Canva大学・専門学校（教育機関）のSSOとプロビジョニングを設定する

Canva大学・専門学校（教育機関）は、キャンパス全体で導入できる高等教育機関向けのCanvaソリューションです。ユーザーのプロビジョニングと認証は、ITチームが単一のCanva組織を通じて一元管理できます。

このガイドでは、次の内容を説明します。

• SSOの設定
• ユーザーのプロビジョニング
• IT管理者向けのLMS（学習管理システム）連携とトラブルシューティング

Canvaの左下にある自分のイニシャルを選択します。

• 個人アカウントやCanvaプロのアカウントではなく、Canva大学・専門学校（教育機関）のチームにいることを確認します。
• 設定に移動します。
• 左側のメニューで組織の設定を選択し、次にSSOとプロビジョニングを選択します。

次に、開始するを選択し、設定ツールへの権限とアクセスを確認します。SSOの設定に進むを選択します。

1. SSOで使用するドメインを確認するの下で、ドメインを追加を選択します。
2. ドメインを入力し、送信を選択します。
3. 表示されているTXTレコードのトークンをコピーします。
4. ドメインホスト（例：GoDaddy、Namecheap）で：
   • DNS設定に移動します。
   • トークンを使用してTXTレコードを追加します。
   • 変更を保存します。
5. 確認には24〜72時間かかります。ドメインが確認されると、メールが届きます。
   • ステータスを確認するには、 mxtoolbox.comを使用してください。

以下からお使いのIDプロバイダーを選択すると、Canvaの追加方法を確認できます。次のIDプロバイダーのガイドを用意していますが、お使いのIDプロバイダーがSAML 2.0に対応していれば、どれでもご利用いただけます。

• Azure AD / Entra IDのSAML設定（Enterprise向け）
• ADFSのSAML設定
• OktaのSAML設定
• GSuite（Google）のSAML設定
• Duo SecurityのSAML設定
• OneLoginのSAML設定
• SalesforceのSAML設定

上記にお使いのプロバイダーがない場合は、次の値を使用してください。

• ACS URL / Reply URL： https://www.canva.com/login/saml
• エンティティID / 識別子： https://www.canva.com
• SAML属性： NameID、Email、FirstName、LastName、TeamId （学生を含むCanva大学・専門学校（教育機関）の設定では必須）*
• メタデータテキスト（必要な場合）

SAMLアサーションに署名が含まれていることを確認してください。設定を確認して検証します。

• 目的：学生と教職員を区別し、それぞれに適切なライセンスを割り当てます。
• 要件：少なくとも2つの一意の値（例：学生、教職員）が必要です。
• 既存のIDプロバイダーのグループや属性からマッピングできます。
• Shibbolethでは、TeamIdにeduPersonAffiliationスキーマを使用できます（有効化するにはCanvaサポートまたはアカウント担当者にお問い合わせください）。

Canvaでの操作：

適切なユーザーグループ（特に学生のライセンス管理）にプレミアムライセンスを付与するには、TeamIdの設定が不可欠です。

Entra ID（Microsoft 365）を使用している教育機関では、Canvaのエンタープライズアプリケーションに移動します。「シングルサインオン」、「属性とクレーム」の順に選択し、「編集」を選択してTeamIdクレームを設定します。

クレーム名には「TeamId」と「TeamID」のどちらも使用できます。多くのキャンパスでの導入では、オプション1（グループクレーム）が推奨されるベストプラクティスです。オプション2は、ディレクトリに適切なユーザー属性がすでにある場合に有効な代替方法です。

各Canvaチーム向けに専用のEntertraセキュリティグループを作成します。グループの表示名はTeamIdの値として送信され、Canvaはそれに合わせてユーザーをルーティングします。これは最もクリーンで維持可能な方法です。

1. 属性とクレームで、グループクレームの追加を選択します。
2. クレームにTeamIdという名前を付けます。
3. グループの表示名を送信するように構成します。

重要：このクレームに含めるグループは、CanvaのTeamIdの値と完全に一致している必要があります。また、同じクレームに他のグループを含めないでください。

ディレクトリに、職員と児童生徒を確実に区別するためのアトリビュート（例：従業員の種類、部署、拡張先のアトリビュートなど）が含まれている場合は、便利なオプションです。

1. 属性とクレームの下で、新しいクレームを追加を選択します。
2. クレームにTeamIdという名前を付けます。
3. ソースを属性に設定し、関連性のあるディレクトリ属性を選択します。
4. 属性値が、Canvaで各チームに設定したTeamId値と一致していることを確認します。

注：このアプローチは機能しますが、CanvaプロIDの請求条件には既知の制限や問題があります（例：条件の挙動、重複したグループメンバーシップのエッジケース）。Canva大学・専門学校（教育機関）展開では、オプション1と2が一般的に信頼性になります。

続行する場合は、バナーグループのメンバーシップに基づいて送信するTeamIdの値を手動で指定してください。

1. 属性 & クレームで、新しいクレームの追加を選択します。
2. クレームに「TeamId」と名前を付けます。
3. クレームの条件を選択します。
4. 各グループ (スタッフ、児童生徒) について、ユーザーの種類をメンバーに設定し、関連するEntraグループを選択し、対応するTeamId値 (例: "staff" または "students") を入力します。
5. クレームを保存します。

教職員と児童生徒が異なるメールドメインを使用している場合に使用します（例：@staff.unversity.eduと@student.niversity.edu）。これにより、メールドメインが抽出され、TeamId値として使用されます。

1. 「属性 & クレーム」の下で、「新しいクレームの追加」を選択します。
2. クレームに「TeamId」という名前を付けます。
3. 「ソース」を「変換」に設定します。
4. 「@」で一致した後に「抽出」変換を適用し、ソースとしてuser.userPrincipalNameまたはuser.mailを使用します。

Canvaで設定したTeamIdの値が、抽出されたドメイン文字列と一致していることを確認してください。

Oktaを使用している教育機関では、TeamIdをSAML属性として設定します。作業を進める前に、CanvaのOktaアプリが設定済みであること、OktaのグループがCanvaアプリに割り当てられていること、CanvaでSAMLの設定が完了していることを確認してください。設定方法の詳細は、CanvaヘルプセンターのOktaのSAML設定ガイドをご覧ください。

表示名がCanvaのTeamId値と一致するOktaグループを作成します（例：「Campus-staff」という名前のグループは、TeamId「Campus-staff」にマッピングする）。 Oktaはフィルターを適用し、ログイン時にTeamId値として一致するグループ名を送信します。

1. Oktaで「Directory」に移動し、「Groups」を選択して、一貫した命名規則を使用してグループを作成します（例：すべての「Canva大学・専門学校（教育機関）」グループは「campus-」で始まります）。
2. 「申請」に移動し、「Canva」を選択します。「General」に移動し、次に「設定」の「SAML Settings」に移動して、「編集」を選択します。「Configure SAML」画面に到達するまで「次へ」を選択します。
3. 「Group Attribute Statements」で、以下を追加します。
   1. 名前: TeamId
   2. 「フィルター」: 「Starts with」（で始まる）を選択し、次に命名規則のプレフィックス（例：「campus-」）を入力します。
4. 「保存」。Oktaは、一致するグループ名をTeamId値として送信します。

命名規則を使用できない場合や、特定のグループをOkta IDでマッピングする必要がある場合に使用します。

1. 各グループについて、Oktaで開いてURLからグループID (最後のスラッシュ(/)の後の英数字の文字列) を記録します。
2. 「申請」に移動し、次に「Canva」を選択します。「General」に移動し、次に「SAML設定」を選択し、「編集」を選択します。「次へ」を選択します。
3. 「 Attribute Statements 」(「Group Attribute Statements」ではない) の下で、以下を追加します。
   1. 名前: TeamId
   2. 値: Arrays.toCsvString(getFilteredGroups({"",""}," <a target=\"_blank\" rel=\"noopener\" href=\"http://group.name\">group.name",50))
   3. <group_id_1>と<group_id_2> をステップ1のグループIDに置き換えます。

4. 「次へ」を選択し、次に「仕上げ」を選択します。

Google Workspaceは、Entra IDのような条件付きのグループベースのSAMLクレームに対応していませんが、Canva大学・専門学校（教育機関）の導入でTeamIdを設定する方法は2つあります。

スタッフと学生を区別する値をすでに管理している場合や、新たに追加してもよい場合に最適です。

1. Google 管理コンソールでユーザーのプロフィールを開き、「従業員情報」カスタムスキーマの「コストセンター」など、カスタム属性を確認（または追加）します（従業員 ID、役職、部署、ビルディング ID などのフィールドと並んでいます）。
2. そのフィールドに、ユーザーのグループを識別する値を入力します。たとえば、生徒のアカウントの「コストセンター」には「生徒」、職員のアカウントには「従業員」を設定します。すでに2つのユーザー層を区別できる属性があれば、それを使ってもかまいません。他に適切なフィールドがない場合は、「コストセンター」が便利です。
3. Google 管理コンソールで、[アプリ] > [ウェブアプリとモバイルアプリ] > [Canva] > [属性のマッピング] に移動します。
4. [属性] で [マッピングを追加] を選択し、左側でディレクトリのフィールド（例：[従業員の詳細] > [コストセンター]）を選択して、右側のアプリ属性に「TeamId」と入力します。
5. 保存します。Google は、以降すべての SAML アサーションで、そのフィールドの値を TeamId 属性として送信します。

ユーザーごとのフィールドではなく、メンバーシップで管理したい場合に最適です。

1. Google 管理コンソールで2つのグループを作成します。1つはスタッフ用（例：「Employees」）、もう1つは学生用（例：「Students」）とし、それぞれに該当するユーザーを追加します。
2. 同じCanva SAMLアプリ（アプリ > ウェブアプリとモバイルアプリ > Canva > 属性マッピング）で、[グループメンバーシップ]（省略可）までスクロールします。
3. 両方のグループを追加し、[アプリ属性]をTeamIdに設定します。
4. 保存します。Googleは各ユーザーについて、該当するグループ名をTeamIdの値として送信します。

いずれの場合も：送信する値（例：「学生」/「教職員」またはグループ名）は、Canvaの「組織の設定」>「チーム」で該当するチームに設定されているTeamIdの値と完全に一致している必要があります。

IDプロバイダーから次の情報を取得します。

• SAML 2.0エンドポイント（HTTP）（SSO URL）
• IDプロバイダーの発行者（エンティティID）
• 公開証明書（x.509、Base64エンコード）

これらの情報をCanvaのSSO設定ページに入力します。

1. Canva で、アカウント設定に移動します。次に、SSO & プロビジョニングを選択します。
2. 「SSOを使用する必要があるユーザーの選択」で、「全員のSSOをオプションにする」を選択します。
3. ログアウトし、ログインページでシングルサインオン (SSO) で続行を選択します。
4. 次でテストします。
   • 児童生徒アカウント
   • 従業員アカウント (両方が設定されている場合)

設定ページのSSOをテストボタンも使用できます。

次のオプションがあります。

• チームのメンバーのみ（ほとんどのキャンパスにおすすめ）
  • 卒業生など、チーム外のユーザーもCanvaを引き続き利用できます。
• 全員に必須（ドメインキャプチャ）
  • 最もシンプルなログイン方法です。確認済みドメインのユーザーは全員、SSOでログインする必要があります。キャンパス全体に導入する場合におすすめです。

詳しくはSSOログインと登録の設定をご覧ください。

SSOを有効にすると（任意または必須）、ユーザーはCanva大学・専門学校（教育機関）のチームに参加する際にSSOでログインする必要があります。

CanvaサポートまたはCanvaの担当者に、カスタムSSOログインリンクをお問い合わせください。

教職員の多くは、仕事用のメールアドレスに紐づいた個人用Canvaアカウントをすでに持っている場合があります。SSOを有効にすると、該当するユーザーには、初回のSSOログイン時に既存のアカウントを連携するための確認画面が一度だけ表示されます。

• ユーザーをSCIMやプロビジョニングポリシーで完全に管理するには、事前にアカウントの連携を完了する必要があります。この確認画面が表示されることをユーザーが把握できるよう、運用開始前に教職員へ知らせておくことをおすすめします。
• 個人用と仕事用の両方のメールアドレスでCanvaアカウントを持っているユーザーには、どちらを連携するか選択するよう求められます。連携されていないアカウントのデザインが失われることはありません。手動で複製できますが、アカウントを統合することはできません。
• アカウントの連携をスキップした場合や、連携中にエラーが発生した場合は、後から「設定」からやり直せます。「ログインとセキュリティ」を選択し、次に「SSOアカウントを連携」を選択してください。

ユーザーのプロビジョニングでは、教職員と学生をそれぞれのCanvaチームに追加する方法や、離職・退学などで所属を離れた際に削除する方法を管理します。3つの方法に対応しています。プロビジョニング方法を有効にする前に、SSOの設定を完了してください。

手順：お客様のIDプロバイダーがSCIM APIを使用して、ユーザーグループをCanvaにプッシュします。 Canvaのプロビジョニングポリシーエンジンは、これらのグループメンバーシップを自動的に読み取り、ユーザーを正しいチーム（職員や児童生徒）に、関連性のあるサブグループに自動的に配置します。お使いのIDプロバイダーのグループからユーザーが削除されると、そのユーザーはCanvaから自動的にプロビジョニングされます。

サポート対象のIdP：Microsoft Entra ID、Okta、PingFedate、PingOne。

注： Google WorkspaceではSCIMグループプッシュがサポートされていません。代わりにオプション2または3を使用してください。

SCIMプロビジョニングポリシーは、Canvaで有効にする必要があるオプトイン機能です。アクセスをリクエストするには、 サポート

1. CanvaでSCIMを有効にする: 設定に移動します。SSO & プロビジョニングを選択し、次にプロビジョニングの設定を選択します。「SCIMプロビジョニングを有効にする」をオンにし、SCIM APIトークンをコピーします。

SCIMエンドポイント: https://www.canva.com/_scim/v2 をメモしてください。先に進む前に、Canvaの担当者に連絡して、組織のSCIMプロビジョニングポリシーを有効にしてください。

2. IDプロバイダーでSCIMを構成: IDプロバイダーのプロビジョニング設定でSCIMエンドポイントとAPIトークンを入力します。CanvaヘルプセンターでEntra IDとOktaに関するIDプロバイダー固有のガイドを参照してください。

3. IDプロバイダーからグループをプッシュする：Canvaに同期したいグループ（例: canva-staff、canva-児童生徒）を割り当てます。

4. Canvaでプロビジョニングポリシーを作成する：設定に移動します。セキュリティを選択し、次にプロビジョニングポリシーを選択します。ポリシーを作成を選択します。名前を付け、条件としてIDプロバイダーグループを選択し、ターゲットのCanvaチームスを選択し、グループ同期の動作 (新しいグループを作成するか、既存のCanvaグループと同期します。グループ名は完全に一致する必要があります) を選択します。最低でも2つのポリシーを作成します。1つはスタッフグループをスタッフチームにマッピングするもの、もう1つは児童生徒グループを児童生徒チームにマッピングするものです。

主な動作：

• プロビジョニング解除：ユーザーがIDプロバイダーのグループから削除されると、Canvaのチームから自動的に削除され、アカウントがロックされます。
• アクセスの復元：IDプロバイダーでユーザーを再度追加すると、SCIMによって自動的にプロビジョニングされます。
• ポリシーを削除すると、そのポリシーによって割り当てられたCanvaのチームやグループへのメンバーシップもすべて削除されます。ご注意ください。
• プロビジョニングポリシーによって作成されたグループはロックされ、Canvaのメンバーが手動で追加・削除することはできません。IDプロバイダーが正しい情報の管理元となります。
• 既存のCanvaユーザーをSCIMで完全に管理するには、SSOアカウントの連携を完了する必要があります。SCIMを有効にする前に、これらのユーザーにSSOでログインするよう案内してください。
• 学生チームに学生をプロビジョニングしても、SCIMからウェルカムメールは送信されません。
• プロビジョニングポリシーで管理できるのはチームとグループの割り当てのみで、ロールは対象外です。ロールの割り当ては、SAMLのロールマッピングを通じて行うか、手動で設定してください。

仕組み：教育機関は、事前にプロビジョニングするためにユーザーのリストをCanvaに送信します。 Canvaはこれらのユーザーを適切なチームにアップロードします。

次の組織に最適です。IDプロバイダー (例: Google Workspace) がSCIMグループプッシュをサポートしていない組織、または学期開始時の初期チーム構成を行う組織。

CSVアップロードのリクエスト方法：

1. 以下の列（メールアドレス、チーム課題）を含む表計算ツールを作成します。
2. ファイルをCanva担当者に送信するか、Canvaサポートに連絡してください。
3. Canvaがアップロードを処理し、完了後にお知らせします。
4. ユーザーの初回ログインはSSOで行う必要があります。

注意：CSVのアップロードは自動化されていません。学期の切り替えや教職員の異動時には、新しいCSVをサポートチームに送信してください。CSVに含まれる既存のCanvaユーザーには、初回のSSOログイン時に既存アカウントの連携を求める画面が表示されます。

仕組み：ユーザーは事前に読み込まれません。ユーザーが初めてSSOを使用して認証するときに、CanvaはそのSAMLアトリビュート（特にTeamIdと任意の役割）を読み取り、正しいチームに自動的に追加します。後ほどログインするたびに、チームメンバーのメンバーシップを同期させることができます。

重要：JITが主なプロビジョニング方法である場合、CanvaはSSOログイン管理としてドメインキャプチャ（すべてのメンバーに必須）を強く推奨します。ドメインキャプチャがなければ、ドメインのユーザーはSSOを回避できます。つまり、JITがすべてのユーザーにリーチすることはなく、デプロビジョニングは手動で処理する必要があります。

JIT の仕組み

1. ユーザーがCanvaにアクセスし、お客様のIDプロバイダーを介して認証します。
2. CanvaがSAMLアサーション内のTeamId値を読み取ります。
3. TeamIdが一致するCanvaチームスに、ユーザーが自動的に追加されます。
4. ロール属性が存在する場合、ユーザーには対応するロール（スタッフにはデザイナー、児童生徒にはメンバー）が割り当てられます。
5. 以降のログイン時、CanvaはSAMLアサーションに対してチームのメンバーシップを再検証します。

• 事前プロビジョニングには対応していません。ユーザーがCanvaに表示されるのは、初回のSSOログイン後です。まだログインしていないユーザーを対象に、一斉連絡を送ったりテンプレートを共有したりすることはできません。
• 自動のプロビジョニング解除には対応していません。IDプロバイダーからユーザーを削除しても、Canvaからは削除されません。手動でプロビジョニングを解除するか、別途SCIMを設定する必要があります。
• SCIMが完全に稼働し、すべてのプロビジョニングに対応できるよう設定されている場合を除き、JITを無効にしないでください。

Canva大学・専門学校（教育機関）はLTI（学習ツール相互運用性）に対応しており、教職員はCanvaの課題をLMS（学習管理システム）に埋め込み、学生はCanvaのデザインを課題として提出できます。

LTIを設定する前に、SSOの設定を完了してください。プラットフォームごとの設定方法については、LMS連携ガイドをご覧ください。

ユーザーのメールドメインがCanvaのSSO設定で確認されていない、または既存のCanvaアカウントをSSOにリンクしていません。

ユーザーのメールアドレスのドメインが、CanvaのSSO設定で認証済みのドメインと一致していることを確認します。既存のCanvaアカウントをお持ちの場合は、アカウントのリンクを完了する必要がある場合があります。その場合は、設定 > ログイン&セキュリティに移動し、SSOアカウントをリンクを選択するよう案内してください。

エラーに関する具体的なガイダンスについては、Canva ヘルプセンターのSSO エラーのトラブルシューティングをご覧ください。

IDプロバイダーから送信されたTeamIdの値が、Canvaで設定されているTeamIdと正確には一致しません。 TeamIdの値は大文字と小文字で記入できます。

お客様のIDプロバイダーから送信されたTeamId値が、Canvaで設定されているTeamId（

組織にプロビジョニングポリシーが設定または有効になっていない可能性があります。SCIM APIトークンが無効になっている可能性があります。または、既存のCanvaユーザーが最初のSSOログインを完了していない可能性もあります。

• プロビジョニングポリシーが設定され、IDプロバイダーのグループが正しいCanvaチームスにマッピングされていることを確認します。
• Canva担当者によって、組織のプロビジョニングポリシーが有効化されていることを確認します。
• IDプロバイダーのSCIM APIトークンが最新であることを確認します（特にSCIMが最近切り替えられた場合）。
• 影響を受けるユーザーが既存のCanvaアカウントを持っている場合は、一度SSO経由でログインさせてから、同期を再試行してください。

ユーザーがIDプロバイダーによって再プロビジョニングされていない、またはSCIM同期が完了していません。

IDプロバイダーでユーザーを再追加し、SCIMが同期できるようにしてください。問題が解決しない場合は、Canvaサポートにお問い合わせください。

この学生は教育機関の学生チームにプロビジョニングされていない、またはSSOではなく個人のCanvaアカウントでサインインしています。

児童生徒チームがCanvaによってプロビジョニングされており、児童生徒がSSO経由でログインしていることを確認してください。プレミアム機能にアクセスするには、児童生徒は機関の児童生徒チームのメンバーである必要があります。個人アカウントでログインしてもアクセスは許可されません。

教職員と学生は互いにコンテンツを共有できますか？

教職員と学生は別々のCanvaチームに所属しているため、コンテンツを直接共有することはできません。ただし、学生と教職員の間で共同作業用リンクを使用できます。また、LMS連携を通じて、教職員はCanvaのテンプレートや課題を学生と共有できます。

卒業生は卒業後もCanvaを利用できますか？

SSOをチームのメンバーのみに設定している場合、Canvaのチームから削除されたユーザーはCanva大学・専門学校（教育機関）の機能を利用できなくなりますが、個人用Canvaアカウントは引き続き利用できます。全員に必須（ドメインキャプチャ）に設定している場合、アクセスはIDプロバイダーに紐づきます。IDプロバイダーへのアクセス権を取り消されたユーザーは、所属機関のドメインでCanvaを利用できなくなります。

デザインを引き続き利用したい学生は、卒業または所属機関を離れる前に、コンテンツを複製または移行してください。詳しい手順は 卒業前にデザインを複製するをご覧ください。