PingFederate SAML設定

チームにシングルサインオン（SSO）を設定する前に、次のことを確認してください。

1. PingFederateアカウントがあります。
2. 確認済みドメインと管理者/所有者アクセス権を持つCanvaアカウントが利用可能です。
3. ユーザーの利用可能なデータストア（LDAPなど）があります。データストアの設定は会社によって異なる可能性があるため、設定の詳細については説明しません。

上記の要件を満たしたら、チームのSSOの設定を開始できます。

1. まだ行っていない場合は、[システム]、[データストア] の順に移動して、データストアを作成します。
2. 目的のデータソースが存在しない場合は、[新しいデータストアを作成] を選択します。データソースには、ユーザーとその属性（名前、メールなど）のリストが保存されます。

1. まだの場合は、[システム]、[パスワード検証機能]、[新しいインスタンスを作成] の順に移動して、パスワード検証機能を作成します。すでにパスワード検証機能をお持ちの場合は、それがデータソースと互換性があることを確認してください。
2. パスワード検証機能コントラクトに名前/姓、名、ユーザー名/ID/UPN、およびメールが含まれていることを確認します。

1. [アプリケーション]、[SP連携]、[連携を作成] の順に選択して、新しい連携を作成します。

2. [テンプレートを使用しない] を選択します。

3. [連携タイプ] タブで、[ブラウザSSO] を選択し、ドロップダウンメニューから [SAML2.0] を選択します。

4. [連携オプション] タブで、[ブラウザSSO] を選択します。

5. [メタデータをインポート] タブで [URL] を選択し、[パートナーメタデータURLの管理] を選択します。

6. [新しいURLを追加] を選択します。

7. 名前とURLを「https://www.canva.com/_saml/metadata.xml」として入力します。[メタデータ署名を検証する] オプションのチェックを必ず外します。

8. [メタデータをロード] を選択します。値が正しいかどうかを確認し、[保存] を選択します。

9. ドロップダウンメニューから指定した名前を選択し、[メタデータの読み込み] を選択して、[次へ] を選択します。

10. 一般的な情報を追加し、連携IDが表示されているとおりであることを確認します。アプリケーションに名前を付け、要件に応じてトランザクションログを変更します。

1. PingFederateで、[Browser SSO（ブラウザSSO）] を選択し、[Configure Browser SSO（ブラウザSSOを設定）] を選択します。

2. [SAML profiles（SAMLプロファイル）] タブで、[IDP-initiated SSO（IDP開始SSO）] および [SP-initiated SSO（SP開始SSO）] の両方を選択します。

3. [Assertion lifetime（アサーションの有効期間）] タブで、好みに応じて値を変更します。

4. [Assertion Creation（アサーションの作成）] で、[Configure Assertion Creation（アサーションの作成を設定）] を選択します。

5. [Standard（スタンダード）] を選択します。

6. 以下のスクリーンショットに示すように属性をマップします。

7. 新しいアダプターインスタンスを作成するか、既存のアダプターインスタンスを選択します。既存のアダプターインスタンスがすでに存在する場合は、Canvaが必要な属性が利用可能であることを確認してください。
8. 図のようにコントラクトを延長します。属性はデータストアから取得されることに注意してください。別のデータソースを使用している場合、または同じ名前の属性が存在しない場合は、これを適宜更新してください。必要な属性としてメール、名、姓があることを確認してください。

9. 一意のキーとして、IDを選択します。要件に応じてログオプションを変更します。

10. アダプターコントラクトを設定するか、すでにコントラクトがある場合はそれを選択します。Canvaが必要な属性は、メール、名、姓です。それに応じてマッピングし、フィルター値を入力してください。

11. ドロップダウンメニューから、新しく作成したアダプターまたは既存のアダプターを選択します。

12. [Use only adapter contract values in SAML assertion（SAMLアサーションでアダプターコントラクト値のみを使用）] を選択します。

13. 以下に示すようにマッピングを調整します。発行基準を設けたい場合は、ここに追加します。

14. [Protocol settings（プロトコル設定）] で、[Configure protocol settings（プロトコル設定の設定）] を選択します。

15. ログインのエンドポイントURLが表示されているとおりであるかどうかを確認します。

16. [SOAP] および [Artifact（アーティファクト）] のチェックを外します。

17. [Always sign assertion（常にアサーションに署名する）] を選択します。

18. [Encryption（暗号化）] タブで、[None（なし）] を選択します。

19. 値を確認し、[Save（保存）] を選択します。
20. [Credentials（資格情報）] タブで、[Configure credentials（資格情報の設定）] を選択します。

21. 新しい証明書を作成するか、既存のアクティブな証明書を選択します。

1. PingFederateで、[Applications（アプリケーション）]、[SP connections（SP連携）] の順に移動します。新しく作成された連携が表示されるはずです。
2. [Export metadata（メタデータのエクスポート）] を選択します。

3. [certificates（証明書）] で、以前に使用した証明書を選択します。連携で使用される証明書が、エクスポートされたメタデータの署名に使用されたものと同じであることを確認します。
4. [Export（エクスポート）] を選択し、ファイルを保存します。

5. エクスポートされたファイルを開き、[Certificate value（証明書の値）] および [SSO POST binding value（SSO POSTバインディング値）] をメモします。

6. [System（システム）]、[Protocol settings（プロトコル設定）]、[Federation Info.（フェデレーション情報）] に移動します。エクスポートされたメタデータからのPOSTバインディングURLを入力します。

1. Canvaアカウントにログインします。
2. ホームページで、[アカウントプロフィール]を選択してメニューを開きます。
3. [設定]を選択します。
4. サイドメニューから[
   SSOとプロビジョニング]をクリックします。
5. [ドメインの確認]で、チームのドメインを入力します。
6. [ドメインの送信]をクリックします。その後、DNSトークンが提供されます。
7. ドメインホストを使用して、DNSトークンのTXTレコードを作成します。 この手順では、ITチームからの支援が必要となる場合があります。

1. Canvaアカウントにログインします。
2. ホームページで、[アカウントプロフィール]を選択してメニューを開きます。
3. [設定]を選択します。
4. サイドメニューから[
   SSOとプロビジョニング]をクリックします。
5. [SAML]で、PingFederateから次の詳細を入力します。
6. [SAML 2.0エンドポイント（ HTTP ）]フィールドに、IDプロバイダーのシングルサインオンサービスURLを貼り付けます。 これは、エクスポートされたメタデータから取得できます。
7. [IDプロバイダーの発行者]フィールドに、発行者IDを貼り付けます。 これは、エクスポートされたメタデータから取得できます。
8. [公開証明書]フィールドに、ダウンロードしたメタデータのX.509証明書セクションの内容をすべて貼り付けます。

9. [変更を保存]をクリックします。

1. ホームページで、[アカウントプロフィール]を選択してメニューを開きます。
2. [設定]を選択します。
3. サイドメニューから[
   SSOとプロビジョニング]をクリックします。
4. [SSOを使用する必要があるユーザーの選択]で、[SSOをすべての人が利用可能]を選択します。
5. Canvaアカウントからログアウトします。
6. SSOを使用して再度ログインします。 ログインページで、[メールアドレスで続行]を選択し、[シングルサインオン（ SSO ）で続行する]リンクを選択します。

チームのアカウントにリダイレクトされた場合、SSOは正常に設定されています。

SSOで管理されたチームにメンバーがログインする方法を選択します。

1. ホームページで、[アカウントプロフィール]を選択してメニューを開きます。
2. [Settings （設定）]を選択します。
3. サイドメニューから[
   SSOとプロビジョニング]をクリックします。
4. [SSOを使用する必要があるユーザーの選択]で、オプションを選択します。 各オプションの詳細については、「ログインと登録コントロールを設定する」をご覧ください。
5. [変更を保存]をクリックします。