4PS Construct en ESIS koppel je aan Microsoft Entra ID door de rechten in de vakapplicatie te laten volgen uit functie en werkmaatschappij of school in Entra ID, en de toegang te sluiten zodra het Entra-account uitgaat. Een standaard SCIM-koppeling kent de eigen regels van deze applicaties niet, zoals permission sets per administratie in 4PS en een aanstelling met taakstelling per school in ESIS.
In een vakapplicatie zit het werk zelf: boekingen en goedkeuringen in 4PS, leerlinggegevens in ESIS van Rovict. Wie welke administratie of school ziet, hangt af van functie en vestiging. Dat is meer dan een account aan of uit. Zonder koppeling kent een beheerder rechten met de hand toe, per administratie of per school. Een uitgeschakeld account kan dan in de vakapplicatie nog actief staan, terwijl daar juist gevoelige gegevens zitten.
4PS Construct: rechten per functie en werkmaatschappij
4PS Construct draait op Microsoft Dynamics 365 Business Central. Business Central kan zelf al rechten koppelen aan Entra-groepen. Werken jullie met groepen per rol en per administratie, dan is dat vaak genoeg.
Het wordt anders als functie en werkmaatschappij de rechten moeten bepalen. Dan kent KoppelHet de permission sets toe die bij die combinatie uit Entra ID horen, in plaats van groepen die IT met de hand bijhoudt. Elke dag vergelijkt KoppelHet de toegekende rechten in 4PS met de rollentabel en meldt afwijkingen. Een recht dat iemand er met de hand bij kreeg, valt zo op.
Twee punten verschillen per installatie:
- Cloud. In de cloudversie van 4PS bestaat een gebruiker pas na aanmaken in Microsoft 365. Het aanmaken laat KoppelHet aan 4PS zelf. De koppeling begint zodra de gebruiker in 4PS staat.
- On-premises. Entra-groepen zijn alleen vanaf bepaalde Business Central-versies als beveiligingsgroep te gebruiken. Op oudere versies kent KoppelHet de permission sets per gebruiker toe.
De Business Central-licentie blijft in Microsoft 365, toegewezen door IT of jullie partner. Zonder licentie kan de gebruiker niet aanmelden en komt hij ook niet in 4PS.
ESIS: een account op de juiste school
In ESIS is een gebruiker gekoppeld aan een medewerker, en die medewerker heeft een aanstelling en taakstelling op een school. De koppeling maakt eerst de medewerker aan met aanstelling en taakstelling op de school die bij de groep in Entra ID hoort. Daarna koppelt ze de gebruiker.
Werkt een leerkracht op twee scholen, dan staat hij in twee schoolgroepen in Entra ID. In ESIS krijgt hij een taakstelling op beide vestigingen, met één gebruiker.
Twee afspraken maak je vooraf:
- Het e-mailadres. ESIS geeft medewerkers door aan applicaties als Basispoort en het ouderportaal. Het e-mailadres uit Entra ID moet daarom kloppen voordat de medewerker in ESIS komt.
- Invallers en stagiairs. We spreken af welke groep in Entra ID hen in ESIS brengt.
Vertrek: de toegang gaat direct dicht
Bij vertrek telt de dag waarop het account in Entra ID wordt uitgeschakeld. Business Central zet een uitgeschakeld Entra-account pas om als een beheerder de gebruikers bijwerkt. KoppelHet zet de 4PS-gebruiker op uitgeschakeld zodra Entra ID dat meldt, en verwijdert nooit.
In ESIS blokkeert KoppelHet de gebruiker op hetzelfde moment, zodra het account in Entra ID wordt uitgeschakeld. Een latere opschoning is dan niet meer nodig om de toegang te sluiten.
Entra ID of het HR-systeem als bron
Entra ID als bron is handig als IT de accounts al goed bijhoudt en de groepen per school of rol kloppen. Kan in plaats daarvan het HR-systeem de bron zijn, bijvoorbeeld AFAS of YouForce, dan komen aanstelling en functie daar rechtstreeks uit. Dat kan later als uitbreiding. Wat er komt kijken bij HR als bron voor accounts en rechten, lees je bij HR als bron.
Hoe KoppelHet dit bouwt
KoppelHet bouwt de koppeling per organisatie op het eigen platform, met Entra ID als bron en 4PS Construct of ESIS als doel. Reken als indicatie op twee tot vier weken tot livegang.
Bekijk de combinaties Entra ID en 4PS Construct en Entra ID en ESIS. Lees verder over vakapplicaties in bouw en onderwijs, bekijk de hele pijler gebruikersbeheer in applicaties, of lees over identity en access management in het onderwijs.