Configurez l’authentification unique et le provisionnement pour Canva Campus

Canva Campus est la solution de Canva destinée à l’enseignement supérieur, conçue pour être déployée sur l’ensemble d’un campus. Le provisionnement des utilisateurs et l’authentification sont gérés de manière centralisée par votre équipe informatique, au sein d’une seule organisation Canva.

Ce guide aborde les sujets suivants :

• Configuration de l’authentification unique
• Provisionnement des utilisateurs
• Intégration LMS et résolution des problèmes pour les administrateurs et administratrices informatiques.

En bas à gauche dans Canva, sélectionnez vos initiales.

• Vérifiez que vous êtes dans votre équipe Campus (et non dans un compte personnel ou Pro).
• Accédez à
  Paramètres.
• Dans le menu de gauche, sélectionnez Paramètres de l’organisation, puis Authentification unique et provisionnement.

Sélectionnez ensuite Commencer et confirmez les autorisations et l’accès aux outils de configuration. Sélectionnez Accéder à la configuration de l’authentification unique pour continuer.

1. Sous Vérifiez les domaines avec lesquels vous souhaitez utiliser l'authentification unique, sélectionnez Ajouter un domaine.
2. Saisissez votre ou vos domaines, puis sélectionnez Soumettre.
3. Copiez le jeton d'enregistrement TXT affiché.
4. Chez votre hébergeur de domaines (par ex., GoDaddy, Namecheap) :
   • Accédez aux paramètres DNS.
   • Ajoutez un enregistrement TXT avec le jeton.
   • Enregistrez les modifications.
5. La vérification prendra entre 24 et 72 heures. Vous recevrez un e-mail une fois votre domaine vérifié.
   • Pour vérifier le statut, utilisez mxtoolbox.com.

Sélectionnez votre fournisseur d’identité ci-dessous pour consulter le guide d’ajout de Canva. Nous proposons des guides pour les fournisseurs d’identité suivants, mais vous pouvez utiliser le vôtre à condition qu’il prenne en charge SAML 2.0.

• Configuration SAML d’Azure AD/Entra ID (pour les entreprises)
• Configuration SAML d’ADFS
• Configuration SAML d’Okta
• Configuration SAML de G Suite (Google)
• Configuration SAML de Duo Security
• Configuration SAML de OneLogin
• Configuration SAML de Salesforce

Si le vôtre ne figure pas dans la liste ci-dessus, utilisez les informations suivantes :

• URL ACS/URL de réponse : https://www.canva.com/login/saml
• ID d’entité/identifiant : https://www.canva.com
• Attributs SAML : NameID, Email, FirstName, LastName, TeamId (obligatoire pour la configuration de Campus avec les élèves)*
• Texte des métadonnées (si nécessaire)

Vérifiez que votre assertion SAML inclut une signature. Contrôlez vos paramètres.

• Objectif : différencier les élèves et le personnel afin d’attribuer les licences appropriées.
• Exigence : au moins deux valeurs uniques (par exemple, élèves et personnel).
• Il peut être associé à des groupes ou à des attributs existants du fournisseur d’identité.
• Avec Shibboleth, Canva prend en charge le schéma eduPersonAffiliation pour TeamId (contactez l’assistance Canva ou votre responsable de compte pour l’activer).

Dans Canva :

Accédez à

La configuration de TeamId est essentielle pour attribuer les licences premium aux bons groupes d’utilisateurs (en particulier pour gérer les licences des élèves).

Pour les établissements qui utilisent Entra ID (Microsoft 365), accédez à votre application d’entreprise Canva. Sélectionnez Authentification unique, puis Attributs et revendications, et enfin Modifier pour configurer la revendication TeamId.

« TeamId » et « TeamID » sont tous deux acceptés comme nom de revendication. Pour la plupart des déploiements sur les campus, l’option 1 (revendication de groupe) est la meilleure pratique recommandée. L’option 2 est une bonne solution de remplacement si un attribut utilisateur adapté existe déjà dans votre annuaire.

Créez un groupe de sécurité Entra dédié pour chaque équipe Canva. Le nom affiché du groupe est envoyé en tant que valeur TeamId, et les utilisateurs Canva sont envoyés en conséquence. Il s’agit de l’approche la plus propre et la plus durable.

1. Sous Attributs et revendications, sélectionnez Ajouter une revendication de groupe.
2. Nommez la revendication TeamId.
3. Configurez l'envoi des noms affichés de groupe.

Important : les groupes inclus dans cette revendication doivent correspondre exactement aux valeurs TeamId de Canva, et aucun autre groupe ne doit être transmis dans la même revendication.

Cette option est bonne si votre répertoire dispose déjà d’un attribut qui distingue de manière fiable le personnel des étudiants (par exemple, type de portrait, service ou extension).

1. Sous Attributs et revendications, sélectionnez Ajouter une nouvelle revendication.
2. Nommez la revendication TeamId.
3. Définissez la Source sur Attribut et sélectionnez l'attribut de répertoire pertinent.
4. Assurez-vous que les valeurs d'attribut correspondent aux valeurs TeamId que vous avez définies dans Canva pour chaque équipe.

Remarque : bien que cette approche puisse fonctionner, les conditions de réclamation d’ID Entra ont des limites et des équivoque pour les clients (par exemple, le comportement de commande des conditions, les cas de bordure avec des adhésions à un groupe qui se chevauchent). Les options 1 et 2 sont généralement plus fiables pour les déploiements Campus.

Si vous poursuivez, spécifiez manuellement la valeur TeamId à envoyer en fonction de l’adhésion au groupe Entra.

1. Sous Attributs et revendications, sélectionnez Ajouter une nouvelle revendication.
2. Nommez la revendication TeamId.
3. Sélectionnez Conditions de revendication.
4. Pour chaque groupe (personnel, élèves), définissez le type d'utilisateur sur Membres, sélectionnez les groupes Entra pertinents et saisissez la valeur TeamId correspondante (par exemple, "personnel" ou "élèves").
5. Sauvegarder la revendication.

Utilisez cette option si votre personnel et vos élèves ont des domaines de messagerie différents (par exemple @personnel.université.edu ou @mon-ent.fr). Cette opération extrait le domaine de messagerie et l’utilise comme valeur TeamId.

1. Sous Attributs & Revendications, sélectionnez Ajouter une nouvelle revendication.
2. Nommez la revendication TeamId.
3. Définissez la Source sur Transformation.
4. Appliquez la transformation Extract avec Après la correspondance sur @, en utilisant user.userPrincipalName ou user.mail comme source.

Vérifiez que les valeurs TeamId définies dans Canva correspondent aux chaînes de domaine extraites.

Pour les établissements qui utilisent Okta, TeamId se configure en tant qu’attribut SAML. Avant de continuer, vérifiez que l’application Canva pour Okta est configurée, que des groupes Okta lui sont attribués et que les paramètres SAML sont configurés dans Canva. Pour obtenir des instructions détaillées, consultez le guide de configuration SAML d’Okta dans le Centre d’aide Canva.

Créer des groupes Okta dont les noms affichés correspondent à vos valeurs Canva TeamId (par exemple, un groupe nommé « Campus-personnel » en fonction de TeamId « Campus-personnel »). Okta filtre et envoie le nom du groupe correspondant en tant que valeur TeamId lors de la connexion.

1. Dans Okta, allez dans Annuaire, puis sélectionnez Groupes et créez des groupes en utilisant une convention de nommage cohérente (par exemple, tous les groupes Campus commencent par "campus-").
2. Accédez à Applications, puis sélectionnez Canva. Allez dans Général, puis Paramètres SAML, et sélectionnez Modifier. Sélectionnez Suivant jusqu'à ce que vous atteigniez l'écran Configurer SAML.
3. Sous Déclarations d'attributs de groupe, ajoutez :
   1. Nom : TeamId
   2. Filtre : Commence par, puis saisissez votre préfixe de convention de nommage (par exemple, "campus-")
4. Sauvegarder. Okta enverra le nom du groupe correspondant comme valeur TeamId.

Utilisez ceci si vous ne pouvez pas utiliser de conventions de nommage ou si vous devez cartographier des groupes spécifiques par leur ID Okta.

1. Pour chaque groupe, ouvrez-le dans Okta et enregistrez l'ID de groupe (Group ID) depuis l'URL (la chaîne alphanumérique après le dernier /).
2. Accédez à Applications, puis sélectionnez Canva. Allez dans Général, puis sélectionnez Paramètres SAML (SAML Settings), et sélectionnez Modifier. Sélectionnez Suivant.
3. Sous Déclarations d'attribut (Attribute Statements) (pas Déclarations d'attribut de groupe), ajoutez :
   1. Nom : TeamId
   2. Valeur : Arrays.toCsvString(getFilteredGroups({"",""},"group.name",50))
   3. Remplacez <group_id_1> et <group_id_2> par les ID de groupe de l'étape 1.

4. Sélectionnez Suivant, puis finition.

Google Workspace ne prend pas en charge les revendications SAML conditionnelles basées sur des groupes, contrairement à Entra ID, mais il existe deux moyens simples de renseigner TeamId pour le déploiement de Campus.

Idéal si vous suivez déjà une valeur permettant de distinguer le personnel des élèves, ou si vous souhaitez en ajouter une.

1. Dans Google Admin, accédez au profil d’un utilisateur et recherchez (ou ajoutez) un attribut personnalisé, par exemple un champ « Centre de coûts » dans un schéma personnalisé « Informations sur l’employé » (avec des champs comme « ID employé », « Intitulé du poste », « Service », « ID du bâtiment », etc.).
2. Renseignez ce champ avec une valeur permettant d’identifier le groupe de l’utilisateur, par exemple en définissant le Centre de coûts sur student pour les comptes student et sur employee pour les comptes du personnel. Tout attribut existant qui distingue déjà ces deux groupes convient tout aussi bien ; le Centre de coûts est simplement un champ pratique si aucun autre ne convient.
3. Dans Google Admin, accédez à Applications > Applications Web et mobiles > Canva > Mappage des attributs.
4. Sous Attributs, sélectionnez Ajouter un mappage, sélectionnez le champ de l’annuaire (par exemple, Informations sur l’employé > Centre de coûts) à gauche, puis saisissez TeamId comme attribut de l’application à droite.
5. Enregistrer. Google enverra désormais la valeur de ce champ comme attribut TeamId dans chaque assertion SAML.

Idéal si vous préférez gérer cela en fonction de l’appartenance à un groupe plutôt qu’à l’aide d’un champ par utilisateur.

1. Dans Google Admin, créez deux groupes : un pour le personnel (par ex. « Employés ») et un pour les élèves (par ex. « Élèves »), puis ajoutez les utilisateurs concernés à chacun.
2. Dans la même appli SAML Canva (Applications > Applications Web et mobiles > Canva > Mappage des attributs), faites défiler jusqu’à Appartenance à un groupe (facultatif).
3. Ajoutez les deux groupes et définissez l’attribut de l’application sur TeamId.
4. Enregistrer. Google enverra le nom du groupe correspondant comme valeur TeamId pour chaque utilisateur.

Dans les deux cas : les valeurs transmises (par exemple, « élève »/« personnel » ou les noms de vos groupes) doivent correspondre exactement aux valeurs TeamId configurées pour les équipes correspondantes dans Paramètres de l’organisation > Équipes de Canva.

Récupérez les informations suivantes auprès de votre fournisseur d’identité :

• Point de terminaison SAML 2.0 (HTTP) (URL d’authentification unique)
• Émetteur du fournisseur d’identité (ID d’entité)
• Certificat public (x.509, encodé en Base64)

Saisissez ces informations sur la page des paramètres d’authentification unique de Canva.

1. Dans Canva, accédez aux Paramètres du compte. Sélectionnez ensuite Authentification unique & Provisionnement.
2. Sous Choisissez qui doit utiliser l'authentification unique, sélectionnez Authentification unique facultative pour tous.
3. Se déconnecter, puis sur la page de connexion, sélectionnez Continuer avec l'authentification unique.
4. Testez avec :
   • Un compte d'élève
   • Un compte d'employé (si les deux sont configurés)

Vous pouvez également utiliser le bouton Tester l’authentification unique dans la page des paramètres.

Options :

• Pour les membres de votre équipe uniquement (recommandé pour la plupart des campus)
  • Permet aux anciens élèves et aux autres personnes extérieures à votre équipe de continuer à utiliser Canva.
• Obligatoire pour tout le monde (capture du domaine)
  • Pour une expérience de connexion optimale, tous les utilisateurs de votre domaine vérifié doivent se connecter via l’authentification unique. Recommandé pour le déploiement sur l’ensemble du campus.

Consultez Configurer les commandes de connexion et d’inscription avec l’authentification unique pour en savoir plus.

Une fois l’authentification unique activée (facultative ou obligatoire), les utilisateurs doivent se connecter avec cette méthode pour rejoindre les équipes Campus.

Demandez un lien de connexion personnalisé à l’assistance Canva ou à votre représentant·e Canva.

De nombreux membres du personnel enseignant et administratif ont peut-être déjà un compte Canva personnel associé à leur adresse e-mail professionnelle. Lorsque l’authentification unique est activée, ces personnes voient une demande unique les invitant à associer leur compte existant lors de leur première connexion avec cette méthode.

• Les utilisateurs doivent associer leur compte avant de pouvoir être entièrement gérés par SCIM ou par des règles de provisionnement. Nous vous recommandons d’en informer le personnel avant le lancement afin qu’il s’attende à voir cette demande.
• Si une personne possède un compte Canva associé à une adresse e-mail personnelle et un autre associé à une adresse professionnelle, elle devra choisir lequel associer. Les designs des comptes non associés ne sont pas perdus : ils peuvent être copiés manuellement, mais les comptes ne peuvent pas être fusionnés.
• Les personnes qui ignorent l’association ou rencontrent une erreur peuvent la reprendre plus tard dans Paramètres. Sélectionnez Connexion et sécurité, puis Associer votre compte d’authentification unique.

Le provisionnement des utilisateurs détermine comment le personnel et les élèves sont ajoutés à leurs équipes Canva respectives et en sont retirés lorsqu’ils partent. Trois options sont prises en charge. L’authentification unique doit être entièrement configurée avant l’activation d’une méthode de provisionnement.

Comment ça marche? Votre fournisseur d’identité invite les groupes d’utilisateurs à rejoindre Canva via l’API SCIM. Le moteur de la politique de provisionnement de Canva analyse les adhésions à ces groupes et place automatiquement les utilisatrices et utilisateurs dans l’équipe appropriée (personnel ou étudiant) et dans tous les sous-groupes pertinents. Lorsqu’un utilisateur est retiré d’un groupe dans votre fournisseur d’identité, il est automatiquement dissocié de Canva.

IdPs pris en charge : Microsoft Entra ID, Okta, PingFederate, Pingone.

Remarque : Google Workspace ne prend pas en charge la gestion des groupes par SCIM : utilisez les options 2 ou 3 à la place.

Les politiques de provisionnement SCIM sont un outil d’option qui doit être activé par Canva. Pour en demander l’accès, veuillez contacter l’assistance

1. Activer SCIM dans Canva : Accédez aux paramètres. Sélectionnez Authentification unique et provisionnement, puis sélectionnez Configurer le provisionnement. Activez le provisionnement SCIM, et copiez le jeton d'API SCIM.

Notez le point de terminaison SCIM : https://www.canva.com/_scim/v2. Contactez votre représentant Canva pour activer les politiques de provisionnement SCIM pour votre organisation avant de continuer.

2. Configurez SCIM dans votre fournisseur d’identité : Saisissez le point de terminaison SCIM et le jeton API dans les paramètres de provisionnement de votre fournisseur d’identité. Consultez les repères spécifiques au fournisseur d’identité pour Entra ID et Okta sur le centre d’aide de Canva.

3. Transférez les groupes depuis votre fournisseur d’identité : Attribuez les groupes que vous souhaitez synchroniser vers Canva (p. ex. canva-staff, canva-élèves).

4. Créer des politiques de provisionnement dans Canva : Accédez aux paramètres. Sélectionnez Sécurité, puis sélectionnez Politiques de provisionnement. Sélectionnez Créer une politique. Donnez-lui un nom, sélectionnez le groupe de votre fournisseur d’identité comme condition, sélectionnez la Canva en Équipe cible, et choisissez le comportement de synchronisation du groupe (créez un nouveau groupe, ou synchronisez-le avec un groupe Canva existant ; les noms de groupe doivent correspondre exactement). Au minimum, créez deux politiques : une qui mappe votre groupe de personnel à l'équipe du personnel, et une qui mappe votre groupe d'élèves à l'équipe d'élèves.

Principaux comportements :

• Déprovisionnement : lorsqu’un utilisateur est retiré d’un groupe du fournisseur d’identité, il est automatiquement retiré de son équipe Canva et son compte est verrouillé.
• Rétablissement de l’accès : ajoutez de nouveau l’utilisateur dans le fournisseur d’identité ; SCIM le provisionnera automatiquement.
• La suppression d’une règle retire toutes les appartenances à des équipes ou groupes Canva qu’elle a attribuées. À utiliser avec prudence.
• Les groupes créés par des règles de provisionnement sont verrouillés : les membres Canva ne peuvent pas y être ajoutés ni en être retirés manuellement. Le fournisseur d’identité fait autorité.
• Les utilisateurs Canva existants doivent associer leur compte à l’authentification unique avant que SCIM puisse les gérer entièrement. Demandez-leur de se connecter avec cette méthode avant d’activer SCIM.
• SCIM n’envoie pas d’e-mails de bienvenue lorsque des élèves sont provisionnés dans l’équipe des élèves.
• Les règles de provisionnement gèrent uniquement l’attribution aux équipes et aux groupes, et non les rôles. L’attribution des rôles doit être effectuée via le mappage des rôles SAML ou manuellement.

Fonctionnement : l’institution envoie à Canva une liste d’utilisatrices et d’utilisateurs à provisionner à l’avance. Canva importe ces personnes dans les équipes correspondantes.

Idéal pour : les institutions dont le fournisseur d’identité (p. ex. Google Workspace) ne prend pas en charge la gestion des groupes SCIM, ou pour les équipes initiales au début d’un semestre.

Comment demander un fichier CSV à importer :

1. Préparez une feuille de calcul avec les colonnes suivantes : adresse e-mail, affectation d'équipe.
2. Envoyez le Fichier à votre représentant Canva ou contactez l'assistance Canva.
3. Canva traitera l'importation et confirmera lorsque ce sera terminé.
4. La première connexion des utilisateurs doit s'effectuer via l'authentification unique.

Remarque : l’importation de fichiers CSV n’est pas automatisée. Pour les changements de semestre ou les changements de personnel, un nouveau fichier CSV doit être envoyé à notre assistance. Les utilisateurs Canva existants inclus dans le fichier CSV seront invités à associer leur compte lors de leur première connexion avec l’authentification unique.

Fonctionnement: aucun utilisateur n’est préchargé. Lorsqu’un utilisateur s’authentifie pour la première fois via l’authentification unique, Canva lit ses attributs SAML, en particulier l’identité de l’équipe et le rôle facultatif, et les ajoute automatiquement à l’équipe concernée. Chaque connexion suivante permet de synchroniser l’adhésion à l’équipe.

Important : si JIT est votre principale méthode de provisionnement, Canva vous recommande vivement d’activer la Capture de domaine (requis pour tout le monde) comme contrôle de connexion avec l’authentification unique. Sans capture de domaine, les utilisateurs de votre domaine peuvent contourner l’authentification unique, ce qui signifie que JIT peut ne pas atteindre tous les utilisateurs et les déprovisionnements doivent être traités manuellement.

Découvrir le fonctionnement de JIT :

1. L'utilisateur se rend sur Canva et s'authentifie via votre fournisseur d’identité.
2. Canva lit la valeur TeamId dans l'assertion SAML.
3. L'utilisateur est automatiquement ajouté à l'équipe Canva dont le TeamId correspond.
4. Si un attribut de rôle est présent, l'utilisateur se voit attribuer le rôle correspondant (concepteur pour le personnel, membre pour les élèves).
5. Lors des connexions ultérieures, Canva revalide l'appartenance à l'équipe par rapport à l'assertion SAML.

• Aucun pré-provisionnement : les utilisateurs apparaissent dans Canva uniquement après leur première connexion avec l’authentification unique. Les communications groupées et le partage de modèles ne peuvent pas cibler les personnes qui ne se sont pas encore connectées.
• Aucun déprovisionnement automatique : retirer un utilisateur de votre fournisseur d’identité ne le retire pas de Canva. Le déprovisionnement doit être effectué manuellement ou au moyen d’une configuration SCIM distincte.
• Ne désactivez pas JIT, sauf si SCIM est entièrement opérationnel et configuré pour gérer tout le provisionnement.

Canva Campus prend en charge LTI (Learning Tools Interoperability), ce qui permet au personnel enseignant d’intégrer des devoirs Canva à votre LMS et aux élèves de remettre leurs designs Canva dans le cadre de leurs travaux scolaires.

L’authentification unique doit être entièrement configurée avant la mise en place de LTI. Pour consulter les instructions de configuration propres à chaque plate-forme, consultez les guides d’intégration LMS.

Le domaine de messagerie de l’utilisateur n’est pas vérifié dans vos paramètres d’authentification unique Canva, ou il n’a pas associé son compte Canva existant à l’authentification unique.

Vérifiez que le domaine de messagerie de l'utilisateur correspond à un domaine vérifié dans vos paramètres d'authentification unique Canva. S'il possède un compte Canva préexistant, il devra peut-être effectuer la liaison de compte ; demandez-lui d'aller dans Paramètres, puis Connexion et sécurité, et de sélectionner Lier votre compte d'authentification unique.

Pour des conseils spécifiques aux erreurs, consultez Dépannage des erreurs d'authentification uniquesur le Centre d'aide Canva.

La valeur TeamId envoyée par votre fournisseur d’identité ne correspond pas exactement à la valeur TeamId configurée dans Canva. Les valeurs de TeamId sont sensibles aux majuscules.

Vérifiez que la valeur TeamId envoyée par votre fournisseur d’identité correspond au TeamId défini dans Canva (allez dans

Les politiques de provisionnement ne sont peut-être pas configurées ni activées pour votre organisation, le jeton d’API SCIM peut ne plus être valide ou les utilisateurs Canva existants peuvent ne pas avoir terminé leur première connexion avec l’authentification unique.

• Vérifiez que les stratégies de provisionnement sont configurées de manière à associer les groupes de votre fournisseur d'identité aux Canva en Équipe appropriées.
• Confirmez auprès de votre représentant Canva que les stratégies de provisionnement ont bien été activées pour votre organisation.
• Vérifiez que le jeton d'API SCIM de votre fournisseur d'identité est à jour, en particulier si le protocole SCIM a récemment été activé ou désactivé.
• Si les utilisateurs concernés possèdent déjà un compte Canva, demandez-leur de se connecter une fois par authentification unique, puis de relancer la synchronisation.

L’utilisateur n’a pas été renouvelé via votre fournisseur d’identité ou la synchronisation SCIM n’a pas été terminée.

Rajoutez l'utilisateur dans votre fournisseur d’identité et autorisez SCIM à se synchroniser. Si le problème persiste, contactez l'assistance Canva.

L’élève n’a pas été provisionné pour l’équipe étudiante de l’établissement, ou il se connecte avec un compte Canva personnel plutôt que l’authentification unique.

Confirmer que l'équipe étudiante a été provisionnée par Canva et que les élèves se connectent via l'authentification unique. Les élèves doivent être membres de l'équipe étudiante de l'établissement pour accéder aux outils premium — se connecter avec un compte personnel ne donnera pas accès.

Le personnel et les élèves peuvent-ils partager du contenu entre eux ?

Le personnel et les élèves appartiennent à des équipes Canva distinctes et ne peuvent pas partager directement du contenu. Toutefois, des liens de collaboration peuvent être utilisés entre les élèves et le personnel enseignant. Celui-ci peut également partager des modèles Canva et des devoirs avec les élèves via l’intégration à votre LMS.

Les anciens élèves peuvent-ils conserver leur accès à Canva après l’obtention de leur diplôme ?

Si l’authentification unique est configurée sur Pour les membres de votre équipe uniquement, les utilisateurs retirés de vos équipes Canva perdent l’accès aux fonctionnalités Campus, mais conservent leur compte Canva personnel. Avec l’option Obligatoire pour tout le monde (capture du domaine), l’accès dépend du fournisseur d’identité : les utilisateurs dont l’accès à celui-ci est révoqué perdent l’accès à Canva sur le domaine de leur établissement.

Les élèves qui souhaitent conserver leurs designs doivent les copier ou transférer leur contenu avant l’obtention de leur diplôme ou leur départ de l’établissement. Consultez Copier des designs avant l’obtention du diplôme pour obtenir des instructions détaillées.