Configura el SSO y el aprovisionamiento de Canva Universidades

Canva Universidades es la solución de Canva para la educación superior y permite implementarla en todo el campus. Tu equipo de TI administra de forma centralizada el aprovisionamiento y la autenticación de usuarios a través de una sola organización de Canva.

Esta guía incluye:

• Configuración de SSO
• Aprovisionamiento de usuarios
• Integración con LMS y solución de problemas para administradores de TI.

En la esquina inferior izquierda de Canva, selecciona tus iniciales.

• Asegúrate de estar en tu equipo de Universidades (no en una cuenta personal ni Pro).
• Ve a
  Configuración.
• En el menú de la izquierda, selecciona Configuración de la organización, y luego SSO y aprovisionamiento.

Luego, selecciona Comenzar y confirma los permisos y el acceso a las herramientas de configuración. Selecciona Ir a la configuración de SSO para continuar.

1. Debajo de Verifique los dominios que desea usar con SSO, seleccione Agregar un dominio.
2. Ingrese su(s) dominio(s) y, a continuación, seleccione Enviar.
3. Copie el token del registro TXT que se muestra.
4. En su proveedor de dominio (por ejemplo, GoDaddy, Namecheap):
   • Vaya a Configuración de DNS.
   • Agregue un registro TXT con el token.
   • Guarde los cambios.
5. La verificación tarda entre 24 y 72 horas. Recibirá un correo electrónico una vez que su dominio esté verificado.
   • Para verificar el estado, utilice mxtoolbox.com.

Selecciona tu proveedor de identidad a continuación para consultar la guía para agregar Canva. Tenemos guías para los siguientes proveedores de identidad, pero puedes usar cualquier proveedor de identidad que sea compatible con SAML 2.0.

• Configuración de SAML de Azure AD/ Entra ID (para Canva Empresas)
• Configuración de SAML de ADFS
• Configuración de SAML de Okta
• Configuración de SAML de GSuite (Google)
• Configuración de SAML de Duo Security
• Configuración de SAML de OneLogin
• Configuración de SAML de Salesforce

Si el tuyo no aparece en la lista, usa:

• URL de ACS/URL de respuesta: https://www.canva.com/login/saml
• ID de entidad/Identificador: https://www.canva.com
• Atributos de SAML: NameID, Email, FirstName, LastName, TeamId (obligatorio para configurar Universidades con estudiantes)*
• Texto de metadatos (si es necesario)

Asegúrate de que tu aserción SAML incluya una firma. Revisa la configuración para verificarlo.

• Objetivo: Distinguir a estudiantes de empleados y asignarles la licencia correcta.
• Requisito: Al menos dos valores únicos (por ejemplo, estudiantes y personal).
• Se puede asignar desde los grupos o atributos existentes del proveedor de identidad.
• Con Shibboleth, Canva admite el esquema eduPersonAffiliation para TeamId (comunícate con el equipo de Soporte de Canva o con tu representante de cuenta para habilitarlo).

En Canva:

Ve a

Configurar TeamId es fundamental para asignar licencias prémium a los grupos de usuarios correctos (sobre todo, para administrar las licencias de estudiantes).

Si tu institución usa Entra ID (Microsoft 365), ve a la aplicación empresarial de Canva. Selecciona Inicio de sesión único, luego Atributos y notificaciones, y después Editar para configurar la notificación TeamId.

Se aceptan tanto "TeamId" como "TeamID" como nombre de la notificación. Para la mayoría de las implementaciones en campus, la opción 1 (notificación de grupo) es la práctica recomendada. La opción 2 es una buena alternativa si ya existe un atributo de usuario adecuado en tu directorio.

Crea un grupo de seguridad de Entra exclusivo para cada equipo de Canva. El nombre para mostrar del grupo se envía como el valor de TeamId, y Canva enruta a las personas en consecuencia. Este es el enfoque más limpio y fácil de mantener.

1. En Atributos y reclamaciones, seleccione Agregar una reclamación de grupo.
2. Asigne el nombre TeamId a la reclamación.
3. Configure para enviar nombres para mostrar de grupo.

Importante: Los grupos incluidos en esta notificación deben coincidir exactamente con los valores de Canva TeamId. No se deben enviar otros grupos en la misma notificación.

Es una buena opción si tu directorio ya tiene un atributo que permite distinguir de manera confiable al personal de los estudiantes (p. ej., un atributoFechaEmpleado, Departamento o Extensión).

1. En Atributos y Reclamaciones, seleccione Agregar nueva reclamación.
2. Nombre la reclamación como TeamId.
3. Establezca Fuente en Atributo y seleccione el atributo de directorio relevante.
4. Asegúrese de que los valores del atributo coincidan con los valores de TeamId que haya configurado en Canva para cada equipo.

Importante: Si bien este enfoque puede funcionar, las condiciones para reclamar un ID de Entra tienen limitaciones y peculiaridades conocidas (p. ej., condicionar el comportamiento de ordenar, casos límite con membresías de grupos superpuestas). Por lo general, las opciones 1 y 2 son más confiables para implementaciones en universidades.

Si continúas, tendrás que especificar de forma manual el valor de TeamId que quieras enviar según el grupo al que pertenezcas en Entra.

1. En Atributos y Reclamaciones, seleccione Agregar nueva reclamación.
2. Asigne el nombre TeamId a la reclamación.
3. Seleccione Condiciones de reclamación.
4. Para cada grupo (personal, estudiantes), establezca el tipo de usuario en Miembros, seleccione los grupos Entra relevantes e introduzca el valor de TeamId correspondiente (p. ej., "staff" o "estudiantes").
5. Guardar la reclamación.

Se usa si tu personal y tus estudiantes tienen dominios de correo diferentes (p. ej., @personal.universidad.edu o @estudiante.universidad.edu). Esta acción extrae el dominio del correo electrónico y lo usa como el valor de TeamId.

1. En Atributos y Reclamaciones, seleccione Agregar nueva reclamación.
2. Asigne el nombre TeamId a la reclamación.
3. Establezca Origen en Transformación.
4. Aplique la transformación de Extracción con Después de la coincidencia en @, utilizando user.userPrincipalName o user.mail como origen.

Asegúrate de que los valores de TeamId configurados en Canva coincidan con las cadenas de dominio extraídas.

Si tu institución usa Okta, TeamId se configura como un atributo de SAML. Antes de continuar, asegúrate de que la aplicación de Canva para Okta esté configurada, que los grupos de Okta estén asignados a la aplicación de Canva y que la configuración de SAML esté lista en Canva. Para obtener instrucciones completas, consulta la guía de Configuración de SAML de Okta en el Centro de Ayuda de Canva.

Crea grupos de Okta cuyos nombres para mostrar coincidan con los valores de TeamId de Canva (p. ej., un grupo que se llame “personal-universitario” se corresponda con TeamId “personal-universitario”). Okta filtra y envía el nombre del grupo que coincida como el valor de TeamId al iniciar sesión.

1. En Okta, vaya a Directorio, luego seleccione Grupos y cree grupos utilizando una convención de nomenclatura consistente (p. ej., todos los grupos de Universidades comienzan con "campus-").
2. Navegue a Aplicaciones, luego seleccione Canva. Vaya a General, luego a Configuración SAML y seleccione editar. Seleccione Siguiente hasta que llegue a la pantalla Configurar SAML.
3. En Declaraciones de Atributos de Grupo, agregue:
   1. Nombre: TeamId
   2. filtro: Comienza con, luego introduzca el prefijo de su convención de nomenclatura (p. ej., "campus-")
4. Guardar. Okta enviará el nombre del grupo coincidente como el valor de TeamId.

Usa esta opción si no puedes usar una convención de nomenclatura o si necesitas mapear grupos específicos por su ID de Okta.

1. Para cada grupo, ábralo en Okta y registre el ID de grupo de la URL (la cadena alfanumérica después de la última /).
2. Vaya a Aplicaciones, luego seleccione Canva. Vaya a General, luego seleccione Configuración de SAML y seleccione Editar. Seleccione Siguiente.
3. En Declaraciones de atributo (no Declaraciones de atributo de grupo), agregue:
   1. Nombre: TeamId
   2. Valor: Arrays.toCsvString(getFilteredGroups({"",""},"group.name",50))
   3. Reemplace <group_id_1> y <group_id_2> con los ID de grupo del Paso 1.

4. Seleccione Siguiente, luego acabado.

Google Workspace no admite notificaciones de SAML condicionales basadas en grupos como Entra ID, pero hay dos formas sencillas de completar TeamId para la implementación en tu campus.

Es la mejor opción si ya haces seguimiento de un valor que distingue al personal de los estudiantes, o si estás dispuesto a agregar uno.

1. En Google Admin, ve al perfil de un usuario y busca (o agrega) un atributo personalizado; por ejemplo, un campo Centro de costos dentro de un esquema personalizado de “Información del empleado” (junto a campos como ID de empleado, Cargo, Departamento, ID del edificio, etc.).
2. Completa ese campo con un valor que identifique el grupo del usuario. Por ejemplo, asigna estudiante a Centro de costos para las cuentas de estudiantes y empleado para las cuentas del personal. Cualquier atributo existente que ya distinga a ambas poblaciones funciona igual de bien; Centro de costos es simplemente un campo práctico si no hay otro que sirva.
3. En Google Admin, ve a Apps > Aplicaciones web y para dispositivos móviles > Canva > Asignación de atributos.
4. En Atributos, selecciona Agregar asignación, selecciona el campo del directorio (por ejemplo, Detalles del empleado > Centro de costos) a la izquierda e ingresa TeamId como atributo de la app a la derecha.
5. Guardar. Google ahora enviará el valor de ese campo como atributo TeamId en cada aserción SAML.

Ideal si prefieres administrarlo por membresía en lugar de usar un campo por usuario.

1. En Google Admin, crea dos grupos: uno para el personal (por ejemplo, “Empleados”) y otro para estudiantes (por ejemplo, “Estudiantes”) y agrega a las personas usuarias correspondientes a cada uno.
2. En la misma app SAML de Canva (Apps > Apps web y móviles > Canva > Asignación de atributos), desplázate hasta Pertenencia a grupos (opcional).
3. Agrega ambos grupos y configura el atributo de la app como TeamId.
4. Guarda. Google enviará el nombre del grupo correspondiente como valor de TeamId para cada usuario.

En ambos casos: los valores que envíes (por ejemplo, “estudiante”/“empleado” o los nombres de tus grupos) deben coincidir exactamente con los valores de TeamId configurados para los equipos correspondientes en Configuración de la organización > Equipos de Canva.

Obtén estos datos de tu proveedor de identidad:

• Endpoint SAML 2.0 (HTTP) (URL de SSO)
• Emisor del proveedor de identidad (ID de entidad)
• Certificado público (x.509, codificado en Base64)

Ingresa estos datos en la página de configuración de SSO de Canva.

1. En Canva, ve a Configuración de la cuenta. Luego selecciona SSO & Aprovisionamiento.
2. En la sección de Elegir quién debe usar SSO, selecciona SSO opcional para todos.
3. Cierra sesión, luego en la página de inicio de sesión, selecciona Usar inicio de sesión único (SSO).
4. Prueba con:
   • Una cuenta de estudiante
   • Una cuenta de empleado (si ambas están configuradas)

También puedes usar el botón Probar SSO en la página de configuración.

Opciones:

• Solo para miembros de tu equipo (recomendado para la mayoría de los campus)
  • Permite que exalumnos y otras personas fuera de tu equipo sigan usando Canva.
• Obligatorio para todos (captura de dominio)
  • Ofrece la experiencia de inicio de sesión más sencilla. Todas las personas de tu dominio verificado deben iniciar sesión mediante SSO. Se recomienda para implementaciones en todo el campus.

Consulta Configurar los controles de inicio de sesión y registro con SSO para obtener más detalles.

Si SSO está habilitado (como opción o como requisito), las personas deben iniciar sesión con SSO para unirse a los equipos de Universidades.

Pídele al equipo de Soporte de Canva o a tu representante de Canva un enlace personalizado para iniciar sesión con SSO.

Es posible que muchas personas del personal docente y administrativo ya tengan una cuenta personal de Canva vinculada a su correo empresarial. Cuando se habilita SSO, estas personas verán una solicitud única para enlazar su cuenta existente la primera vez que inicien sesión con SSO.

• Las personas deben enlazar sus cuentas antes de que puedan administrarse por completo mediante SCIM o las políticas de aprovisionamiento. Te recomendamos avisar al personal antes del lanzamiento para que sepa que recibirá esta solicitud.
• Si alguien tiene una cuenta personal de Canva y otra con su correo empresarial, se le pedirá que elija cuál enlazar. Los diseños de las cuentas que no se enlacen no se pierden: se pueden copiar manualmente, pero las cuentas no se pueden combinar.
• Quienes omitan el proceso de enlace o tengan un error pueden retomarlo más adelante desde Configuración. Selecciona Inicio de sesión y seguridad y luego Enlazar tu cuenta de SSO.

El aprovisionamiento de usuarios determina cómo se agregan el personal y estudiantes a sus respectivos equipos de Canva y cómo se quitan cuando se van. Se admiten tres opciones. SSO debe estar completamente configurado antes de activar cualquier método de aprovisionamiento.

Cómo funciona: tu proveedor de identidad atrae a los grupos de personas usuarias a Canva a través de la API de SCIM. El motor de políticas de aprovisionamiento de Canva lee las pertenencias a esos grupos y, de forma automática, ubica a las personas usuarias en el equipo (de personal o de estudiantes) y en los subgrupos correspondientes. Cuando se quita a una persona de un grupo de tu proveedor de identidad, se le da de baja de Canva de forma automática.

IdP compatibles: Microsoft Entra ID, Okta, PingFederate, PingOne.

Importante: Google Workspace no es compatible con Group push de SCIM. Usa las opciones 2 o 3.

Las políticas de aprovisionamiento de SCIM son una función opcional que Canva debe habilitar. Para solicitar acceso, contáctate con soporte

1. Habilitar SCIM en Canva: Ve a Configuración. Selecciona SSO & Aprovisionamiento y, a continuación, selecciona Configurar Aprovisionamiento. Activa Habilitar aprovisionamiento SCIM y copia el token de la API de SCIM.

Tenga en cuenta el punto de conexión SCIM: https://www.canva.com/_scim/v2. Comuníquese con su representante de Canva para habilitar las políticas de aprovisionamiento SCIM para su organización antes de continuar.

2. Configure SCIM en su proveedor de identidad: Introduzca el punto de conexión SCIM y el token de API en la configuración de aprovisionamiento de su proveedor de identidad. Consulte las guías específicas del proveedor de identidad para Entra ID y Okta en el Centro de ayuda de Canva.

3. Sincronice grupos desde su proveedor de identidad: Asigne los grupos que desea sincronizar con Canva (por ejemplo, canva-staff, canva-estudiantes).

4. Crear políticas de aprovisionamiento en Canva: Ve a Configuración. Selecciona Seguridad, luego selecciona Políticas de aprovisionamiento. Selecciona Crear política. Asígnale un nombre, selecciona el grupo del proveedor de identidad como condición, selecciona el equipo de Canva de destino y elige el comportamiento de sincronización de grupo (crea un nuevo grupo, o sincroniza con un grupo de Canva existente; los nombres deben coincidir exactamente). Como mínimo, crea dos políticas: una que mapee tu grupo de personal al equipo de personal y otra que mapee tu grupo de estudiantes al equipo de estudiantes.

Comportamientos clave:

• Desaprovisionamiento: Cuando se quita a alguien de un grupo del proveedor de identidad, se le quita automáticamente de su equipo de Canva y se bloquea su cuenta.
• Restablecer el acceso: Vuelve a agregar a la persona en SCIM del proveedor de identidad y se aprovisionará de nuevo automáticamente.
• Al eliminar una política, se quitan todas las membresías de equipos y grupos de Canva que esta haya asignado. Úsala con precaución.
• Los grupos creados mediante políticas de aprovisionamiento quedan bloqueados: los miembros de Canva no pueden agregarse ni quitarse manualmente. El proveedor de identidad es la fuente de información principal.
• Las personas que ya tengan una cuenta de Canva deben enlazarla con su cuenta de SSO antes de que SCIM pueda administrarla por completo. Pídeles que inicien sesión mediante SSO antes de activar SCIM.
• SCIM no envía correos de bienvenida cuando se aprovisionan estudiantes en el equipo de estudiantes.
• Las políticas de aprovisionamiento solo controlan la asignación a equipos y grupos, no los roles. La asignación de roles debe gestionarse mediante la asignación de roles de SAML o configurarse manualmente.

Cómo funciona: la institución envía a Canva una lista de personas usuarias para que se aprovisionen de antemano. Canva sube a estas personas usuarias a los equipos correctos.

Ideal para: instituciones cuyo proveedor de identidad (p. ej., Google Workspace) no es compatible con Group push de SCIM o para completar el equipo al inicio del semestre.

Cómo solicitar una carga de CSV:

1. Prepara una hoja de cálculo con las siguientes columnas: dirección de correo electrónico, actividad de equipo.
2. Envía el Archivo a tu representante de Canva o ponte en contacto con el soporte de Canva.
3. Canva procesará el subir y confirmará cuando esté completa.
4. El primer inicio de sesión de los usuarios debe ser a través de SSO.

Nota: La carga de CSV no está automatizada. Para los cambios entre semestres o los cambios de personal, se debe enviar un CSV nuevo a nuestro equipo de Soporte. Se les pedirá a las personas que ya tengan una cuenta de Canva y estén incluidas en el CSV que enlacen su cuenta existente la primera vez que inicien sesión con SSO.

Cómo funciona: no hay usuarios predefinidos. Cuando una persona usuaria se autentica a través del SSO por primera vez, Canva lee sus atributos SAML, en especial TeamId y, opcionalmente, rol, y la agrega de forma automática al equipo correcto. Con cada inicio de sesión, la membresía del equipo se mantendrá sincronizada.

Importante: Si tu método de aprovisionamiento principal es JIT, Canva te recomienda habilitar la función Captura de dominio (obligatoria para todo el mundo) como control del inicio de sesión de inicio de sesión único (SSO). Sin la función de captura de dominio, las personas usuarias de tu dominio podrían omitir el inicio de sesión único (SSO), lo que significa que JIT podría no llegar a todas las personas usuarias, y la cancelación del acceso se tendría que hacer de forma manual.

Cómo funciona JIT:

1. El usuario navega a Canva y se autentica a través de su proveedor de identidad.
2. Canva lee el valor de TeamId en la aserción SAML.
3. El usuario se añade automáticamente al Canva Equipos cuyo TeamId coincide.
4. Si un atributo de rol está presente, se asigna al usuario el rol correspondiente (diseñador para personal, persona para estudiante).
5. En inicios de sesión posteriores, Canva revalida la membresía del equipo contra la aserción SAML.

• Sin aprovisionamiento previo: las personas aparecen en Canva solo después de iniciar sesión con SSO por primera vez. No se pueden enviar comunicaciones masivas ni compartir plantillas con quienes todavía no hayan iniciado sesión.
• Sin desaprovisionamiento automático: quitar a alguien de tu proveedor de identidad no lo quita de Canva. El desaprovisionamiento debe hacerse manualmente o mediante una configuración de SCIM independiente.
• No desactives JIT a menos que SCIM esté completamente operativo y configurado para gestionar todo el aprovisionamiento.

Canva Universidades admite LTI (Interoperabilidad de herramientas de aprendizaje), lo que permite al personal docente insertar actividades de Canva en el LMS y que estudiantes entreguen diseños de Canva como trabajos del curso.

SSO debe estar completamente configurado antes de configurar LTI. Para consultar las instrucciones de configuración específicas de cada plataforma, visita las guías de integración con LMS.

El dominio del correo electrónico de la persona usuaria no está verificado en la configuración de SSO de Canva, o la persona usuaria no vinculó su cuenta de Canva al SSO.

Confirma que el dominio de correo electrónico del usuario coincida con un dominio verificado en tu configuración de SSO de Canva. Si tienen una cuenta de Canva preexistente, es posible que necesiten completar la vinculación de la cuenta; indícales que vayan a Configuración, luego a Inicio de sesión y seguridad, y seleccionen Vincular tu cuenta SSO.

Para obtener orientación específica sobre errores, consulta Solución de problemas de SSOen el Centro de Ayuda de Canva.

El valor de TeamId que envió tu proveedor de identidad no coincide exactamente con el valor de TeamId configurado en Canva. Los valores de TeamId distinguen entre mayúsculas y minúsculas.

Verifica que el valor de TeamId enviado por tu proveedor de identidad coincida con el TeamId establecido en Canva (ve a

Es posible que no estén configuradas o habilitadas las políticas de aprovisionamiento para tu organización, que el token de la API de SCIM ya no sea válido o que las personas usuarias de Canva no hayan completado su primer inicio de sesión SSO.

• Comprueba que las políticas de aprovisionamiento estén configuradas para asignar tus grupos de proveedor de identidad a los Canva Equipos correctos.
• Confirma que tu representante de Canva haya habilitado las políticas de aprovisionamiento para tu organización.
• Comprueba que el token de la API SCIM en tu proveedor de identidad esté actualizado, especialmente si SCIM se activó o desactivó recientemente.
• Si los usuarios afectados tienen cuentas de Canva preexistentes, pídeles que inicien sesión mediante SSO una vez y, luego, vuelve a intentar la sincronización.

No se reasignó a la persona usuaria a través de tu proveedor de identidad o no se completó la sincronización de SCIM.

Vuelve a añadir al usuario en tu proveedor de identidad y permite que SCIM se sincronice. Si el problema persiste, contacta con el Soporte de Canva.

El estudiante no ha sido aprovisionado al equipo de estudiantes de la institución, o está iniciando sesión con una cuenta personal de Canva en lugar de SSO.

Confirme que el equipo de estudiantes ha sido aprovisionado por Canva y que los estudiantes inicien sesión a través de SSO. Los estudiantes deben ser un miembro del equipo de estudiantes de la institución para acceder a las funciones prémium — iniciar sesión con una cuenta personal no otorgará acceso.

¿El personal y estudiantes pueden compartir contenido entre sí?

El personal y estudiantes pertenecen a equipos de Canva separados y no pueden compartir contenido directamente. Sin embargo, pueden usar enlaces de colaboración entre estudiantes y personal docente. El personal docente también puede compartir plantillas y actividades de Canva con estudiantes mediante la integración con el LMS.

¿Los exalumnos pueden seguir usando Canva después de graduarse?

Si SSO está configurado como Solo para miembros de tu equipo, quienes se quiten de tus equipos de Canva perderán el acceso a las funciones de Universidades, pero conservarán su cuenta personal de Canva. Si está configurado como Obligatorio para todos (captura de dominio), el acceso depende de tu proveedor de identidad; quienes pierdan el acceso a este también perderán el acceso a Canva en el dominio de la institución.

Quienes quieran conservar sus diseños deben copiarlos o transferir su contenido antes de graduarse o dejar la institución. Consulta Copiar diseños antes de graduarse para obtener instrucciones detalladas.