Identity en access management
ADP iHCM OneLogin koppeling: OneLogin-gebruikers uit ADP iHCM, met rollen per land
Met een koppeling tussen ADP iHCM en OneLogin krijgt elke medewerker uit iHCM een OneLogin-gebruiker met functie, afdeling, land en leidinggevende, en wordt die gebruiker geschorst op de vertrekdatum die in iHCM staat. OneLogin heeft geen ADP-directory; KoppelHet verwerkt de meldingen van ADP en schrijft via de OneLogin-API, zodat jullie mappings per land de rollen geven.
Wat de koppeling doet
Organisaties die ADP iHCM gebruiken voor medewerkers in meerdere Europese landen en OneLogin als identity provider, maken OneLogin-gebruikers vaak per land met de hand aan. Een vertrek dat HR in iHCM verschuift, wordt in OneLogin niet meer aangepast, en een terugkerende collega krijgt een tweede gebruiker.
- Met ADP zetten we de Worker API en de meldingen aan in de Consumer Application Registry.
- In OneLogin maakt de beheerder een API-credential met Manage Users en het eigen attribuut voor het land.
- Met jullie leggen we vast welke mappings per land, afdeling en functie rollen geven.
- Bij livegang koppelen we bestaande OneLogin-gebruikers aan hun workerID.
- Daarna verwerkt KoppelHet elke melding en plant het schorsen op de actuele vertrekdatum.
Waar je op let bij ADP iHCM en OneLogin
- OneLogin noemt Workday, UKG, Namely, BambooHR, HiBob en Sapling als HR-bronnen voor provisioning; ADP staat er niet bij. KoppelHet gebruikt de API van OneLogin, zodat de rollen toch via jullie eigen mappings in OneLogin lopen.
- ADP schrijft dat niet iedere medewerker in iHCM een associateOID heeft, terwijl het workerID er altijd is. KoppelHet zet het workerID in external_id van OneLogin en zoekt gebruikers daarop terug, zodat ook medewerkers zonder associateOID een gebruiker krijgen.
- Bij een herindiensttreding stuurt iHCM dezelfde melding als bij een nieuwe medewerker. KoppelHet zoekt eerst op external_id; bestaat de geschorste gebruiker nog, dan zet het hem weer op actief. Zo houdt de collega zijn oude gebruikersnaam, die binnen het OneLogin-subdomein uniek moet zijn.
- Een gewijzigde vertrekdatum heeft in iHCM geen eigen melding; ADP stuurt de vertrekmelding opnieuw. KoppelHet leest bij elke vertrekmelding de actuele datum en verplaatst het moment waarop de OneLogin-gebruiker op geschorst gaat.
- In iHCM bestaan 'Reports to' en supervisor naast elkaar, en ADP stuurt verlofaanvragen naar 'Reports to'. OneLogin verwacht de manager als OneLogin-gebruikers-id. KoppelHet zoekt de gebruiker van 'Reports to' op en vult manager_user_id, zodat goedkeuringen dezelfde lijn volgen als het verlof.
- OneLogin heeft geen standaardveld voor land, en een onbekend eigen attribuut laat het aanmaken van de gebruiker mislukken. De beheerder maakt het attribuut voor het land daarom eerst aan; KoppelHet vult het uit de werklocatie in iHCM, zodat mappings per land andere apps kunnen geven.
- iHCM meldt wijzigingen in het privé- en het zakelijke e-mailadres met aparte meldingen. KoppelHet verwerkt alleen de zakelijke, zodat een privéadres nooit als login of e-mailadres in OneLogin komt.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Krijgt een terugkerende collega een nieuwe OneLogin-gebruiker?
Nee. KoppelHet herkent hem aan het workerID en zet zijn bestaande gebruiker weer op actief.
Wordt een vertrekker verwijderd uit OneLogin?
Nee, de gebruiker gaat op geschorst. Verwijderen blijft een keuze van IT.
Kunnen we per land andere apps geven?
Ja. KoppelHet vult het land, en jullie mappings in OneLogin koppelen daar rollen aan.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- ADP iHCM Worker Management API: GET /hr/v2/workers met $skip en $top (maximaal 100), per persoon op workerID; meldingen worker.hire (ook bij terugkeer), worker.terminate (ook bij gewijzigde datum of reden), worker.legalName.change, worker.businessCommunication.email.change en worker.workAssignment.modify; toegang via de Consumer Application Registry (CAR).
- OneLogin API v2 met een credential met Manage Users: POST /api/2/users?mappings=sync en PUT /api/2/users/{id} met username, email, firstname, lastname, title, department, external_id, manager_user_id, custom_attributes en status (1 Active, 2 Suspended); GET /api/2/users op external_id; geen uitnodigingsmail via de API; 5.000 aanroepen per uur per account.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in ADP iHCM | Veld in OneLogin | Toelichting |
|---|---|---|
workerID (Employee Reference Number) | external_id | |
person.legalName | firstname, lastname | |
businessCommunication.email of naamgevingsregel | username en email | |
workAssignments (primair): jobTitle | title | |
workAssignments (primair): homeOrganizationalUnits | department | |
homeWorkLocation.address.countryCode | custom_attributes.country | |
reportsTo ('Reports to') | manager_user_id | |
workerDates (hire, termination) | status (1 actief, 2 geschorst) |
Gerelateerd
ADP iHCM → Active Directory
ADP iHCM Active Directory koppeling: netwerkaccounts per land, met vervaldatum bij tijdelijke contracten
ADP iHCM → Coupa
ADP iHCM Coupa koppeling: goedgekeurde onkosten uit Coupa als variabel looncomponent in ADP iHCM NL
DyADP iHCM → Dyflexis
ADP iHCM Dyflexis koppeling: medewerkers en contracten in de planning, uren terug naar ADP
ADP iHCM → Microsoft Entra ID
ADP iHCM Entra ID koppeling: accounts uit de ADP-payroll, in elk Europees land met de juiste licentie