Identity en access management
ADP iHCM Ping Identity koppeling: medewerkers uit ADP iHCM als gebruikers in PingOne
Met een koppeling tussen ADP iHCM en Ping Identity krijgt elke nieuwe medewerker uit iHCM een gebruiker in PingOne, in de populatie van zijn land en met functie, werkadres en leidinggevende. PingOne heeft geen ADP-bron; KoppelHet verwerkt de meldingen van ADP over in- en uitdiensttreding, levert de gebruikers aan via de SCIM-ingang van PingOne en zet ze uit op de vertrekdatum.
Wat de koppeling doet
Organisaties die HR en salaris in meerdere Europese landen met ADP iHCM regelen en PingOne voor single sign-on en MFA, zetten nieuwe collega's vaak met de hand of met een bulkbestand in PingOne. Wie tussen twee bestanden vertrekt, houdt toegang tot het volgende bestand, en een naamswijziging na een huwelijk blijft in PingOne hangen.
- ADP voegt de Worker API en de meldingen voor KoppelHet toe aan de applicatieregistratie van jullie iHCM-omgeving.
- In PingOne maakt de beheerder een Worker-app met de rol Identity Data Admin en een populatie per land.
- KoppelHet leest alle medewerkers eenmalig en verwerkt daarna de meldingen van ADP.
- Een nieuwe medewerker wordt een uitgeschakelde gebruiker die op de datum in dienst aangaat; een vertrekker gaat uit op zijn vertrekdatum.
- Dagelijks controleert KoppelHet per medewerker of PingOne overeenkomt met iHCM en meldt verschillen.
Waar je op let bij ADP iHCM en Ping Identity
- PingOne heeft als inkomende HR-bron alleen Workday; verder een LDAP-gateway en SCIM. Een ADP-sjabloon staat ook niet in Advanced Identity Cloud. KoppelHet gebruikt de SCIM-API van PingOne, die Ping voor het importeren van gebruikers aanraadt.
- Filteren op werktoewijzing kan in de Worker API van iHCM niet, dus ook niet op land. KoppelHet haalt de medewerkers op en kiest daarna per medewerker de populatie van het land van de werkplek, zodat MFA- en wachtwoordbeleid per land kunnen verschillen.
- Een herindiensttreding komt bij ADP binnen als gewone indiensttredingsmelding. KoppelHet zoekt in PingOne eerst op het workerID als externalId. Bestaat de gebruiker nog, dan zet KoppelHet hem weer aan in plaats van een tweede aan te maken, zodat de terugkerende collega zijn MFA-registratie houdt.
- ADP meldt een naamswijziging apart. In PingOne ligt de gebruikersnaam vast zodra PingID in de omgeving zit. KoppelHet past daarom wel voor- en achternaam aan, maar niet de gebruikersnaam; een nieuwe inlognaam na een naamswijziging is een bewuste stap van IT.
- PingOne neemt per gebruiker maar één e-mailadres aan, en dat adres gebruikt PingOne ook voor herstel en meldingen. iHCM meldt het zakelijke en het privé-adres met aparte meldingen. KoppelHet verwerkt alleen de melding voor het zakelijke adres, zodat een privéadres nooit in PingOne terechtkomt.
- ADP stuurt de vertrekmelding opnieuw als de datum of reden verandert, en ook bij een ingetrokken vertrek; een aparte melding voor alleen de datum bestaat niet. KoppelHet plant het uitzetten in PingOne bij elke melding opnieuw op de actuele datum, en haalt de planning weg als het vertrek vervalt.
- Een medewerker kan in iHCM een 'Reports to' en een supervisor hebben. PingOne heeft geen standaardveld voor de leidinggevende. KoppelHet zet 'Reports to' in een eigen attribuut, omdat ADP verlofaanvragen ook daarheen stuurt, zodat apps achter PingOne dezelfde lijn kunnen volgen.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Wat moet ADP regelen?
ADP zet de Worker API en de meldingen voor jullie omgeving open in de applicatieregistratie. Zonder die stap komen er geen gegevens of meldingen.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- ADP iHCM Worker Management API: GET /hr/v2/workers met $skip en $top (maximaal 100), per persoon op associateOID of workerID; geen filters op WorkAssignment. Meldingen worker.hire (ook terugkeer), worker.terminate (ook gewijzigde datum of reden), worker.legalName.change, worker.businessCommunication.email.change en worker.workAssignment.modify; toegang via de Consumer Application Registry (CAR).
- PingOne via een Worker-app met de rol Identity Data Admin: SCIM /v2/Users met externalId (zoeken met eq), userName (uniek, vast met PingID), één e-mailwaarde, title, active en population.id in de PingOneUser-extensie; lijsten tot 200 zonder paginering; populatie wijzigen via PUT /users/{id}/population; manager als eigen attribuut van het type string.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in ADP iHCM | Veld in Ping Identity | Toelichting |
|---|---|---|
workerID (Employee Reference Number) | externalId | |
person.legalName | name.givenName, name.familyName | |
Naamgevingsregel | userName | Wijzigt niet mee met de naam |
businessCommunication.email | emails (één waarde) | |
workAssignments (primair): jobTitle | title | |
homeWorkLocation.address.countryCode | population.id | |
reportsTo ('Reports to') | Manager (eigen attribuut) | |
workerDates (hire, termination) | active (enabled) |
Gerelateerd
ADP iHCM → Active Directory
ADP iHCM Active Directory koppeling: netwerkaccounts per land, met vervaldatum bij tijdelijke contracten
ADP iHCM → Coupa
ADP iHCM Coupa koppeling: goedgekeurde onkosten uit Coupa als variabel looncomponent in ADP iHCM NL
DyADP iHCM → Dyflexis
ADP iHCM Dyflexis koppeling: medewerkers en contracten in de planning, uren terug naar ADP
ADP iHCM → Microsoft Entra ID
ADP iHCM Entra ID koppeling: accounts uit de ADP-payroll, in elk Europees land met de juiste licentie