Hvordan installerer jeg Lectora i Canvas med LTI 1.3?

Hvorfor LTI 1.3 (og ikke per-lærer-tokener)?

For utrullinger med flere undervisere er LTI 1.3 den eneste kompatible integrasjonsveien. Canvas API-policy og Canvas' dokumentasjon for manuell token-generering begrenser personlige tilgangstokener til personlig, enkeltbrukerbruk; en tredjepartsapp som ber hver underviser om å generere og levere et token er ikke en kompatibel integrasjon.

I tillegg til kompatibilitet gir LTI-installasjonen deg ettklikks onboarding for undervisere (underviserne åpner bare Lectora fra et emnes venstre navigasjon, uten registrering eller token å kopiere), sentralisert livssykluskontroll (slå av LTI Developer Key og Lectora slutter å virke overalt umiddelbart), stabil identitet (Canvas utsteder signerte JWT-er ved hver oppstart, uten langvarige hemmeligheter som kan lekke eller bli glemt når en underviser slutter), og én institusjonsnivå OAuth Developer Key — separat fra LTI-nøkkelen, opprettes under installasjonen — som håndterer Lectoras Canvas API-tilgang for hver underviser på ett sted, slik at godkjente karakterer skrives tilbake til Canvas uten per-lærer-tokener.

Hva blir installert?

To Canvas Developer Keys med to ulike roller. API-nøkkelen lar Lectora kalle Canvas REST API på vegne av hver underviser — lese innleveringer, og skrive tilbake de karakterene og tilbakemeldingene underviseren har godkjent — ved hjelp av OAuth 2.0 authorization_code-grant. Du oppretter den manuelt i Steg 2 ved å klikke + Developer Key → API Key og kopiere ut Client ID og Secret. LTI Registration-nøkkelen håndterer «klikk Lectora i emnesidemenyen og bli logget inn» — den implementerer LTI 1.3-oppstartshandshaket, signerte JWT-er, og plasseringen i emnenavigasjonen. Canvas oppretter den automatisk når du kjører Dynamic Registration i Steg 3 (+ Developer Key → LTI Registration).

Begge nøkler er nødvendige. Canvas' LTI-nøkler kan ikke utføre OAuth authorization_code-grant, så API-nøkkelen kan ikke erstattes av LTI Registration — de er to komplementære nøkler for to ulike protokoller. Det eneste manuelle limet noe sted i flyten er API-nøkkelens Client ID og Secret fra Steg 2 inn i Dynamic Registration-bekreftelsesiframen i Steg 4. Ingen JSON, ingen konfigurasjonsfiler, ingen manuell nøkkelgenerering.

Én stille nyttig detalj: når du kjører Dynamic Registration på Admin-nivå (standard for institusjonsbrede installasjoner), oppretter Canvas automatisk External App-oppføringen for Lectora på den kontoen også. Når du er ferdig med Steg 5, er Lectora tilgjengelig i hvert emne under kontoen du registrerte på. Det manuelle per-emne installasjonssteget er bare nødvendig for smale piloter med ett emne — se Steg 6 for verifisering og den smale utrullings-veien.

Hva trenger du før du starter?

Tre ting. Canvas-administratortilgang på Site Admin- eller rotkonto-nivå — uten det ser du ikke Developer Keys i admin-menyen. Lectora-URL-en din — https://www.lectora.app. Vi drifter og oppdaterer den; IT-en din slipper å operere noe selv. Har institusjonen din strenge krav til datalokalisering, kjører Lectora utelukkende i EU/EØS — se hva Lectora har tilgang til og hvor data lagres. Registreringsendepunktet er alltid Lectora-URL-en din pluss /api/lti/register. Og nettverkstilgang begge veier. Canvas og brukernes nettlesere må nå https://www.lectora.app over HTTPS. Står Canvas bak en brannmur, VPN-sperre eller webapplikasjonsbrannmur som blokkerer forespørsler utenfra nettverket, trenger Lectoras servere også et unntak for å nå den. Delen om nettverkstilgang lenger ned sier hva dere må åpne for; avtal det med nettverksteamet før installasjonen.

En merknad om de to Developer Keys du skal opprette. LTI Registration-Developer Key opprettes automatisk når du fullfører Dynamic Registration i Steg 3 — den håndterer underviser-oppstart fra emnesidemenyen. En separat API Developer Key for Canvas REST API OAuth opprettes manuelt i Steg 2 under og limes inn på Dynamic Registration-bekreftelsessiden — den lar Lectora lese innleveringer, og — når underviseren har godkjent et utkast og valgt å publisere det — skrive den karakteren og tilbakemeldingen tilbake til Canvas under underviserens egen Canvas-identitet. API-nøkkelen er en separat nøkkel fordi Canvas' LTI-nøkler ikke støtter authorization_code OAuth-grant; dette er en begrensning fra Canvas, ikke fra Lectora. Uten API-nøkkelen avviser Canvas Dynamic Registration-innsendingen, så vi oppretter den først.

Steg 1 — Åpne Developer Keys

1. I Canvas, klikk Admin i venstre sidemeny.
2. Velg Developer Keys fra admin-menyen.

Du lander på Developer Keys-listen — vanligvis tom for nye installasjoner, eller med eventuelle eksisterende tredjepartsverktøy.

Steg 2 — Opprett Canvas API Developer Key

En separat Developer Key — atskilt fra LTI Registration-nøkkelen — som lar Lectora kalle Canvas API for å skrive tilbake karakterer en underviser har godkjent. Dynamic Registration-bekreftelsesiframen i Steg 4 har obligatoriske felt for denne nøkkelens Client ID og Secret, så opprett den nå slik at du har verdiene klare.

1. På Developer Keys-siden, klikk + Developer Key øverst til høyre.
2. Velg + API Key fra nedtrekkslisten (det øverste av tre alternativer).
3. Fyll inn Key Settings-skjemaet. La resten stå som standard:
   • Key Name — Lectora API Access
   • Owner Email — administrator-e-posten din (Canvas sender rotasjons- og vedlikeholdsvarsler hit)
   • Redirect URIs — lim inn begge Lectoras OAuth-callback-URL-er under, én per linje
   • Icon URL — https://www.lectora.app/icon.svg
4. Sett Enforce Scopes til OFF. Nyere Canvas-instanser har den på som standard. Er den på, avviser Canvas hver undervisers autorisasjon til Lectora har institusjonens scope-liste, så la den være av under installasjonen.
5. Klikk Save.
6. På Developer Keys-listen, slå den nye nøkkelens State til ON.
7. Kopier Client ID fra Details-kolonnen (en lang numerisk streng som 10000000000040).
8. Klikk Show Key for å vise Secret, kopier den, og lim både Client ID og Secret inn i en midlertidig notatblokk. Du trenger dem i Steg 4.

Det lønner seg å begrense nøkkelen når installasjonen virker, fordi et lekket token med ubegrensede scopes kan gjøre mer enn et begrenset. Det tar ett samordnet steg sammen med oss, beskrevet i delen om Enforce Scopes lenger ned. Ikke slå det på alene.

https://www.lectora.app/api/auth/canvas/callback

https://lectora.app/api/auth/canvas/callback

Steg 3 — Start en Dynamic Registration

Med API Key-legitimasjonen trygt kopiert er du klar til å registrere Lectora som et LTI-verktøy.

1. Tilbake på Developer Keys-listen, klikk + Developer Key øverst til høyre igjen.
2. Velg + LTI Registration fra nedtrekkslisten (det tredje alternativet).
3. I modalen som åpnes, velg Dynamic Registration (det første alternativet).
4. Oppgi Lectoras registreringsendepunkt i URL-feltet (under).
5. Klikk Continue.

https://www.lectora.app/api/lti/register

Steg 4 — Bekreft installasjonen

Canvas åpner Lectoras bekreftelsesside i en iframe. Den viser Canvas-instansen Lectora oppdaget, plasseringene Lectora vil be om (emnenavigasjon), og to obligatoriske OAuth-legitimasjonsfelt.

1. Lim inn Client ID du kopierte i Steg 2 i OAuth Client ID-feltet.
2. Lim inn Secret du kopierte i Steg 2 i OAuth Client Secret-feltet.
3. Gjennomgå plasseringene (course navigation skal være avkrysset).
4. Klikk Confirm Installation.

Iframen lukkes automatisk når registreringen lykkes.

Steg 5 — Aktiver LTI Developer Key

Tilbake på Developer Keys-listen ser du nå to Lectora-rader — API Key fra Steg 2 (allerede ON) og den nye LTI Registration-nøkkelen (starter OFF).

1. Finn den nye LTI Registration-raden.
2. Slå dens State til ON — nye nøkler starter OFF.
3. Kopier Client ID for LTI Registration-nøkkelen fra Details-kolonnen. Du trenger den i Steg 6 (et langt tall, typisk 10000000000123 eller lignende).

Steg 6 — Verifiser at Lectora er installert (og smal eventuelt ned omfanget)

Gode nyheter: verktøyet er allerede installert. Da du kjørte Dynamic Registration i Steg 3 på Admin-nivå, opprettet Canvas automatisk en External App-oppføring for Lectora, og å slå LTI-nøkkelen ON i Steg 5 aktiverte det i hvert emne under den kontoen.

1. Gå til Admin → Settings → Apps-fanen → View App Configurations.
2. Se etter en Lectora-rad i listen — det bekrefter at installasjonen på kontonivå landet.

Hvis du kjørte Dynamic Registration på rotkontoen, kan hvert emne i Canvas-instansen din nå vise Lectora — hopp til Steg 7 for å verifisere oppstart fra underviser-siden.

Valgfritt — smal utrullings-vei. Bruk denne bare når du vil pilotere Lectora med én avdeling, skole eller ett emne før bredere utrulling. Hvis verktøyet allerede er installert kontobredt, hopp over dette steget; Lectora er allerede tilgjengelig overalt.

1. Åpne emnet → Settings → Apps-fanen → View App Configurations.
2. Klikk + App øverst til høyre.
3. Sett Configuration Type til By Client ID.
4. Lim inn LTI Registration-nøkkelens Client ID fra Steg 5.
5. Klikk Submit, og bekreft når Canvas spør Tool found, install?.

Sjelden fallback. Hvis Lectora ikke vises i Admin → Settings → Apps etter Steg 5, har auto-installasjonen ikke skjedd. Installer manuelt med samme flyt som den smale utrullings-veien over, men på admin-nivå (Admin → Settings → Apps → + App → By Client ID → lim inn → Submit).

Steg 7 — Verifiser at det fungerer

Raskest ende-til-ende-test:

1. Åpne et emne der Lectora er installert.
2. Klikk Lectora i venstre sidemeny.
3. Bekreft at Lectora-emnevisningen lastes inn i Canvas med emnene dine listet.

Hvis du kom hit, er installasjonen ferdig. Undervisere i ethvert installert emne kan nå bruke Lectora uten ekstra oppsett — send dem en enkel beskjed: «Åpne et emne der Lectora er installert og klikk Lectora i venstre sidemeny; du blir logget inn automatisk.»

Står Canvas bak en brannmur eller VPN-sperre?

Hopp over denne delen hvis Canvas er tilgjengelig fra internett, for eksempel en Instructure-driftet *.instructure.com-adresse uten egen sperre foran. Den gjelder når Canvas-domenet står bak en brannmur, en VPN-sperre eller en webapplikasjonsbrannmur (for eksempel Azure Front Door) som blokkerer eller videresender forespørsler utenfra nettverket deres.

Lectoras servere kaller Canvas på vegne av underviserne: Canvas-API-et, OAuth-tokenendepunktet og, når Canvas utsteder sin egen LTI-identitet, LTI-endepunktene. Disse forespørslene kommer utenfra nettverket deres og trenger derfor et unntak. Det underviserne gjør i nettleseren (LTI-oppstarten, Canvas' samtykkeside og Canvas selv) kommer fra deres egne enheter, som allerede er på nettverket eller VPN-en, og trenger ikke noe ekstra.

Stiene Lectoras servere kaller på Canvas-verten:

Slik skriver dere unntaket:

• Match på IP-adressen til tilkoblingen. I Azure Front Door er det SocketAddr («Socket address»), ikke RemoteAddr, som leses fra X-Forwarded-For og kan settes av hvilken som helst klient.
• Match gjerne også på User-Agent-prefikset. En ekstra betingelse, User-Agent begynner med Lectora/, snevrer inn unntaket og gjør Lectoras trafikk lett å finne i loggene. Hvem som helst kan sende den headeren, så den identifiserer trafikken vår, men autentiserer den ikke. Match aldri hele strengen, for versjonen endres ved hver utgivelse.
• Tillat, og tidlig. Regelen må evalueres før VPN-videresendingen og før eventuelle regler for geografi, ratebegrensning, JavaScript-utfordring eller CAPTCHA. En server kan ikke løse en utfordring.
• Sjekk håndhevingsmodus. I Azure Front Door må WAF-policyen stå i Prevention-modus. I Detection-modus håndheves ingenting, heller ikke denne tillatelsen.
• Behandle det som et filter. De tre adressene tilhører et utvalg som leverandøren vår deler med et lite antall andre kunder. Hver forespørsel trenger fortsatt et gyldig Canvas-token eller en gyldig signatur; unntaket slipper den bare forbi sperren.

En egendefinert WAF-regel for Azure Front Door, som regelobjektet dere fletter inn i policyens egendefinerte regler:

{  "name": "AllowLectora",  "priority": 5,  "enabledState": "Enabled",  "ruleType": "MatchRule",  "action": "Allow",  "matchConditions": [    {      "matchVariable": "SocketAddr",      "operator": "IPMatch",      "negateCondition": false,      "matchValue": ["155.121.236.3/32", "155.121.236.4/32", "155.121.236.5/32"]    },    {      "matchVariable": "RequestHeader",      "selector": "User-Agent",      "operator": "BeginsWith",      "negateCondition": false,      "matchValue": ["Lectora/"],      "transforms": []    }  ]}

Velg et ledig prioritetsnummer som er lavere enn VPN-regelens. I en nettverksbrannmur tillater dere TCP 443 fra de tre adressene til det som terminerer Canvas-domenet.

Når adressene endres. Bare hvis vi endrer driftsoppsettet vårt. Vi varsler IT-kontakten deres minst 14 dager før en planlagt endring, og straks hvis en endring blir påtvunget oss.

Den andre retningen. Canvas-serveren og brukernes nettlesere må nå https://www.lectora.app over HTTPS. Canvas henter Lectoras offentlige nøkler fra https://www.lectora.app/api/lti/jwks. https://lectora.app videresender til https://www.lectora.app.

Kan vi slå på Enforce Scopes?

Ja, i ett samordnet steg sammen med oss. Med Enforce Scopes på avviser Canvas en autorisasjonsforespørsel som ikke oppgir sine scopes (invalid_scope), og hvert token begrenses til de scopene det ble utstedt med. Lectora må derfor be om nøyaktig de scopene som er huket av på API-nøkkelen, og vi lagrer den listen for institusjonen deres.

1. Ta kontakt med oss. Vi bekrefter scope-listen under for Lectora-versjonen dere bruker, og lagrer den samme listen for institusjonen. Ingenting endres så lenge nøkkelen har Enforce Scopes av; nye undervisertokener får bare de oppførte scopene.
2. Slå på i én lagring. På API-nøkkelen: slå Enforce Scopes på, huk av nøyaktig de oppførte scopene, og huk av Allow Include Parameters. Uten Allow Include Parameters dropper Canvas stille ekstradata Lectora ber om, som kommentarer og vedlegg på innleveringer, og vurderingen blir feil uten noen feilmelding.
3. Underviserne autoriserer én gang til. Vi sletter Canvas-tokenene som ble utstedt før steg 1, så de underviserne autoriserer Lectora én gang ved neste besøk.

Scope-listen for Lectora 2.19. I nøkkelskjemaet viser Canvas scopes som endepunkter gruppert etter ressurs. Vi bekrefter listen med dere i steg 1, fordi en ny Lectora-funksjon kan trenge et nytt scope.

Grunnleggende scopes, som alle institusjoner trenger (28):

url:GET|/api/v1/users/:idurl:GET|/api/v1/users/:user_id/enrollmentsurl:GET|/api/v1/accounts/:account_id/admins/selfurl:GET|/api/v1/courses/:idurl:GET|/api/v1/accounts/:account_id/termsurl:GET|/api/v1/courses/:course_id/enrollmentsurl:GET|/api/v1/courses/:course_id/usersurl:GET|/api/v1/users/:user_id/profileurl:GET|/api/v1/users/:user_id/communication_channelsurl:GET|/api/v1/courses/:course_id/groupsurl:GET|/api/v1/groups/:group_id/usersurl:GET|/api/v1/courses/:course_id/assignmentsurl:GET|/api/v1/courses/:course_id/assignments/:idurl:GET|/api/v1/courses/:course_id/assignment_groupsurl:GET|/api/v1/courses/:course_id/assignments/:assignment_id/submissionsurl:GET|/api/v1/courses/:course_id/assignments/:assignment_id/submissions/:user_idurl:GET|/api/v1/courses/:course_id/students/submissionsurl:PUT|/api/v1/courses/:course_id/assignments/:assignment_id/submissions/:user_idurl:POST|/api/v1/courses/:course_id/assignments/:assignment_id/submissions/:user_id/comments/filesurl:DELETE|/api/v1/courses/:course_id/assignments/:assignment_id/submissions/:user_id/comments/:idurl:GET|/api/v1/courses/:course_id/rubrics/:idurl:GET|/api/v1/courses/:course_id/grading_standardsurl:GET|/api/v1/accounts/:account_id/grading_standardsurl:GET|/api/v1/accounts/:idurl:GET|/api/v1/courses/:course_id/filesurl:GET|/api/v1/courses/:course_id/files/:idurl:GET|/api/v1/courses/:course_id/foldersurl:GET|/files/:file_id/download

Scopes for valgfrie funksjoner (23). Utelat en gruppe bare hvis dere ikke bruker den funksjonen, for funksjonen slutter å virke uten den.

# Publisering av emne- og oppgavedetaljer tilbake til Canvasurl:PUT|/api/v1/courses/:idurl:PUT|/api/v1/courses/:course_id/assignments/:id
# Classic Quizzes: vurdering, synkronisering av spørsmål og publisering av poengurl:GET|/api/v1/courses/:course_id/quizzes/:idurl:GET|/api/v1/courses/:course_id/quizzes/:quiz_id/submissionsurl:GET|/api/v1/quiz_submissions/:quiz_submission_id/questionsurl:GET|/api/v1/courses/:course_id/quizzes/:quiz_id/questionsurl:GET|/api/v1/courses/:course_id/quizzes/:quiz_id/submissions/:id/eventsurl:POST|/api/v1/courses/:course_id/quizzes/:quiz_id/reportsurl:GET|/api/v1/courses/:course_id/quizzes/:quiz_id/reports/:idurl:PUT|/api/v1/courses/:course_id/quizzes/:quiz_id/submissions/:id
# Quiz Studio: publisering av quizer og lesing av resultater (sammen med Classic Quizzes-gruppen)url:POST|/api/v1/courses/:course_id/quizzesurl:POST|/api/v1/courses/:course_id/quizzes/:quiz_id/questionsurl:PUT|/api/v1/courses/:course_id/quizzes/:idurl:GET|/api/v1/courses/:course_id/quizzes/assignment_overridesurl:GET|/api/v1/courses/:course_id/quizzes/:quiz_id/statistics
# Kunnskapsbase: opplasting av filer til Canvas og filtilgangurl:POST|/api/v1/courses/:course_id/filesurl:PUT|/api/v1/files/:idurl:DELETE|/api/v1/files/:id
# Læringsmål: opplastingsmappenurl:POST|/api/v1/courses/:course_id/folders
# Import av læringsutbytter (outcomes)url:GET|/api/v1/courses/:course_id/root_outcome_groupurl:GET|/api/v1/courses/:course_id/outcome_groups/:idurl:GET|/api/v1/courses/:course_id/outcome_groupsurl:GET|/api/v1/courses/:course_id/outcome_groups/:id/outcomes

Enforce Scopes begrenser bare tokener som er utstedt gjennom API-nøkkelen. Personlige tilgangstokener påvirkes ikke.

LTI Registration-nøkkelen trenger ingen endring: Dynamic Registration ber automatisk om det ene LTI-scopet Lectora bruker (Names and Role Provisioning, for deltakerlisten).

Oppdatere eller fjerne installasjonen

For å endre Lectoras LTI-konfigurasjon (for eksempel for å oppdatere plasseringer eller scopes etter en Lectora-utgivelse), gå til Admin → Developer Keys, klikk på blyantredigeringsikonet på LTI Registration-nøkkelen, oppgi registrerings-URL-en på nytt, og klikk Save. Canvas henter konfigurasjonen på nytt; eksisterende emneinstallasjoner fortsetter å fungere uten endringer. For å rotere API-nøkkelens hemmelighet, klikk Show Key på API Key-raden for å generere en ny hemmelighet, og kjør deretter Dynamic Registration på nytt med den nye verdien (eller la Lectora-administratoren din oppdatere den lagrede legitimasjonen direkte).

For å avinstallere fullstendig må du fjerne begge nøklene. Enten fjern External App fra hvert emne (Course Settings → Apps → Lectora → søppelbøtteikon), eller slett LTI Registration-nøkkelen (Admin → Developer Keys → søppelbøtteikon på Lectora LTI-raden) for å deaktivere Lectora-oppstart overalt på én gang. Slett deretter også API-nøkkelen (søppelbøtteikon på Lectora API Access-raden) slik at Lectora ikke lenger kan kalle Canvas API. Å slå en av nøklene OFF i stedet for å slette den er et tryggere reversibelt alternativ hvis du er usikker.