Azure AD/ Entra ID SAML設定（教育版用）

MicrosoftのAzure Active Directory（AD）/Entra IDを使用して、チームのシングルサインオン（SSO）を設定します。

1. Azure ADまたはEntra ID管理者アカウントから、ポータルメニューから[Microsoft Entra ID]に移動します。
2. [管理]で、[エンタープライズアプリケーション]を選択します。
3. [新しいアプリケーション]をクリックします。
4. 検索バーで「Canva」と入力し、結果リストから選択します。

5. [作成]をクリックして、アプリケーションを追加します。

6. [シングルサインオンの設定]を選択します。

7.シングルサインオン設定を承認して保存します。 [識別子]および[返信URL]はアプリによってあらかじめ入力されているため、変更する必要はありません。

8.オプション：「属性とクレーム」セクションで、クレーム名を以下に変更して理解しやすくすることができます。

9.属性が以下の「クレーム名」と完全に一致するように設定されていることを確認します。 単一の学校および名簿使用していないEducationブランドの場合、TeamID属性は必要ありません。

• 単一の学校

• 名簿を使用していない複数の学校の設定

10. [SAML署名証明書（ SAML Signing Certificate ）]セクションで、[編集（

11.下にある[Canvaの設定]セクションで、次の詳細をコピーします。 Canvaでのセットアップを完了するためにそれらが必要になります。

• ログインURL
• Azure AD/ Entra ID識別子

1. Azure AD/Entra IDの[プロパティ（ Properties ）]ページに移動します。
2. Canvaのユーザーアクセスを設定します。 以下の方法のいずれかを選択します。

• すべてのユーザーにCanvaの使用を許可するには、[ユーザーの割り当てが必要]フィールドを[いいえ]に設定します。
• 特定のユーザーのみにCanvaの使用を許可するには、[ユーザーとグループ（ Users and Groups ）]から、Canvaへのアクセスを許可するユーザーとグループを追加します。

このステップは、どのユーザーが生徒で、どのユーザーが教員または職員であるかを識別するのに役立ちます。2つの方法があります。

ユーザーの役割を、ユーザーのメールのドメインで区別する場合、@district.org（@students.district.orgではなく）を持つ教員に基づいて、Role属性を介して送信するルールを設定することが可能です。

このステップのClaimの名前がRoleで、Namespaceフィールドが空白であることを確認してください。

ユーザーの役割をグループメンバーシップで区別する場合、Azure/ Entra IDのstaffグループのメンバーであるユーザーのRole属性を「Teacher」として送信するルールを設定することができます。設定は、[属性とクレーム（Attributes & Claims）] セクションで、新しいクレームを追加することで行うことができます。

このステップのClaimの名前がRoleで、Namespaceフィールドが空白であることを確認してください。

詳細については、エンタープライズアプリケーションのSAMLトークンで発行されるクレームのカスタマイズに関するMicrosoftの記事をご覧ください。

複数の学校を持つ組織では、ユーザーがどの学校に割り当てられるべきかを識別するために、名簿データをCanvaに転送する必要があります。

これを行うにはいくつかの方法があります。 以下のオプションからニーズに最適なものを1つ選択してください。

Classlinkを利用している場合、RosterSyncで名簿データを送信することができます。方法については、OneRosterのプロビジョニングをご覧ください。

このオプションにはいくつかの方法があります。

SAMLアプリに学校名、学校ID、その他学校に関連する固有の識別子を持つ属性がある場合、「TeamId」属性として使用して、各ユーザーの所属する学校に関する情報を送信できます。

1. Azure/ Entra IDのCanvaアプリで、[シングルサインオン（Single Sign-on）] を選択します。
2. [属性とクレーム（Attributes & Claims）] を編集します。
3. クレームを追加し、TeamIdと名前を付けます。
4. Source属性には、学校の固有の識別子を送信する属性を選択します。

その後、各学校名および対応する「TeamId」値を含むCSVファイルをCanvaと共有し、申請を通じて送信します。

新しいクレームを作成し、クレーム条件を使用して、グループや他のユーザー属性に基づいて「TeamId」属性値を送信することもできます。

この手順を行うには、SAMLアプリに対して、ユーザーが所属するグループに基づいて各ユーザーに送信する属性値を指示する条件を手動で作成します。

たとえば、Harmony Elementaryの生徒が「Harmony Students」で、職員が「Harmony Staff」である場合、クレーム条件を使用して、両方のグループの「TeamId」として「Harmony」を送信するようSAMLアプリに指示することができます。

1. Azure/ Entra IDのCanvaアプリで、[シングルサインオン（Single Sign-on）] を選択します。
2. [属性とクレーム（Attributes & Claims）] を編集します。
3. クレームを追加し、TeamIdと名前を付けます。
4. [クレーム条件（Claim conditions）] を選択します。
5. 学校を構成するグループの各セットについて、ユーザータイプとして [メンバー（Members）] を選択し、グループを選択します。
6. [属性（Attribute）] を選択し、学校の固有の識別子となる値を入力します。

その後、各学校名および対応する「TeamId」値を含むCSVファイルをCanvaと共有し、申請を通じて送信します。

SAMLアプリでグループクレームを作成し、クレーム値としてグループ名を送信することもできます。この操作を行うには、SAMLアプリで学校ごとに1つのグループを作成する必要があります。グループには、学校のすべてのユーザー（生徒と職員）が含まれている必要があり、該当する学校グループは、クレームの一部として送信される唯一のグループである必要があります。

1. azure/Entra IDのCanvaアプリで、[シングルサインオン（ Single Sign - on ）]を選択します。
2. [属性とクレーム(Attributes & Claims)]を編集します。
3. グループクレームを追加し、TeamIdと名前を付けます。
4. Azure Active Directoryを介してアプリケーションのグループクレームを構成する方法については、次の手順を参照してください。

その後、各学校名および対応する「TeamId」値を含むCSVファイルをCanvaと共有し、申請を通じて送信します。

1. Canvaアカウントにログインします。
2. プロフィールアバターに移動し、
   [設定]を選択します。
3. サイドメニューで、[
   SSOとプロビジョニング]を選択します。
4. [シングルサインオン（ SSO ）]、[管理]、[IdPメタデータの編集]の順に選択します。
5. [SSO]または[ログインURL]フィールドに、ログインURLを貼り付けます。
6. [エンティティID]または[発行者URL]フィールドに、Azure AD/Entra ID識別子を貼り付けます。
7. [X.509 public certificate]フィールドに、SAML Signing Certificate - Base 64 encodedの内容をすべて貼り付けます。
8. [保存して次へ]をクリックします。

設定をテストするには次の2つの簡単な方法があります。

1. プロフィールのアバターに移動し、
   [設定]に移動します。
2. サイドメニューで、[
   SSOとプロビジョニング]を選択します。
3. [シングルサインオン（ SSO ）]で、[管理]、[SSOのテスト]の順に選択します。

1. SSOとプロビジョニングに移動します。
2. [シングルサインオン（ SSO ）]、[管理]、[SSO設定の構成]の順に選択します。
3. [SSO設定]オプションを[すべてのユーザーに対してオプション]に設定します。
4. Canvaアカウントからログアウトします。
5. ログインページで、[メールアドレスで続行する]を選択し、[SSOでログインする]を選択します。

必ず生徒用アカウントと教員用アカウントでテストしてください。次の場合、SSOが正常に設定されたことを確認できます。

• 教員としてログインすると、[人物]ページが表示されます。
• 生徒としてログインしましたが、[人物]ページ が表示されません。

メンバーがログインする方法を選択します。ドメインの全員にSSOを要求することをお勧めします。

1. ホームページからプロフィールアバターに移動し、
   [設定]を選択します。
2. サイドメニューで、[
   SSOとプロビジョニング]を選択します。
3. [シングルサインオン（ SSO ）]、[管理]、[SSO設定の構成]の順に選択します。
4. すべてのSSO設定をすべてのメンバーが必須（ドメインキャプチャ）に設定します
5. [接続の保存]をクリックします。