Canva大学・専門学校（教育機関）のSSOとプロビジョニングを設定する

Canva大学・専門学校（教育機関）は、キャンパス全体に展開するためのCanvaの高等教育向けソリューションです。ユーザーのプロビジョニングと認証は、Canvaを活用した1つの組織を通じてITチームによって一元管理されています。

このガイドは以下を対象としています。

• SSOの設定
• ユーザープロビジョニング
• IT管理者向けのLMS（学習管理システム）統合とトラブルシューティング。

Canvaの左下で、イニシャルを選択します。

• ご自身の Canva大学・専門学校（教育機関）チームに参加していることを確認してください（個人アカウントやCanvaプロアカウントではない）。
• [設定]に移動します。
• 左側のメニューで[組織設定] を選択し、 [SSO＆プロビジョニング]を選択します。

• このオプションが表示されない場合は、Canva連絡先にお問い合わせください。

次に、 [開始する]を選択し、設定ツールへのアクセス許可とアクセス権限を確認します。 [SSOを設定する] を選択して続行してください。

1. SSOで使用するドメインを確認するの下で、ドメインを追加を選択します。
2. ドメインを入力し、送信を選択します。
3. 表示されているTXTレコードのトークンをコピーします。
4. ドメインホスト（例：GoDaddy、Namecheap）で：
   • DNS設定に移動します。
   • トークンを使用してTXTレコードを追加します。
   • 変更を保存します。
5. 確認には24〜72時間かかります。ドメインが確認されると、メールが届きます。
   • ステータスを確認するには、 mxtoolbox.comを使用してください。

Canva追加のガイドについては、以下のIDプロバイダーを選択してください。次のIdPのガイドを用意していますが、IDプロバイダーがSAML 2.0をサポートしている限り、利用できます。

• Azure AD（Entra ID）のSAML構成（Canvaエンタープライズ向け）
• ADFSのSAML設定
• OktaのSAML設定
• G Suite (Google) SAML設定
• ダブルセキュリティSAML設定
• OneログインSAML設定
• SalesforceのSAML設定

ご自身のリソースが上記に記載されていない場合は、以下を使用してください。

• ACS URL/返信URL： https://www.canva.com/login/saml
• エンティティID/識別子： https://www.canva.com
• SAMLアトリビュート： NAMEID、Canvaメール、氏名、姓、 TeamId （児童生徒とのCanva大学・専門学校（教育機関）設定には必須）*
• メタデータテキスト（必要な場合）

SAMLアサーションに署名が含まれていることを確認してください。設定を確認して確認してください。

• 目的：学生と従業員に正しいライセンスを付与します。
• 要件：少なくとも2つの一意の値（例：学生、職員）。
• 既存のIDプロバイダーのグループや属性からマッピングできます。
• Shibbolethでは、CanvaはTeamIdにeduPersonAffiliationスキーマをサポートしています（有効にするにはCanvaサポート/アカウント担当者にお問い合わせください）。

Canvaで：

TeamId設定は、プレミアムライセンスを正しいユーザーグループに付与するために不可欠です（特に児童生徒のライセンスを管理する場合）。

Entra ID（Microsoft 365）を利用している教育機関の場合は、Canvaエンタープライズ アプリケーションに移動してください。 [シングルサインオン]、[アトリビュートとクレーム] の順に選択し、[編集] を選択してTeamIdクレームを設定します。

「TeamId」と「TeamID」の両方をクレーム名として受け付けます。ほとんどのキャンパスでは、オプション1（グループのグループ）が推奨されるベストプラクティスです。オプション2は、適切なユーザーアトリビュートがすでにディレクトリに存在する場合に適した代替手段です。

各Canvaチーム向けに専用のEntertraセキュリティグループを作成します。グループの表示名はTeamIdの値として送信され、Canvaはそれに合わせてユーザーをルーティングします。これは最もクリーンで維持可能な方法です。

1. 属性とクレームで、グループクレームの追加を選択します。
2. クレームにTeamIdという名前を付けます。
3. グループの表示名を送信するように構成します。

重要：この申し立てに含まれるグループは、CanvaのTeamId値と正確に一致する必要があり、他のグループは同じ申し立ての一部として送信されるべきではありません。

ディレクトリに、職員と児童生徒を確実に区別するためのアトリビュート（例：従業員の種類、部署、拡張先のアトリビュートなど）が含まれている場合は、便利なオプションです。

1. 属性とクレームの下で、新しいクレームを追加を選択します。
2. クレームにTeamIdという名前を付けます。
3. ソースを属性に設定し、関連性のあるディレクトリ属性を選択します。
4. 属性値が、Canvaで各チームに設定したTeamId値と一致していることを確認します。

注：このアプローチは機能しますが、CanvaプロIDの請求条件には既知の制限や問題があります（例：条件の挙動、重複したグループメンバーシップのエッジケース）。Canva大学・専門学校（教育機関）展開では、オプション1と2が一般的に信頼性になります。

続行する場合は、バナーグループのメンバーシップに基づいて送信するTeamIdの値を手動で指定してください。

1. 属性 & クレームで、新しいクレームの追加を選択します。
2. クレームに「TeamId」と名前を付けます。
3. クレームの条件を選択します。
4. 各グループ (スタッフ、児童生徒) について、ユーザーの種類をメンバーに設定し、関連するEntraグループを選択し、対応するTeamId値 (例: "staff" または "students") を入力します。
5. クレームを保存します。

教職員と児童生徒が異なるメールドメインを使用している場合に使用します（例：@staff.unversity.eduと@student.niversity.edu）。これにより、メールドメインが抽出され、TeamId値として使用されます。

1. 「属性 & クレーム」の下で、「新しいクレームの追加」を選択します。
2. クレームに「TeamId」という名前を付けます。
3. 「ソース」を「変換」に設定します。
4. 「@」で一致した後に「抽出」変換を適用し、ソースとしてuser.userPrincipalNameまたはuser.mailを使用します。

Canvaに設定されているTeamId値が、抽出されたドメイン文字列と一致していることを確認します。

Oktaを利用する教育機関の場合、TeamIdはSAMLアトリビュートとして設定されています。続行する前に、Canva Oktaアプリケーションが設定されており、OktaグループがCanvaアプリケーションに割り当てられ、CanvaでSAML設定が構成されていることを確認してください。設定の詳細については、CanvaヘルプセンターのOkta SAML設定ガイドをご覧ください。

表示名がCanvaのTeamId値と一致するOktaグループを作成します（例：「Campus-staff」という名前のグループは、TeamId「Campus-staff」にマッピングする）。 Oktaはフィルターを適用し、ログイン時にTeamId値として一致するグループ名を送信します。

1. Oktaで「Directory」に移動し、「Groups」を選択して、一貫した命名規則を使用してグループを作成します（例：すべての「Canva大学・専門学校（教育機関）」グループは「campus-」で始まります）。
2. 「申請」に移動し、「Canva」を選択します。「General」に移動し、次に「設定」の「SAML Settings」に移動して、「編集」を選択します。「Configure SAML」画面に到達するまで「次へ」を選択します。
3. 「Group Attribute Statements」で、以下を追加します。
   1. 名前: TeamId
   2. 「フィルター」: 「Starts with」（で始まる）を選択し、次に命名規則のプレフィックス（例：「campus-」）を入力します。
4. 「保存」。Oktaは、一致するグループ名をTeamId値として送信します。

命名規則を使用できない場合や、特定のグループをOkta IDでマッピングする必要がある場合に使用します。

1. 各グループについて、Oktaで開いてURLからグループID (最後のスラッシュ(/)の後の英数字の文字列) を記録します。
2. 「申請」に移動し、次に「Canva」を選択します。「General」に移動し、次に「SAML設定」を選択し、「編集」を選択します。「次へ」を選択します。
3. 「 Attribute Statements 」(「Group Attribute Statements」ではない) の下で、以下を追加します。
   1. 名前: TeamId
   2. 値: Arrays.toCsvString(getFilteredGroups({"",""}," <a target=\"_blank\" rel=\"noopener\" href=\"http://group.name\">group.name",50))
   3. <group_id_1>と<group_id_2> をステップ1のグループIDに置き換えます。

4. 「次へ」を選択し、次に「仕上げ」を選択します。

Google Workspaceは、 Entra IDのような条件付きグループベースのSAMLをサポートすることはありませんが、Canva大学・専門学校（教育機関）の展開用にTeamIdを入力するための簡単な方法が2つあります。

オプション1：既存の（またはカスタム）ディレクトリのアトリビュートを使用する

職員と学生を区別するための値がすでに追跡されているか、特別な価値を追加したいと思っている場合は最適です。

1. Google管理者でユーザーのプロフィールに移動し、例：「従業員情報」のカスタムスキーマ（従業員ID、役職、部署、建物IDなどの横にある項目など）の下にあるコストセンターのフィールドを見つけます（または追加します）。 ）。
2. そのフィールドにユーザーのグループを特定する値を入力します。例：学生アカウントの場合はコストセンターを学生アカウントに設定し、スタッフアカウントの場合は従業員を設定します。 2つの母集団をすでに区別できる既存のアトリビュートも同様に機能します。コストセンターは、他に見つからない場合に便利な項目です。
3. Google管理者で、[アプリ] > [Webとモバイルアプリ] > [Canva] > [アトリビュートマッピング] に移動します。
4. [アトリビュート] で [マッピングを追加] を選択し、左側のディレクトリフィールド（例：[従業員情報] > [コストセンター] ）を選択し、右側のアプリアトリビュートとしてTeamIdを入力します。
5. 保存。 Googleは、SAMLアサーションでTeamIdアトリビュートとしてこのフィールドの値を送信するようになりました。

オプション2：Googleグループを使用する

ユーザーごとのフィールドではなく、メンバーシップで管理する場合に最適です。

1. Google管理者で2つのグループを作成します。1つはスタッフ用（例：「従業員」）と、1つは児童生徒（例：「児童生徒」）用で、それぞれに関連性のあるユーザーを追加します。
2. 同じCanva SAMLアプリ（アプリ > [Webとモバイルアプリ] > [Canva] > [アトリビュートマッピング] ）で、[グループメンバーシップ]（オプション）までスクロールします。
3. 両方のグループを追加し、アプリ属性をTeamIdに設定します。
4. 保存。 Googleは、各ユーザーのTeamId値として一致するグループ名を送信します。

いずれかの方法で、 Canvaの [組織設定] > [チーム] で、該当するチームに設定されたTeamIdの値（例：「児童生徒」/「従業員」、またはグループ名）を正確に一致させる必要があります。

お使いのIDプロバイダーから取得したもの：

• SAML 2.0 Endpoint (HTTP) （SSO URL）
• IDプロバイダーの発行者（エンティティID）
• 公開証明書（x.509、BASE64コード）

CanvaのSSO設定ページにこれらを入力してください。

1. Canva で、アカウント設定に移動します。次に、SSO & プロビジョニングを選択します。
2. 「SSOを使用する必要があるユーザーの選択」で、「全員のSSOをオプションにする」を選択します。
3. ログアウトし、ログインページでシングルサインオン (SSO) で続行を選択します。
4. 次でテストします。
   • 児童生徒アカウント
   • 従業員アカウント (両方が設定されている場合)

また、設定ページの[SSOのテスト]ボタンを使用することもできます。

オプション：

• チームメンバーのみ（ほとんどのキャンパスで推奨）
  • チーム外の同窓生や他のユーザーがCanvaを引き続き使用できるようにします。
• すべてのメンバーに必須（ドメインキャプチャ）
  • 確認済みドメインのすべてのユーザーは、SSOを使用してログインする必要があります。キャンパス全体に展開するのにおすすめです。

詳細については、 SSOログインと登録コントロールの設定をご覧ください。

SSOが有効（オプションまたは必須）の場合、ユーザーはCanva大学・専門学校（教育機関）チームに参加するにはSSOでログインする必要があります。

CanvaサポートまたはCanva代表者にカスタムSSOログインリンクを依頼してください。

多くの教職員や教職員は、すでに仕事用のメールアドレスに連携された個人のCanvaアカウントを持っているかもしれません。 SSOが有効になると、これらのユーザーは初回のSSOログイン時に既存のアカウントを連携するための1回限りの指示文が表示されます。

• ユーザーは、SCIMまたはプロビジョニングポリシーによって完全に管理できるようになる前に、アカウントの連携を完了する必要があります。公開前にスタッフに通知して、この指示文が期待できることをおすすめします。
• ユーザーが個人用と仕事用のメールCanvaアカウントの両方を持っている場合は、どちらを連携するか選択するよう求められます。連携を解除したアカウントのデザインは失われません。手動でコピーすることはできますが、アカウントをマージすることはできません。
• 連携中にエラーが発生したり、エラーが発生したりした場合は、後で設定から確認することができます。 [ログイン＆セキュリティ] を選択し、[SSOアカウントを連携] を選択します。

ユーザーのプロビジョニングでは、職員と児童生徒をそれぞれのCanvaチームスに追加し、チームを離脱する際に削除する方法を管理します。 3つのオプションがサポートされています。プロビジョニング方法を有効にする前にSSOが完全に設定されている必要があります。

手順：お客様のIDプロバイダーがSCIM APIを使用して、ユーザーグループをCanvaにプッシュします。 Canvaのプロビジョニングポリシーエンジンは、これらのグループメンバーシップを自動的に読み取り、ユーザーを正しいチーム（職員や児童生徒）に、関連性のあるサブグループに自動的に配置します。お使いのIDプロバイダーのグループからユーザーが削除されると、そのユーザーはCanvaから自動的にプロビジョニングされます。

サポート対象のIdP：Microsoft Entra ID、Okta、PingFedate、PingOne。

注： Google WorkspaceではSCIMグループプッシュがサポートされていません。代わりにオプション2または3を使用してください。

SCIMプロビジョニングポリシーは、Canvaで有効にする必要があるオプトイン機能です。アクセスをリクエストするには、 サポート

1. CanvaでSCIMを有効にする: 設定に移動します。SSO & プロビジョニングを選択し、次にプロビジョニングの設定を選択します。「SCIMプロビジョニングを有効にする」をオンにし、SCIM APIトークンをコピーします。

SCIMエンドポイント: https://www.canva.com/_scim/v2 をメモしてください。先に進む前に、Canvaの担当者に連絡して、組織のSCIMプロビジョニングポリシーを有効にしてください。

2. IDプロバイダーでSCIMを構成: IDプロバイダーのプロビジョニング設定でSCIMエンドポイントとAPIトークンを入力します。CanvaヘルプセンターでEntra IDとOktaに関するIDプロバイダー固有のガイドを参照してください。

3. IDプロバイダーからグループをプッシュする：Canvaに同期したいグループ（例: canva-staff、canva-児童生徒）を割り当てます。

4. Canvaでプロビジョニングポリシーを作成する：設定に移動します。セキュリティを選択し、次にプロビジョニングポリシーを選択します。ポリシーを作成を選択します。名前を付け、条件としてIDプロバイダーグループを選択し、ターゲットのCanvaチームスを選択し、グループ同期の動作 (新しいグループを作成するか、既存のCanvaグループと同期します。グループ名は完全に一致する必要があります) を選択します。最低でも2つのポリシーを作成します。1つはスタッフグループをスタッフチームにマッピングするもの、もう1つは児童生徒グループを児童生徒チームにマッピングするものです。

主な挙動：

• プロビジョニング：ユーザーがIDプロバイダーグループから削除されると、そのユーザーはCanvaチームから自動的に削除され、アカウントがロックされます。
• アクセスを復元する：IdP SCIMにユーザーを再追加すると、ユーザーは自動的に再プロビジョニングされます。
• ポリシーを削除すると、そのポリシーによって適用されたすべてのCanvaチーム/グループのメンバーシップが削除されます。慎重に使用してください。
• プロビジョニングポリシーによって作成されたグループはロックされています。 Canvaメンバーを手動で追加または削除することはできません。 IDプロバイダーは信頼できるツールです。
• 既存のCanvaユーザーは、SCIMを使用して完全に管理できるようになる前に、SSOアカウントのリンクを完了する必要があります。 SCIMを有効にする前に、これらのユーザーにSSO経由でログインするように指示文します。
• SCIMは、児童生徒が児童生徒チームにプロビジョニングされた場合に歓迎メールを送信しません。
• プロビジョニングポリシーにより、チームとグループの課題のみが管理され、役割は管理されません。役割の課題は、SAMLロールマッピングで処理するか、手動で設定する必要があります。

仕組み：教育機関は、事前にプロビジョニングするためにユーザーのリストをCanvaに送信します。 Canvaはこれらのユーザーを適切なチームにアップロードします。

次の組織に最適です。IDプロバイダー (例: Google Workspace) がSCIMグループプッシュをサポートしていない組織、または学期開始時の初期チーム構成を行う組織。

CSVアップロードのリクエスト方法：

1. 以下の列（メールアドレス、チーム課題）を含む表計算ツールを作成します。
2. ファイルをCanva担当者に送信するか、Canvaサポートに連絡してください。
3. Canvaがアップロードを処理し、完了後にお知らせします。
4. ユーザーの初回ログインはSSOで行う必要があります。

注意：CSVのアップロードは自動ではありません。学期の切り替えや職員の変更では、新しいCSVをサポートチームに提出する必要があります。 CSVに含まれる既存のCanvaユーザーは、初回のSSOログイン時に既存のアカウントを連携する必要があります。

仕組み：ユーザーは事前に読み込まれません。ユーザーが初めてSSOを使用して認証するときに、CanvaはそのSAMLアトリビュート（特にTeamIdと任意の役割）を読み取り、正しいチームに自動的に追加します。後ほどログインするたびに、チームメンバーのメンバーシップを同期させることができます。

重要：JITが主なプロビジョニング方法である場合、CanvaはSSOログイン管理としてドメインキャプチャ（すべてのメンバーに必須）を強く推奨します。ドメインキャプチャがなければ、ドメインのユーザーはSSOを回避できます。つまり、JITがすべてのユーザーにリーチすることはなく、デプロビジョニングは手動で処理する必要があります。

JIT の仕組み

1. ユーザーがCanvaにアクセスし、お客様のIDプロバイダーを介して認証します。
2. CanvaがSAMLアサーション内のTeamId値を読み取ります。
3. TeamIdが一致するCanvaチームスに、ユーザーが自動的に追加されます。
4. ロール属性が存在する場合、ユーザーには対応するロール（スタッフにはデザイナー、児童生徒にはメンバー）が割り当てられます。
5. 以降のログイン時、CanvaはSAMLアサーションに対してチームのメンバーシップを再検証します。

• 事前のプロビジョニングなし。ユーザーは最初のSSOログイン後にのみCanvaに表示されます。一括コミュニケーションやテンプレートの共有で、まだログインしていないユーザーをターゲットにすることはできません。
• 自動デプロビジョニングなし：IDプロバイダーからユーザーを削除しても、Canvaからユーザーは削除されません。プロビジョニングは手動で、または別のSCIM設定を使用して行う必要があります。
• SCIMが完全に運用可能で、すべてのプロビジョニングを処理するように設定されている場合を除き、JITを無効にしないでください。

Canva大学・専門学校（教育機関）はLTI（学習ツール相互接続）をサポートしており、教職員はCanvaの課題をLMS（学習管理システム）に埋め込んだり、学生はCanvaで作成したデザインをコースの課題として提出したりすることができます。

LTIを設定する前にSSOが完全に設定されている必要があります。プラットフォーム固有の設定手順については、 LMS（学習管理システム）統合ガイドをご覧ください。

ユーザーのメールドメインがCanvaのSSO設定で確認されていない、または既存のCanvaアカウントをSSOにリンクしていません。

ユーザーのメールアドレスのドメインが、CanvaのSSO設定で認証済みのドメインと一致していることを確認します。既存のCanvaアカウントをお持ちの場合は、アカウントのリンクを完了する必要がある場合があります。その場合は、設定 > ログイン&セキュリティに移動し、SSOアカウントをリンクを選択するよう案内してください。

エラーに関する具体的なガイダンスについては、Canva ヘルプセンターのSSO エラーのトラブルシューティングをご覧ください。

IDプロバイダーから送信されたTeamIdの値が、Canvaで設定されているTeamIdと正確には一致しません。 TeamIdの値は大文字と小文字で記入できます。

お客様のIDプロバイダーから送信されたTeamId値が、Canvaで設定されているTeamId（

組織にプロビジョニングポリシーが設定または有効になっていない可能性があります。SCIM APIトークンが無効になっている可能性があります。または、既存のCanvaユーザーが最初のSSOログインを完了していない可能性もあります。

• プロビジョニングポリシーが設定され、IDプロバイダーのグループが正しいCanvaチームスにマッピングされていることを確認します。
• Canva担当者によって、組織のプロビジョニングポリシーが有効化されていることを確認します。
• IDプロバイダーのSCIM APIトークンが最新であることを確認します（特にSCIMが最近切り替えられた場合）。
• 影響を受けるユーザーが既存のCanvaアカウントを持っている場合は、一度SSO経由でログインさせてから、同期を再試行してください。

ユーザーがIDプロバイダーによって再プロビジョニングされていない、またはSCIM同期が完了していません。

IDプロバイダーでユーザーを再追加し、SCIMが同期できるようにしてください。問題が解決しない場合は、Canvaサポートにお問い合わせください。

この学生は教育機関の学生チームにプロビジョニングされていない、またはSSOではなく個人のCanvaアカウントでサインインしています。

児童生徒チームがCanvaによってプロビジョニングされており、児童生徒がSSO経由でログインしていることを確認してください。プレミアム機能にアクセスするには、児童生徒は機関の児童生徒チームのメンバーである必要があります。個人アカウントでログインしてもアクセスは許可されません。

職員と児童生徒がコンテンツを共有できますか？

職員と児童生徒は別のCanvaチームに属しており、コンテンツを直接共有することはできません。ただし、学生と職員（教職員）間で共有リンクを使用することはできます。教職員は、LMS（学習管理システム）の統合を通じてCanvaのテンプレートや課題を学生と共有することもできます。

同窓生は、卒業後もCanvaを引き続き利用できますか？

SSOを[チームのメンバーのみ]に設定すると、Canvaチームから削除されたユーザーはCanva大学・専門学校（教育機関）の機能を利用できなくなりますが、個人のCanvaアカウントは保持されます。すべてのメンバーに必須（ドメインキャプチャ）すると、アクセス権はIdPに紐付けられます。 IdPアクセスが取り消されたユーザーは、機関ドメインでCanvaにアクセスできなくなります。

学生が自分のデザインを保存したい場合は、卒業または卒業前にコンテンツを複製または移行する必要があります。手順の詳細については、 「卒業前にデザインをコピーする」をご覧ください。