教育版用にシングルサインオン（SSO）を設定する

この記事は、シングルサインオン（SSO）の設定が必要な学校または自治体・学校法人のIT管理者、およびCanva教育版の管理者を対象としています。

• Canvaエンタープライズプランをご利用の場合は、SSOの設定（Canvaエンタープライズ向け）をご覧ください。
• 教師や一般職員の方は、このガイドを使う必要はありません。

この記事の内容：

• 必要条件と事前準備
• 手順に沿った設定方法（全7段階）
• テストとトラブルシューティングのヒント

• SAML 2.0：アプリとIDシステム間の安全なログインを実現する標準規格です。
• IdP（IDプロバイダー）：ログインを管理するサービスです（例：Azure、Google Workspace、ADFS）。
• TXTレコード：ドメインの所有権を証明するため、ドメインの設定に追加する短いテキストです。
• TeamId：組織内の学校、キャンパス、グループを識別する固有の値です。

• SAML 2.0に対応したIDプロバイダー（IdP）
• ドメインのDNS設定でTXTレコードを作成するためのアクセス権（またはITチームのサポート）
• Canva教育版のプラン（学校・自治体、大学・専門学校（教育機関）、または単一の学校）

ドメインを追加して確認すると、組織のメンバーとして扱うユーザーを判別できます。確認済みドメインのメールアドレスを使うユーザーは、SAML SSOでログインできるようになります。

1. Canvaアカウントにログインします
2. ホームページでアカウントプロフィールを選択し、メニューを開きます。
3. 選択
   設定します。
4. SSOとプロビジョニングタブを選択します。
   • 表示されない場合は、正しいアカウントにログインしていることを確認してください。
5. ドメインが認証済みかどうかを確認します。
   • 認証済みの場合は、ステップ1 - IDプロバイダーにCanvaを追加するに進みます。
6. ドメイン認証タブで、ドメインを追加を選択します。ポップアップウィンドウが表示されます。
7. テキストフィールドに、SSOログインに使用するドメイン（例：myschool.edu）を入力し、ドメインを送信を選択します。
8. トークンをコピーを選択して、表示されたTXTレコードのトークンをコピーします。送信したドメインの所有権を確認するため、このトークンをドメインのDNS設定に追加してください。

現在、次のIDプロバイダーについて詳しいガイドをご用意しています。

• ADFS SAMLの設定
• Azure AD/ Entra ID SAMLの設定
• Classlink SAMLの設定
• Clever SAMLと名簿管理の設定
• GSuite（Google）SAMLの設定
• RapidIdentity SAMLの設定

お使いのIDプロバイダーが上記にない場合は、以下の情報を使ってSAMLを設定できます。

• ACS URL/返信URL： https://www.canva.com/login/saml
• エンティティID/識別子： https://www.canva.com
• SAML属性：NameID、Email、FirstName、LastName
• メタデータテキスト（必要な場合）

SAMLアサーションに署名が含まれていることを確認してください。設定をチェックして確認できます。IDプロバイダーにCanvaを追加したら、次へを選択します。

SSOとプロビジョニングのページ（設定内）で、SSOを管理タブをクリックします。

複数の学校を設定している自治体・学校法人の場合、ユーザーを割り当てる学校を特定できるよう、名簿データをCanvaに転送する必要があります。

いくつか方法があります。ニーズに最も合う方法を選択してください。

Classlink RosterServer（OneRoster）またはCleverを使用している場合は、次へを選択し、ステップ3：IDプロバイダーのメタデータを追加するに進みます。名簿データは後からステップ5：ユーザープロビジョニングを設定するで送信できます。

この方法には、いくつかの設定方法があります。

SAMLアプリに学校名、学校ID、または学校に関連するその他の一意の識別子を含む属性がある場合、それを「TeamId」属性として使用して、各ユーザーが所属する学校の情報を送信できます。

1. その属性を送信するクレームをSAMLアプリで作成し、クレーム名を「TeamId」（大文字と小文字を区別）にします。
2. TeamIdの手順を閲覧するを選択し、ダイアログでCSVテンプレートをダウンロードします。1列目に各学校の名前を入力し、2列目に、クレームを通じて各学校について送信する対応する「TeamId」の値を入力します。
3. CSVをCanvaにアップロードします。ファイルの確認が完了すると、メールでお知らせします。その後、次のステップに進みます。

新しいクレームを作成し、クレーム条件を使って、グループやその他のユーザー属性に基づいた「TeamId」属性の値を送信することもできます。

ユーザーが所属するグループに応じて、SAMLアプリから送信する属性値を指定する条件を手動で作成します。

たとえば、Harmony小学校の生徒が「Harmony Students」グループに、職員が「Harmony Staff」グループに所属しているとします。クレーム条件を使い、両方のグループの「TeamId」として「Harmony」を送信するようSAMLアプリに指定できます。

クレーム名を「TeamId」に設定し、各学校の名前と、クレームで送信する対応する「TeamId」の値を記載したCSVファイルをCanvaに共有します。

SAMLアプリでグループクレームを作成し、グループ名をクレーム値として送信することもできます。この方法を使うには、SAMLアプリで学校ごとに1つのグループを設定する必要があります。各グループには、その学校の生徒と職員全員を含め、クレームに含めるグループは学校のグループだけにしてください。

クレーム名を「TeamId」に設定し、各学校の名前と、クレームで送信する対応する「TeamId」の値を記載したCSVファイルをCanvaに共有します。

大学・専門学校では、ユーザーごとにTeamId属性を送信し、そのユーザーが学生か職員（教員、スタッフ）かをCanvaに知らせる必要があります。

TeamIdの設定方法はいくつかあります。上記の複数校向けの方法と似ていますが、必要なTeamIdの値は2つだけです。職員・教員のチーム用の固有の値と、学生チーム用の固有の値をそれぞれ1つ設定します。

TeamId属性を設定したら、その値をCanvaの組織設定に登録します。Canvaアカウント設定のチームページで、右側の三点リーダーを選択し、Teamldを編集を選択してください。

IDプロバイダーのメタデータは、次の2つの方法で追加できます。

1. メタデータファイルをアップロード：IDプロバイダーから提供された.xmlファイルをダウンロードし、Canvaにアップロードします。データが自動的にインポートされ、各項目に入力されます。メタデータを保存を選択します。
2. メタデータを手動で追加： IdPのメタデータを対応する各項目に追加します。メタデータを保存を選択します。

メタデータを保存したら、次へを選択します。

SSO接続が機能しているかどうかをテストできます。

1. 接続をテストする前に、IDプロバイダーで作成したCanvaアプリケーションへのアクセス権を自分に割り当ててください。
2. SSOをテストを選択します。SSOでログインするため、IDプロバイダーにリダイレクトされます。
3. IDプロバイダーのログイン情報を使ってログインします。
4. 接続テストの結果が表示されます。

• 接続に成功した場合：IDプロバイダーから取得した属性と値が正しくマッピングされ、ユーザーがSSOでログインできることを確認してください。返された値が正しくない場合は、IDプロバイダー側で修正してから、テストをもう一度行います。
• テストでエラーが発生した場合：IDプロバイダー側でエラーを修正してから、テストをもう一度行います。

5. 属性と値が正しくマッピングされたら、ウィンドウを閉じて次のステップに進みます。

1. プロビジョニングの種類としてOneRosterを選択します。
2. 詳しい手順はOneRosterプロビジョニングをご確認ください。

1. プロビジョニングの種類としてCleverを選択します。
2. 詳しい手順はClever SAMLと名簿管理の設定をご確認ください。

Wondeの設定には、CanvaとWondeのサポートが必要です。設定手順は、組織がCanvaを初めて利用するか、すでに利用しているかによって異なります。

詳しい手順はWondeのプロビジョニングをご確認ください。

完了したら、次のステップに進みます。

チームやドメイン内の他のユーザーのログイン方法を選択します。詳しくはSSOログインと登録の管理設定をご覧ください。

1. 設定 > SSOとプロビジョニングに移動します。
2. シングルサインオンタブで、管理 > SSO設定を構成をクリックします。
3. 全員に任意を選択します。
4. Canvaアカウントからログアウトし、再度ログインします。
5. ログインページでメールアドレスで続行を選択し、SSOでログインを選択します。

チームのページが表示された場合は、SSOが機能しています。

1. 設定 > SSOとプロビジョニングに戻ります。
2. シングルサインオンで、管理 > SSO設定を構成をクリックします。
3. 全員に必須（ドメインキャプチャ）を選択します。

このステップは重要です。SSOでログインしたメンバーが適切なチームに追加されるようにします。

1. Canvaアカウントにログインします。

2. 左下のプロフィールアイコンをクリックし、 設定を選択します。

3. サイドメニューからSSOとプロビジョニングタブを選択します。

4. シングルサインオン（SSO） > 管理 > SSO設定を構成をクリックします。

5. 次のいずれかのログイン要件を選択します。

• 全員に必須（ドメインキャプチャ）：チームや組織に参加しているかどうかにかかわらず、すべてのユーザーをログアウトします。
• チームのメンバーのみに必須：SSOに紐付けられたチームまたは組織に所属するユーザーのみをログアウトします。

6. 属性と値が正しくマッピングされたら、ウィンドウを閉じて次のステップに進みます。

7. SSOとプロビジョニングタブに戻ります。

8. ドメインの確認で、ログアウトさせたいドメインの強制ログアウトアイコン（ゴミ箱アイコンの隣）をクリックします。

• 複数のドメインがある場合は、強制ログアウトさせたいドメインごとにこの手順を繰り返します。

SSOのログイン動作をテストし、強制ログアウト（推奨）を設定したら、設定を完了を選択します。これでSSOの設定は完了です！