Configurar el inicio de sesión único (SSO) para Canva para Educación

Este artículo está dirigido a administradores de TI de centros educativos o instituciones educativas y responsables de Canva Educación que necesiten configurar el inicio de sesión único (SSO).

• Si tienes un plan de Canva Enterprise, consulta Configurar el SSO (para Enterprise).
• El profesorado y el personal en general no necesitan esta guía.

En este artículo se explica lo siguiente:

• Requisitos y condiciones previas
• Configuración paso a paso (7 etapas)
• Consejos para probar y solucionar problemas

• SAML 2.0: estándar para iniciar sesión de forma segura entre apps y sistemas de identidad.
• IdP (proveedor de identidad): servicio que gestiona los inicios de sesión (por ejemplo, Azure, Google Workspace o ADFS).
• Registro TXT: una breve línea de texto que se añade a la configuración del dominio para demostrar que es de tu propiedad.
• TeamId: valor único que identifica centros educativos, campus o grupos de tu organización.

• Un proveedor de identidad (IdP) compatible con SAML 2.0
• Acceso (o asistencia de tu equipo de TI) para crear un registro TXT en la configuración de DNS de tu dominio.
• Un plan de Canva Educación (escuelas e instituciones educativas, Universidades o un solo centro educativo)

Al añadir y verificar tu dominio, podemos identificar quiénes forman parte de tu organización. Cualquier persona que utilice una dirección de correo electrónico de tus dominios verificados podrá iniciar sesión mediante SSO de SAML.

1. Inicia sesión en tu cuenta de Canva
2. En la página de inicio, selecciona el perfil de tu cuenta para abrir el menú.
3. Selecciona
   Configuración.
4. Selecciona la pestaña Inicio de sesión único (SSO) y aprovisionamiento.
   • Si no ves esta opción, comprueba que has iniciado sesión en la cuenta correcta
5. Comprueba si se ha verificado tu dominio.
   • Si es así, ve al Paso 1 - Añadir Canva a tu proveedor de identidad.
6. En la pestaña Verificación del dominio, selecciona Añadir dominio. Aparecerá una ventana emergente.
7. En el campo de texto, introduce el dominio que quieras usar para iniciar sesión mediante SSO, por ejemplo: myschool.edu, y selecciona Enviar dominio.
8. Selecciona Copiar token para copiar el token del registro TXT que aparece. Ahora debes añadir este token a la configuración DNS de tu dominio para verificar que eres su propietario.

Actualmente, tenemos guías detalladas para estos proveedores de identidad:

• Configuración de SAML para ADFS
• Configuración de SAML para Azure AD/Entra ID
• Configuración de SAML para Classlink
• Configuración de SAML y gestión de listas para Clever
• Configuración de SAML para GSuite (Google)
• Configuración de SAML para RapidIdentity

Si tu proveedor de identidad no aparece en la lista anterior, puedes usar esta información para configurar SAML:

• URL de ACS/URL de respuesta: https://www.canva.com/login/saml
• ID de entidad/Identificador: https://www.canva.com
• Atributos de SAML: NameID, Email, FirstName, LastName
• Texto de metadatos (si es necesario)

Asegúrate de que tu aserción SAML incluya una firma. Comprueba la configuración para verificarlo. Cuando hayas añadido Canva a tu proveedor de identidad, selecciona Siguiente.

En la página SSO y aprovisionamiento (que encontrarás en Configuración), haz clic en la pestaña Gestionar SSO.

Si se trata de instituciones educativas con varios centros, tendrás que transferir los datos de las listas a Canva para que podamos identificar a qué centro debe asignarse cada persona.

Hay varias formas de hacerlo. Elige la opción que mejor se adapte a tus necesidades.

Si usas Classlink RosterServer (OneRoster) o Clever, selecciona Siguiente y continúa con el paso 3: Añadir los metadatos de tu proveedor de identidad. Puedes enviarnos los datos de las listas más adelante, durante el paso 5: Configurar el aprovisionamiento de usuarios.

Hay varias formas de hacerlo.

Si tienes un atributo en tu app de SAML con el nombre del centro educativo, el ID del centro o cualquier otro identificador único relacionado con el centro, puedes usarlo como atributo «TeamId» para enviar información sobre el centro al que pertenece cada usuario.

1. Crea una claim en tu app de SAML que envíe ese atributo y asígnale el nombre "TeamId" (distingue entre mayúsculas y minúsculas).
2. Selecciona Ver las instrucciones de TeamId y descarga la plantilla CSV en el cuadro de diálogo. Añade el nombre de cada centro educativo en una columna. En una segunda columna, añade el valor "TeamId" correspondiente que se enviará mediante la claim para cada centro.
3. Sube el archivo CSV a Canva. Te enviaremos un correo electrónico cuando hayamos revisado el archivo. Después, continúa con el siguiente paso.

También puedes crear una nueva notificación y usar condiciones para enviar valores del atributo «TeamId» según los grupos u otros atributos de usuario.

Puedes hacerlo creando manualmente un conjunto de condiciones que indique a tu app SAML qué valor de atributo debe enviar para cada persona, según el grupo al que pertenezca.

Por ejemplo, si el alumnado de Harmony Elementary pertenece al grupo «Harmony Students» y el personal al grupo «Harmony Staff», puedes indicar a tu app SAML que envíe «Harmony» como «TeamId» para ambos grupos mediante condiciones de notificación.

Asigna a la notificación el nombre «TeamId» y comparte con Canva un archivo CSV con el nombre de cada centro educativo y el valor de «TeamId» correspondiente que se enviará mediante la notificación.

También puedes crear una notificación de grupo en tu app SAML, que envíe el nombre del grupo como valor de notificación. Para que funcione, debe haber un único grupo en tu app SAML para cada centro educativo. Este grupo debe incluir a todas las personas del centro (alumnado y personal), y estos grupos de centros deben ser los únicos que se envíen como parte de la notificación.

Asigna a la notificación el nombre «TeamId» y comparte con Canva un archivo CSV con el nombre de cada centro educativo y el valor de «TeamId» correspondiente que se enviará mediante la notificación.

En el caso de las Universidades, tendrás que enviar un atributo Teamld para cada persona, para indicar a Canva si es estudiante o empleado (personal docente o de otro tipo).

Las distintas opciones de Teamld son similares a las mencionadas anteriormente para varios centros educativos, pero solo necesitamos dos valores de TeamId: uno único para el equipo del personal docente y de otros empleados y otro para el equipo de estudiantes.

Cuando hayas configurado un atributo TeamId, establece esos valores en la configuración de la organización de Canva. Para ello, ve a la página Equipos en la configuración de tu cuenta de Canva, selecciona los tres puntos de la derecha y, después, Editar Teamld.

Puedes añadir los metadatos de tu proveedor de identidad de dos formas:

1. Subir un archivo de metadatos: Descarga el archivo .xml que te proporciona tu proveedor de identidad y súbelo a Canva. Los datos se importarán automáticamente y los campos se rellenarán por ti. Selecciona Guardar metadatos.
2. Añadir los metadatos manualmente: Añade los metadatos de tu IdP en cada campo correspondiente. Selecciona Guardar metadatos.

Cuando hayas guardado los metadatos, selecciona Siguiente.

Puedes probar la conexión SSO para comprobar que funciona.

1. Antes de probar la conexión, asegúrate de concederte acceso a la app de Canva que has creado en tu proveedor de identidad.
2. Selecciona Probar SSO. Te redireccionaremos a tu proveedor de identidad para que inicies sesión con SSO.
3. Inicia sesión con tus credenciales del proveedor de identidad.
4. Te mostraremos los resultados de la prueba de conexión.

• Conexión correcta: Asegúrate de que los atributos y valores que hemos obtenido de tu proveedor de identidad estén asignados correctamente para que las personas puedan iniciar sesión con SSO. Si los valores obtenidos son incorrectos, corrígelos en tu proveedor de identidad y vuelve a probar.
• Errores en la prueba: Corrige los errores en tu proveedor de identidad y vuelve a probar.

5. Cuando los atributos y valores estén asignados correctamente, cierra la ventana y continúa con el siguiente paso.

1. Selecciona OneRoster como tipo de aprovisionamiento.
2. Consulta Aprovisionamiento de OneRoster para obtener instrucciones detalladas.

1. Selecciona Clever como tipo de aprovisionamiento.
2. Consulta Configuración de SAML y gestión de listas para Clever para obtener instrucciones detalladas.

Para configurar Wonde, necesitarás ayuda de Canva y Wonde. Los pasos dependerán de si tu organización acaba de empezar a usar Canva o ya lo utiliza.

Consulta Aprovisionamiento de Wonde para obtener instrucciones detalladas.

Cuando termines, continúa con el siguiente paso.

Elige cómo quieres que inicien sesión tu equipo y otras personas de tu dominio. Consulta Configurar los controles de inicio de sesión y registro con SSO para obtener más información.

1. Ve a Configuración > SSO y aprovisionamiento.
2. En la pestaña Inicio de sesión único, haz clic en Gestionar > Configurar los ajustes de SSO.
3. Selecciona Opcional para todo el mundo.
4. Cierra sesión en tu cuenta de Canva y vuelve a iniciarla.
5. En la página de inicio de sesión, selecciona Continuar con el correo electrónico y, después, Iniciar sesión con SSO.

Si accedes a la página de tu equipo, significa que SSO funciona.

1. Vuelve a Configuración > SSO y aprovisionamiento.
2. En Inicio de sesión único, haz clic en Gestionar > Configurar los ajustes de SSO.
3. Selecciona Obligatorio para todo el mundo (captura de dominio).

Este paso es importante, ya que garantiza que las personas de tu organización se añadan a los equipos correctos cuando inicien sesión con SSO.

1. Inicia sesión en tu cuenta de Canva.

2. En la esquina inferior izquierda, haz clic en tu avatar de perfil y selecciona Configuración.

3. En el menú lateral, selecciona la pestaña SSO y aprovisionamiento.

4. Haz clic en Inicio de sesión único (SSO) > Gestionar > Configurar los ajustes de SSO.

5. Elige uno de los siguientes requisitos de inicio de sesión:

• Obligatorio para todo el mundo (captura de dominio): cierra la sesión de todas las personas, hayan accedido o no al equipo o a la organización.
• Obligatorio solo para las personas de tu equipo: cierra la sesión únicamente de quienes formen parte del equipo o de la organización vinculados a tu SSO.

6. Cuando los atributos y valores estén asignados correctamente, cierra la ventana y continúa con el siguiente paso.

7. Vuelve a la pestaña SSO y aprovisionamiento.

8. En Verificación del dominio, haz clic en el icono para forzar el cierre de sesión (junto a la Papelera) del dominio cuya sesión quieras cerrar.

• Si tienes varios dominios, repite este paso en cada uno en el que quieras forzar el cierre de sesión.

Si has probado la experiencia de inicio de sesión con SSO y has configurado el cierre de sesión forzado (recomendado), selecciona Terminar configuración. ¡Ya has configurado SSO!