Configuration de l’authentification unique (SSO) pour l’enseignement

Cet article s’adresse aux responsables informatiques des établissements scolaires ou des institutions scolaires et aux responsables de Canva Éducation qui doivent configurer l’authentification unique (SSO).

• Si vous avez un abonnement Canva Entreprise, consultez Configurer l’authentification unique (SSO) (pour Canva Entreprise).
• Les membres du corps enseignant et le personnel n’ont pas besoin de ce guide.

Contenu de cet article :

• Conditions requises et prérequis
• Configuration étape par étape (7 étapes)
• Conseils pour tester et résoudre les problèmes

• SAML 2.0 : norme permettant de sécuriser la connexion entre les applications et les systèmes d’identité.
• Fournisseur d’identité (IdP) : service qui gère les connexions (par exemple, Azure, Google Workspace, ADFS).
• Enregistrement TXT : courte ligne de texte que vous ajoutez aux paramètres de votre domaine pour prouver que vous en êtes propriétaire.
• TeamId : valeur unique qui identifie les établissements scolaires, les campus ou les groupes au sein de votre organisation.

• Un fournisseur d’identité (IdP) compatible avec SAML 2.0
• L’accès (ou l’aide de votre équipe informatique) nécessaire pour créer un enregistrement TXT dans les paramètres DNS de votre domaine.
• Un abonnement Canva Éducation (établissements scolaires et institutions scolaires, Campus ou établissement scolaire unique)

L’ajout et la vérification de votre domaine nous permettent de déterminer qui doit être considéré comme membre de votre organisation. Toute personne utilisant une adresse e-mail associée à l’un de vos domaines vérifiés pourra se connecter à l’aide de l’authentification unique SAML.

1. Connectez-vous à votre compte Canva
2. Sur la page d’accueil, sélectionnez le profil de votre compte pour ouvrir le menu.
3. Sélectionnez
   Paramètres.
4. Sélectionnez l’onglet Authentification unique et provisionnement.
   • Si cette option n’apparaît pas, vérifiez que vous êtes connecté·e au bon compte
5. Vérifiez que votre domaine a été validé.
   • Si c’est le cas, passez à Étape 1 - Ajouter Canva à votre fournisseur d’identité.
6. Dans l’onglet Vérification du domaine, sélectionnez Ajouter un domaine. Une fenêtre pop-up s’affiche.
7. Dans le champ de texte, saisissez le domaine que vous souhaitez utiliser pour la connexion à l’authentification unique, par exemple : myschool.edu, puis sélectionnez Envoyer le domaine.
8. Sélectionnez Copier le jeton pour copier le jeton de l’enregistrement TXT qui s’affiche. Vous devez maintenant ajouter ce jeton aux paramètres DNS de votre domaine pour vérifier que vous êtes bien propriétaire du domaine envoyé.

Nous proposons actuellement des guides détaillés pour les fournisseurs d’identité suivants :

• Configuration SAML d’ADFS
• Configuration SAML d’Azure AD/Entra ID
• Configuration SAML de Classlink
• Configuration SAML et gestion des listes de Clever
• Configuration SAML de GSuite (Google)
• Configuration SAML de RapidIdentity

Si votre fournisseur d’identité ne figure pas dans la liste ci-dessus, vous pouvez utiliser les informations suivantes pour configurer SAML :

• URL ACS/URL de réponse : https://www.canva.com/login/saml
• ID d’entité/identifiant : https://www.canva.com
• Attributs SAML : NameID, Email, FirstName, LastName
• Texte des métadonnées (si nécessaire)

Vérifiez que votre assertion SAML comporte une signature. Consultez vos paramètres pour vous en assurer. Une fois Canva ajouté à votre fournisseur d’identité, sélectionnez Suivant.

Sur la page « Authentification unique et provisionnement » (accessible dans Paramètres), cliquez sur l’onglet Gérer l’authentification unique.

Si votre institution scolaire comprend plusieurs établissements, vous devrez transférer vos données de liste à Canva afin de nous aider à déterminer à quel établissement attribuer chaque membre.

Plusieurs méthodes sont possibles. Choisissez celle qui répond le mieux à vos besoins.

Si vous utilisez Classlink RosterServer (OneRoster) ou Clever, sélectionnez Suivant, puis passez à l’étape 3 : ajouter les métadonnées de votre fournisseur d’identité. Vous pourrez nous envoyer les données de liste plus tard, à l’étape 5 : configurer le provisionnement des utilisateurs.

Cette option peut être mise en œuvre de plusieurs façons.

Si votre appli SAML comporte un attribut contenant le nom ou l’identifiant de l’établissement, ou tout autre identifiant unique associé à celui-ci, vous pouvez l’utiliser comme attribut « TeamId » pour transmettre des informations sur l’établissement auquel appartient chaque utilisateur.

1. Créez une revendication dans votre appli SAML qui transmet cet attribut, puis nommez-la « TeamId » (respectez la casse).
2. Sélectionnez Consulter les instructions relatives à TeamId, puis téléchargez le modèle CSV dans la boîte de dialogue. Dans une colonne, ajoutez le nom de chaque établissement. Dans une deuxième colonne, ajoutez la valeur « TeamId » correspondante qui sera transmise par la revendication pour chaque établissement.
3. Importez votre fichier CSV dans Canva. Nous vous enverrons un e-mail une fois votre fichier examiné. Passez ensuite à l’étape suivante.

Vous pouvez également créer une nouvelle revendication et utiliser des conditions pour envoyer des valeurs d’attribut « TeamId » en fonction de groupes ou d’autres attributs utilisateur.

Pour cela, vous pouvez créer manuellement un ensemble de conditions indiquant à votre application SAML quelle valeur d’attribut envoyer pour chaque membre, en fonction du groupe auquel il appartient.

Par exemple, si les élèves de l’école primaire Harmony font partie du groupe « Harmony Students » et le personnel du groupe « Harmony Staff », vous pouvez indiquer à votre application SAML d’envoyer « Harmony » comme « TeamId » pour les deux groupes à l’aide de conditions de revendication.

Nommez la revendication « TeamId » et partagez avec Canva un fichier CSV contenant le nom de chaque établissement scolaire ainsi que la valeur « TeamId » correspondante qui sera envoyée avec la revendication.

Vous pouvez également créer une revendication de groupe dans votre application SAML, qui envoie le nom du groupe comme valeur de revendication. Pour que cela fonctionne, vous devez avoir un seul groupe dans votre application SAML pour chaque établissement scolaire. Ce groupe doit inclure tous les membres de l’établissement (élèves et personnel), et ces groupes d’établissements doivent être les seuls groupes transmis dans la revendication.

Nommez la revendication « TeamId » et partagez avec Canva un fichier CSV contenant le nom de chaque établissement scolaire ainsi que la valeur « TeamId » correspondante qui sera envoyée avec la revendication.

Pour les campus, vous devez envoyer un attribut Teamld pour chaque membre afin d’indiquer à Canva s’il s’agit d’un membre du corps étudiant ou du personnel (corps enseignant, personnel).

Les différentes options Teamld sont similaires à celles décrites ci-dessus pour les configurations multiétablissements, à ceci près que nous n’avons besoin que de deux valeurs TeamId : une valeur unique pour l’équipe du corps enseignant et du personnel, et une autre pour l’équipe étudiante.

Une fois l’attribut TeamId configuré, définissez ces valeurs dans les paramètres de votre organisation Canva. Pour cela, accédez à la page Équipe dans les paramètres de votre compte Canva, cliquez sur les trois points à droite, puis sélectionnez Modifier Teamld.

Vous pouvez ajouter les métadonnées de votre fournisseur d’identité de deux façons :

1. Importer un fichier de métadonnées : téléchargez le fichier .xml fourni par votre fournisseur d’identité, puis importez-le dans Canva. Les données seront importées automatiquement et les champs préremplis. Sélectionnez Enregistrer les métadonnées.
2. Ajouter les métadonnées manuellement : ajoutez les métadonnées de votre IdP dans les champs correspondants. Sélectionnez Enregistrer les métadonnées.

Après avoir enregistré vos métadonnées, sélectionnez Suivant.

Vous pouvez tester votre connexion à l’authentification unique pour vérifier qu’elle fonctionne.

1. Avant de tester la connexion, assurez-vous de vous avoir attribué l’accès à l’application Canva que vous avez créée dans votre fournisseur d’identité.
2. Sélectionnez Tester l’authentification unique. Nous vous redirigerons vers votre fournisseur d’identité pour vous connecter à l’aide de l’authentification unique.
3. Connectez-vous avec les identifiants de votre fournisseur d’identité.
4. Les résultats du test de connexion s’afficheront.

• Connexion réussie : vérifiez que les attributs et les valeurs récupérés auprès de votre fournisseur d’identité sont correctement associés afin que les membres puissent se connecter à l’aide de l’authentification unique. Si les valeurs renvoyées sont incorrectes, corrigez-les dans votre fournisseur d’identité, puis relancez le test.
• Erreurs de test : corrigez les erreurs dans votre fournisseur d’identité, puis relancez le test.

5. Une fois les attributs et les valeurs correctement associés, fermez la fenêtre et passez à l’étape suivante.

1. Sélectionnez OneRoster comme type de provisionnement.
2. Consultez Provisionnement OneRoster pour obtenir des instructions détaillées.

1. Sélectionnez Clever comme type de provisionnement.
2. Consultez Configuration SAML et gestion des listes de Clever pour obtenir des instructions détaillées.

La configuration de Wonde nécessite l’aide de Canva et de Wonde. Les étapes varient selon que votre organisation découvre Canva ou l’utilise déjà.

Consultez Provisionnement Wonde pour obtenir des instructions détaillées.

Une fois terminé, passez à l’étape suivante.

Choisissez comment les membres de votre équipe et les autres personnes de votre domaine peuvent se connecter. Consultez Configurer les options de connexion et d’inscription à l’authentification unique pour en savoir plus.

1. Accédez à Paramètres > Authentification unique et provisionnement.
2. Dans l’onglet Authentification unique, cliquez sur Gérer > Configurer les paramètres d’authentification unique
3. Sélectionnez Facultative pour tout le monde.
4. Déconnectez-vous de votre compte Canva, puis reconnectez-vous.
5. Sur la page de connexion, sélectionnez Continuer avec une adresse e-mail, puis Se connecter avec l’authentification unique.

Si vous accédez à la page de votre équipe, cela signifie que l’authentification unique fonctionne.

1. Retournez dans Paramètres > Authentification unique et provisionnement.
2. Sous Authentification unique, cliquez sur Gérer > Configurer les paramètres d’authentification unique.
3. Sélectionnez Obligatoire pour tout le monde (capture du domaine).

Cette étape est importante : elle garantit que les membres sont ajoutés aux bonnes équipes lorsqu’ils se connectent à l’aide de l’authentification unique.

1. Connectez-vous à votre compte Canva

2. En bas à gauche, cliquez sur votre avatar de profil, puis sélectionnez Paramètres.

3. Dans le menu latéral, sélectionnez l’onglet Authentification unique et provisionnement.

4. Cliquez sur Authentification unique (SSO) > Gérer > Configurer les paramètres d’authentification unique.

5. Choisissez l’une des exigences de connexion suivantes :

• Obligatoire pour tout le monde (capture du domaine) : déconnecte toutes les personnes, qu’elles aient rejoint ou non l’équipe ou l’organisation.
• Obligatoire uniquement pour les membres de votre équipe : déconnecte uniquement les membres de l’équipe ou de l’organisation associée à votre authentification unique.

6. Une fois les attributs et les valeurs correctement associés, fermez la fenêtre et passez à l’étape suivante.

7. Retournez dans l’onglet Authentification unique et provisionnement.

8. Sous Vérification du domaine, cliquez sur l’icône Forcer la déconnexion (à côté de la corbeille) pour le domaine dont vous souhaitez déconnecter les membres.

• Si vous avez plusieurs domaines, répétez cette étape pour chacun de ceux dont vous souhaitez forcer la déconnexion.

Si vous avez testé l’expérience de connexion à l’authentification unique et configuré la déconnexion forcée (recommandé), sélectionnez Terminer la configuration. La configuration de l’authentification unique est terminée !