Identity en access management
ADP Workforce Now Okta koppeling: ADP als HR-bron voor Okta
Met een koppeling tussen ADP Workforce Now en Okta wordt ADP de HR-bron voor Okta, zodat een nieuwe medewerker een Okta-account met de juiste groepen krijgt en een vertrekker op zijn einddatum wordt gedeactiveerd. KoppelHet levert de medewerkers uit de Worker API van ADP aan de ingang die Okta voor een eigen HR-bron heeft, en zet het Okta-adres terug in ADP.
Wat de koppeling doet
Organisaties die ADP Workforce Now gebruiken voor collega's in de Verenigde Staten of Canada en Okta als toegangspoort, zien in de Okta-catalogus een ADP-connector van een partner, met eigen licentie. Wie die niet heeft, maakt accounts via een ticket, en een vertrek dat HR weken vooruit in ADP zette, bereikt Okta pas als iemand het ticket opent.
- In ADP koppelen we de applicatie aan het profiel voor Marketplace-toepassingen en beperken we met People Access welke medewerkers zichtbaar zijn.
- In Okta maakt de beheerder een Custom Identity Source aan en een API-token voor KoppelHet.
- KoppelHet leest alle medewerkers eenmalig en verwerkt daarna de meldingen van ADP.
- Per ronde opent KoppelHet een sessie in Okta, laadt gebruikers, groepen en lidmaatschappen en start de verwerking.
- Het werkadres dat Okta toekent, zet KoppelHet terug in ADP.
Waar je op let bij ADP Workforce Now en Okta
- In de Okta-catalogus staat ADP Workforce Now by Aquera, gebouwd en onderhouden door Aquera en niet door Okta of ADP. Volgens de catalogus doet die onder meer aanmaken, bijwerken, deactiveren, attribute sourcing en terugschrijven. Hebben jullie die licentie, dan is dat de route. Zo niet, dan levert KoppelHet via de Custom Identity Source van Okta.
- Een Okta-sessie neemt per aanlevering tweehonderd entiteiten en maximaal vijftig aanleveringen, en per bron kan er maar één sessie tegelijk lopen, met vijf minuten tussen twee sessies. ADP geeft standaard vijftig medewerkers per opvraag. KoppelHet verzamelt bij de dagelijkse vergelijking eerst alle medewerkers uit ADP en laadt ze dan in zo weinig mogelijk sessies.
- Zet HR in ADP een vertrek met een datum in de toekomst, dan staat de positie direct op beëindigd maar blijft de medewerker actief tot die datum. KoppelHet kijkt naar de datum, niet naar de status van de positie, en deactiveert de Okta-gebruiker pas op de einddatum zelf.
- Workforce Now heeft een aparte melding voor verlof. Okta kent geen verlofstatus. Met jullie spreken we af of langdurig verlof de Okta-gebruiker deactiveert of alleen een groep wegneemt; KoppelHet voert die keuze uit bij de melding en bij de terugkeer.
- Okta behandelt het externalId uit de HR-bron als onveranderlijk. KoppelHet gebruikt daarom de associateOID van ADP, die bij de persoon blijft, en niet het personeelsnummer per positie. Een herindiensttreding, die ADP met een eigen melding stuurt, komt zo op dezelfde Okta-gebruiker uit.
- De Custom Identity Source van Okta is eenrichtingsverkeer. ADP Workforce Now kan het zakelijke e-mailadres wel via de API toevoegen en wijzigen, ook in de nieuwe generatie van Workforce Now. KoppelHet zet het Okta-adres daarom apart terug in ADP, zodat HR en salarisstroken het juiste adres hebben.
- Welke medewerkers de koppeling ziet, bepaalt ADP met People Access op het profiel voor Marketplace-toepassingen. Komen in ADP ook bedrijven voor die niet in deze Okta-omgeving horen, dan beperkt de beheerder daar de toegang, zodat ze niet als HR-bron in Okta verschijnen.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Is er niet al een ADP-connector in Okta?
Ja, van Aquera, met een eigen licentie. Hebben jullie die, dan richt KoppelHet die in. Anders levert KoppelHet via de Custom Identity Source van Okta.
Wat gebeurt er bij een vertrek dat HR weken vooruit vastlegt?
De Okta-gebruiker blijft actief tot de einddatum en wordt op die dag gedeactiveerd, ook al staat de positie in ADP al eerder op beëindigd.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- ADP Workforce Now Worker Management API: GET /hr/v2/workers (standaard 50 per pagina; Prefer: respond-async tot 1.000, niet in WFN Next Gen; geen $orderby; count met filter niet ondersteund), Content-Type application/json;archived=true voor gearchiveerde medewerkers. Meldingen worker.hire, worker.rehire, worker.onLeave, worker.terminate en worker.workAssignment.modify. Terugschrijven met /events/hr/v1/worker.business-communication.email.add en .email.change. People Access op het Marketplace Data Connector Application Profile.
- Okta Identity Sources API (Custom Identity Source): sessie aanmaken, bulk-upsert van gebruikers, groepen en lidmaatschappen (200 entiteiten of 200 kB per aanlevering, maximaal 50 aanleveringen per sessie), trigger en status volgen; bulk-delete deactiveert; één actieve sessie per bron, vijf minuten tussen sessies, sessie verloopt na 24 uur; alleen INCREMENTAL; profielattributen alleen als string.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in ADP Workforce Now | Veld in Okta | Toelichting |
|---|---|---|
associateOID | externalId | Mag in Okta nooit wijzigen |
legalName of preferredName | firstName, lastName | |
Naamgevingsregel | login en email | |
jobTitle (hoofdpositie) | title | |
homeOrganizationalUnits (afdeling) | department en groep | |
Bedrijf (company code) | organization en groep | |
reportsTo | managerId | |
hireDate, terminationDate | Eigen attributen (tekst) | |
email (Okta) | businessCommunication.email (ADP) |
Gerelateerd
ADP Workforce Now → 4PS Construct
ADP Workforce Now 4PS Construct koppeling: medewerkers met administratie, dimensies en statistiekgroep in 4PS
ADP Workforce Now → Active Directory
ADP Workforce Now Active Directory koppeling: accounts in het eigen domein, met vervaldatum en herindiensttreding uit ADP
ADP Workforce Now → AFAS Profit
ADP Workforce Now AFAS koppeling: Nederlandse medewerkers uit het Amerikaanse HR-systeem in AFAS Profit
ADP Workforce Now → AllSolutions
ADP Workforce Now AllSolutions koppeling: medewerkers met afdeling, kostenplaats en leidinggevende in AllSolutions