ADFS SAML設定（教育版用）

MicrosoftのActiveDirectoryフェデレーションサービス（ADFS）を使用して、学校用にシングルサインオン（SSO）を設定します。

1. ADFSサーバーにログインします。ADFSの展開についてサポートが必要な場合は、このガイドを参照してください。
2. ADFS管理コンソールを開き、[Trust Relationships（信頼関係）] > [Relying Party Trusts（証明書利用者信頼）]を選択します。
3. [Actions（アクション）] メニューで [Add Relying Party Trust（証明書利用者信頼を追加）] をクリックすると、手順を説明するウィザードが表示されます。
4. [Select Data Source（データソースの選択）] のステップで、[Enter data about the relying party manually（証明書利用者についてのデータを手動で入力する）] を選択します。

5. [Specify Display Name（表示名の指定）] のステップで、「Canva」と入力します。

6. [Choose Profile（プロファイルの選択）] のステップで、[AD FS profile（AD FSプロファイル）] を選択します。

7. [Configure Certificate（証明書の設定）] のステップで、証明書設定をデフォルト値のままにします。
8. [Configure URL（URLの設定）] のステップで、[Enable support for the SAML 2.0 WebSSO protocol（SAML 2.0 WebSSOプロトコルのサポートを有効にする）] を選択し、CanvaのSAMLサービスエンドポイントである「https://www.canva.com/login/saml」を入力します。

9. [Configure Identifiers（識別子の構成）] のステップで、「https://www.canva.com」と入力し、[Add（追加）] をクリックします。

10. 次のステップでは、オプションの多要素認証を追加できます。
11. [Choose Issuance Authorization Rules（発行承認ルールの選択）] ステップで、[Permit all users to access this relying party（すべてのユーザーに対してこの証明書利用者へのアクセスを許可する）] を選択します。[Next（次へ）] をクリックして設定を確認します。
12. 最終画面で、[Open the Edit Claim Rules dialog for this relying party trust when the wizard closes（ウィザードの終了時にこの証明書利用者信頼のクレームルールの編集ダイアログを開く）] がオンになっていることを確認します。[Close（閉じる）] を選択します

CanvaをADFSに追加すると、クレームルールエディターが開き、ルールまたはアサーションクレームを作成できます。

Canva属性用とNameID用の2つの要求が必要です。Canvaは送信クレームタイプの属性と値のみを受け取るため、属性のリストは異なって見える場合があります。

1. [規則の追加]をクリックします。

2. LDAP属性をクレームとして送信するルールを作成します。[Email（メール）]、[FirstName（名）]、および [LastName（姓）] のための送信クレームの種類を追加します（注意：送信クレームの種類では大文字と小文字が区別されます）。

3. 受信クレームを変換する別のルールを作成します。必要な [NameID] クレームルールを開き、送信名IDの形式を [Persistent Identifier（永続識別子）] に変更します。[完了] をクリックして、保存します。

このステップは、どのユーザーが生徒で、どのユーザーが教員または職員であるかを識別するのに役立ちます。2つの方法があります。

Canvaでは、よくあるメールのパターンに基づいて、生徒や教員の役割を割り当てることができます。例：

• 生徒とスタッフがそれぞれ別のメールドメインを使用
• 生徒には先頭に数字があり、スタッフにはない

ご利用のアカウントでこの機能を有効にする場合は、SSO設定プロセスを完了してから、サポートチームに連絡して、ドメインベースの役割のマッピングを有効にしてください。

メールパターンがない場合、役割を割り当てるためにCanvaが解析できます。次の手順に従ってください。

1. グループメンバーシップを要求として送信するルールを作成します。従業員であるユーザーには、「staff」という単語を送信する必要があります。このルールに「Temporary」という名前を付けます。
2. ステップ1の [Rule Language（ルール言語）] を表示してコピーします。
3. 新しいルールを作成し、[Send Claims Using a Custom Rule（カスタムルールを使用して要求を送信）] を選択します。
4. [Next（次へ）] をクリックします。
5. ルールに「Role」という名前を付け、ステップ2でコピーした [Rule Language（ルール言語）] を貼り付けます。
6. 「http://schemas.microsoft.com/ws/2008/06/identity/claims/」を削除します。
7. 「Temporary」ルールを削除します。

複数の学校を持つ組織では、ユーザーがどの学校に割り当てられるべきかを識別するために、名簿データをCanvaに転送する必要があります。

これを行うにはいくつかの方法があります。以下のオプションからニーズに最適なものを1つ選択してください。

Classlinkを利用している場合、RosterSyncで名簿データを送信することができます。方法については、OneRosterのプロビジョニングをご覧ください。

このオプションにはいくつかの方法があります。

SAMLアプリに学校名、学校ID、その他学校に関連する固有の識別子を持つ属性がある場合、「TeamId」属性として使用して、各ユーザーの所属する学校に関する情報を送信できます。

SAMLアプリでその属性を送信するクレームを作成し、クレームに「TeamId」という名前を付けます。

その後、各学校名および対応する「TeamId」値を含むCSVファイルをCanvaと共有し、申請を通じて送信します。

SAMLアプリでグループクレームを作成し、クレーム値としてグループ名を送信することもできます。この操作を行うには、SAMLアプリで学校ごとに1つのグループを作成する必要があります。グループには、学校のすべてのユーザー（生徒と職員）が含まれている必要があり、該当する学校グループは、クレームの一部として送信される唯一のグループである必要があります。

クレームに「TeamId」という名前を付け、各学校の名前とそれに対応する「TeamId」値を含むCSVをCanvaと共有し、クレームによって送信します。

1. Canvaアカウントにログインします。
2. ホームページからプロフィールアバターに移動し、
   [設定]を選択します。
3. サイドメニューから[
   SSOとプロビジョニング]をクリックします。
4. [シングルサインオン（ SSO ）]で、[管理]、[IdPメタデータの編集]の順にクリックします。
5. [SSO]または[ログインURL]フィールドに、SAML 2.0エンドポイントURL （ SAML 2.0/W-Federation URLとも呼ばれます）を入力します。
6. [エンティティID]または[発行者URL]フィールドに、IDプロバイダーの発行者を入力します。
7. [X.509 Public Certificate]フィールドに、ダウンロードした証明書（サンプル証明書）の内容をすべて貼り付けます。
8. [保存して次へ]をクリックします。

設定をテストするには次の2つの簡単な方法があります。

1. プロフィールのアバターに移動し、
   [設定]に移動します。
2. サイドメニューで、[
   SSOとプロビジョニング]を選択します。
3. [シングルサインオン（ SSO ）]で、[管理]、[SSOのテスト]の順に選択します。

1. SSOとプロビジョニングに移動します
2. [シングルサインオン（ SSO ）]、[管理]、[SSO設定の構成]の順に選択します。
3. SSO設定オプションをすべてのユーザーに対してオプションに設定します。
4. Canvaアカウントからログアウトします。
5. ログインページで、[メールアドレスで続行する]を選択し、[SSOでログインする]を選択します。

必ず生徒用アカウントと教員用アカウントでテストしてください。次の場合、SSOが正常に設定されたことを確認できます。

• 教員としてログインすると、[人物]ページが表示されます。
• 生徒としてログインしましたが、[人物]ページ が表示されません。

メンバーがログインする方法を選択します。ドメインの全員にSSOを要求することをお勧めします。

1. ホームページからプロフィールアバターに移動し、
   [設定]を選択します。
2. サイドメニューで、[
   SSOとプロビジョニング]を選択します。
3. [シングルサインオン（ SSO ）]、[管理]、[SSO設定の構成]の順に選択します。
4. すべての人が必須（ドメインキャプチャ）にSSO設定を設定します。
5. [接続を保存]を選択します。