisionamiento.

Cómo funciona: tu proveedor de identidad envía grupos de usuarios a Canva a través de la API de SCIM. El motor de políticas de aprovisionamiento de Canva lee las pertenencias a esos grupos y coloca automáticamente a las personas usuarias en el equipo correcto (docentes o estudiantes) y en los subgrupos relevantes. Cuando se quita a una persona de un grupo de tu proveedor de identidad, se le da de baja automáticamente de Canva.

IdP compatibles: Microsoft Entra ID, Okta, PingFederate, PingOne.

Nota: Google Workspace no es compatible con el envío a grupos de SCIM. Usa las opciones 2 o 3.

Las políticas de aprovisionamiento de SCIM son una función opcional que Canva debe habilitar. Para solicitar acceso, ponte en contacto con el equipo de Ayuda

1. Habilitar SCIM en Canva: Ve a Configuración. Selecciona Inicio de sesión único (SSO) y Aprovisionamiento y, a continuación, selecciona Configurar aprovisionamiento. Activa Habilitar el aprovisionamiento SCIM y copia el token de la API de SCIM.

Toma nota del endpoint SCIM: https://www.canva.com/_scim/v2. Ponte en contacto con tu representante de Canva para habilitar las Políticas de aprovisionamiento SCIM para tu organización antes de continuar.

2. Configura SCIM en tu proveedor de identidad: Introduce el punto final SCIM y el token de la API en la configuración de aprovisionamiento de tu proveedor de identidad. Consulta las guías específicas del proveedor de identidad para Entra ID y Okta en el Centro de Ayuda de Canva.

3. Enviar grupos desde tu proveedor de identidad: Asigne los grupos que desea sincronizar a Canva (p. ej. canva-staff, canva-estudiantes).

4. Crear políticas de aprovisionamiento en Canva: Ve a Configuración. Selecciona Seguridad y luego Políticas de aprovisionamiento. Selecciona Crear política. Asígnale un nombre, selecciona el grupo de proveedor de identidad como condición, selecciona el Canva Equipos de destino y elige el Comportamiento de sincronización de grupos (crear un grupo nuevo o sincronizar con un grupo de Canva existente; los nombres deben coincidir exactamente). Como mínimo, crea dos políticas: una que asigne tu grupo de personal al equipo de personal y otra que asigne tu grupo de Estudiantes al equipo de Estudiantes.

Aspectos clave:

• Desaprovisionamiento: cuando se elimina a un usuario de un grupo del proveedor de identidad, se le quita automáticamente de su equipo de Canva y se bloquea su cuenta.
• Restaurar el acceso: vuelve a añadir al usuario en SCIM del proveedor de identidad y se le aprovisionará automáticamente.
• Al eliminar una política, se quitan todas las pertenencias a equipos o grupos de Canva asignadas por esa política. Ten cuidado.
• Los grupos creados mediante políticas de aprovisionamiento quedan bloqueados: los miembros de Canva no se pueden añadir ni quitar manualmente. El proveedor de identidad es la fuente de información oficial.
• Los usuarios que ya tenían una cuenta de Canva deben vincularla al inicio de sesión único (SSO) antes de que SCIM pueda gestionarla por completo. Pídeles que inicien sesión mediante SSO antes de activar SCIM.
• SCIM no envía correos de bienvenida cuando se aprovisiona a estudiantes en el equipo de estudiantes.
• Las políticas de aprovisionamiento solo controlan la asignación a equipos y grupos, no los roles. La asignación de roles debe gestionarse mediante la asignación de roles de SAML o configurarse manualmente.

Cómo funciona: la institución envía a Canva una lista de usuarios para que los aprovisione por adelantado. Canva sube a estas personas usuarias a los equipos correctos.

Ideal para: Instituciones cuyo proveedor de identidad (por ejemplo, Google Workspace) no es compatible con Group push SCIM, o para la creación inicial de equipos al comienzo de un semestre.

¿Cómo solicitar una subida de CSV:

1. Prepara una hoja de cálculo con las siguientes columnas: dirección de correo electrónico, asignación de equipo.
2. Envía el Archivo a tu representante de Canva o ponte en contacto con la Ayuda de Canva.
3. Canva procesará la subida y confirmará cuando esté completa.
4. El primer inicio de sesión de los usuarios debe ser a través del inicio de sesión único (SSO).

Nota: la carga de CSV no está automatizada. Para los cambios de semestre o de personal, se debe enviar un nuevo CSV al equipo de Ayuda. Si el CSV incluye usuarios que ya tenían una cuenta de Canva, se les pedirá que la vinculen la primera vez que inicien sesión mediante SSO.

Cómo funciona: no hay usuarios precargados. Cuando una persona usuaria se autentica mediante inicio de sesión único (SSO) por primera vez, Canva lee sus atributos SAML, en concreto TeamId y, opcionalmente, rol, y la añade automáticamente al equipo correcto. Cada inicio de sesión posterior mantiene sincronizada la pertenencia a su equipo.

Importante: Si JIT es tu método de aprovisionamiento principal, Canva te recomienda encarecidamente que habilites la captura de dominio (obligatorio para todo el mundo) como tu control de inicio de sesión único (SSO). Sin la función de captura de dominio, las personas usuarias de tu dominio pueden omitir el inicio de sesión único (SSO), lo que significa que es posible que JIT no llegue a todas las personas usuarias y que el proceso de baja del dominio se deba gestionar manualmente.

Cómo funciona JIT:

1. El usuario navega a Canva y se autentica a través de su proveedor de identidad.
2. Canva lee el valor de TeamId en la aserción SAML.
3. El usuario se añade automáticamente al Canva Equipos cuyo TeamId coincide.
4. Si un Atributo de rol está presente, se asigna al usuario el rol correspondiente (diseñador para el personal, integrante para Estudiante).
5. En inicios de sesión posteriores, Canva revalida la pertenencia al equipo frente a la aserción SAML.

• No hay aprovisionamiento previo: los usuarios solo aparecen en Canva después de iniciar sesión por primera vez mediante SSO. Las comunicaciones masivas y el uso compartido de plantillas no pueden dirigirse a quienes aún no hayan iniciado sesión.
• No hay desaprovisionamiento automático: quitar a un usuario del proveedor de identidad no lo elimina de Canva. El desaprovisionamiento debe hacerse manualmente o mediante una configuración SCIM independiente.
• No desactives JIT a menos que SCIM esté plenamente operativo y configurado para gestionar todo el aprovisionamiento.

Canva Universidades admite LTI (interoperabilidad de herramientas de aprendizaje), lo que permite al profesorado insertar tareas de Canva en el sistema de gestión del aprendizaje (LMS) y a los estudiantes entregar diseños de Canva como trabajos de clase.

El inicio de sesión único (SSO) debe estar completamente configurado antes de configurar LTI. Para ver instrucciones de configuración específicas de cada plataforma, consulta las guías de integración con el sistema de gestión del aprendizaje (LMS).

El dominio de correo electrónico de la persona usuaria no está verificado en la configuración de inicio de sesión único (SSO) de Canva o no ha vinculado su cuenta de Canva al inicio de sesión único (SSO).

Confirma que el dominio de correo electrónico del usuario coincida con un dominio verificado en la configuración de inicio de sesión único (SSO) de Canva. Si tienen una cuenta de Canva preexistente, es posible que necesiten completar la vinculación de la cuenta; indícales que vayan a Configuración, luego a Inicio de sesión y seguridad, y seleccionen Vincular tu cuenta de SSO.

Para obtener orientación específica sobre errores, consulta Solución de problemas de errores de inicio de sesión único (SSO)en el Centro de Ayuda de Canva.

El valor TeamId enviado por tu proveedor de identidad no coincide exactamente con el TeamId configurado en Canva. Los valores de TeamId distinguen entre mayúsculas y minúsculas.

Compruebe que el valor de TeamId enviado por su proveedor de identidad coincide con el TeamId establecido en Canva (vaya a

Es posible que las políticas de aprovisionamiento no estén configuradas o habilitadas para tu organización, que el token de la API de SCIM ya no sea válido o que las personas usuarias de Canva no hayan completado su primer inicio de sesión único (SSO).

• Comprueba que las directivas de aprovisionamiento estén configuradas para asignar tus grupos de proveedores de identidad a los Canva Equipos correctos.
• Confirma que tu representante de Canva haya habilitado las directivas de aprovisionamiento para tu organización.
• Comprueba que el token de la API SCIM en tu proveedor de identidad esté actualizado, especialmente si SCIM se ha activado o desactivado recientemente.
• Si los usuarios afectados tienen cuentas de Canva preexistentes, pídeles que inicien sesión mediante el inicio de sesión único (SSO) una vez y, a continuación, vuelve a intentar la sincronización.

No se ha vuelto a aprovisionar a la persona usuaria a través de tu proveedor de identidad o la sincronización de SCIM no se ha completado.

Vuelve a añadir al usuario en tu proveedor de identidad y permite que SCIM se sincronice. Si el problema persiste, contacta con la Ayuda de Canva.

El estudiante no se ha asignado al equipo de estudiantes de la institución o está iniciando sesión con una cuenta personal de Canva en lugar de iniciar sesión mediante el inicio de sesión único (SSO).

Confirme que el equipo de Estudiante ha sido aprovisionado por Canva y que los Estudiantes están iniciando sesión mediante el inicio de sesión único (SSO). Los Estudiantes deben ser integrantes del equipo de Estudiante de la institución para acceder a las funciones premium; iniciar sesión con una cuenta personal no otorgará acceso.

¿Pueden el personal y los estudiantes compartir contenido entre sí?

El personal y los estudiantes pertenecen a equipos de Canva distintos y no pueden compartir contenido directamente. Sin embargo, pueden usar enlaces de colaboración entre estudiantes y personal (profesorado). El profesorado también puede compartir plantillas y tareas de Canva con el alumnado a través de la integración con el sistema de gestión del aprendizaje (LMS).

¿Pueden los antiguos alumnos seguir usando Canva después de graduarse?

Si el inicio de sesión único (SSO) está configurado como Solo para miembros de tu equipo, los usuarios que se quiten de los equipos de Canva perderán el acceso a las funciones de Universidades, pero conservarán cualquier cuenta personal de Canva. Si se configura como Obligatorio para todos (captura de dominio), el acceso dependerá del proveedor de identidad; los usuarios cuyo acceso se revoque en el proveedor perderán el acceso a Canva con el dominio de su institución.

Si los estudiantes quieren conservar sus diseños, deben copiarlos o transferir su contenido antes de graduarse o dejar la institución. Consulta Copiar diseños antes de graduarse para obtener instrucciones detalladas.