Identity en access management
ADP Workforce Now SailPoint koppeling: ADP als gezaghebbende bron in Identity Security Cloud
Met een koppeling tussen ADP Workforce Now en SailPoint Identity Security Cloud wordt ADP de gezaghebbende bron, zodat identiteiten, lifecycle states en rollen in SailPoint volgen uit aanname, verlof, overplaatsing en vertrek in ADP. KoppelHet leest de Worker API van ADP en levert de medewerkers aan een standaardbron van SailPoint, die de aggregatie direct start.
Wat de koppeling doet
Organisaties die ADP Workforce Now gebruiken voor collega's in de Verenigde Staten of Canada en SailPoint voor identity governance, laden ADP vaak in als een export die iemand handmatig ververst. Een vertrek dat HR alvast vastlegt, zet de positie direct op beëindigd, en een export die daarop filtert haalt de toegang weg terwijl de collega nog weken werkt.
- In ADP koppelen we de applicatie aan het profiel voor externe toepassingen en beperken we met People Access welke medewerkers zichtbaar zijn.
- In SailPoint maken we een Delimited File-bron als gezaghebbende bron en een identity profile met lifecycle states.
- KoppelHet leest alle medewerkers, ook gearchiveerde, en verwerkt daarna de meldingen van ADP.
- Na elke melding levert KoppelHet een bestand aan via de API van SailPoint, die de aggregatie direct start.
- Dagelijks volgt een volledige aanlevering en vergelijkt KoppelHet de aantallen met ADP.
Waar je op let bij ADP Workforce Now en SailPoint
- KoppelHet levert aan een Delimited File-bron via de API, zodat er in SailPoint niets op maat te onderhouden is.
- Legt HR een vertrek met een toekomstige datum vast, dan zet ADP de positie direct op beëindigd en de medewerker pas op de datum zelf. KoppelHet levert de einddatum als attribuut aan, en een transform in SailPoint bepaalt de lifecycle state. Zo verandert de toegang op de laatste dag en niet op de dag dat HR het vertrek invoert.
- Workforce Now stuurt een eigen melding bij verlof. SailPoint kan daar een aparte lifecycle state voor hebben, waarin bijvoorbeeld alleen toegang op afstand wordt ingetrokken. KoppelHet levert het verlof als attribuut aan, zodat zo'n state ontstaat bij de melding en vervalt bij de terugkeer.
- Medewerkers die ADP heeft gearchiveerd, komen alleen mee met een aparte header. Zonder die header verdwijnen ze bij de dagelijkse volledige aanlevering uit het bestand, en dan ziet SailPoint ze als verwijderde accounts. KoppelHet vraagt ze wel op, zodat oud-medewerkers met hun einddatum in SailPoint blijven voor audits.
- Wordt in ADP een manager beëindigd, dan kan ADP zijn team in dezelfde stap geen nieuwe manager geven. In SailPoint wijzen certificeringen en goedkeuringen dan naar een identiteit die inactief wordt. KoppelHet signaleert teams met een vertrokken manager en meldt die aan HR, zodat certificeringen niet bij een vertrekker blijven liggen.
- Geboortedatum en social security number geeft ADP standaard gemaskeerd terug, tenzij je ze expliciet onafgeschermd vraagt. SailPoint heeft ze voor rollen niet nodig. KoppelHet vraagt ze dus niet onafgeschermd op, zodat ze nooit in een bestand voor SailPoint staan.
- Een herindiensttreding meldt ADP met een eigen melding, en de associateOID blijft bij de persoon. KoppelHet gebruikt die als account-ID in SailPoint, zodat een terugkerende collega op zijn bestaande identiteit uitkomt, met historie en eerdere certificeringen, in plaats van op een nieuwe.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Wat gebeurt er bij een vertrek dat HR vooruit vastlegt?
SailPoint krijgt de einddatum direct, maar de lifecycle state verandert pas op die datum. Tot dan houdt de collega zijn toegang.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- ADP Workforce Now Worker Management API: GET /hr/v2/workers (50 per pagina; Prefer: respond-async tot 1.000, niet in WFN Next Gen), Content-Type application/json;archived=true voor gearchiveerde medewerkers, gevoelige velden gemaskeerd tenzij Accept application/json;masked=false. Meldingen worker.hire, worker.rehire, worker.onLeave, worker.terminate en worker.workAssignment.modify. Toekomstige terminationDate: assignment Terminated, worker ACTIVE tot de datum; US1401391 (geen nieuwe manager bij beëindigen van een manager).
- SailPoint Identity Security Cloud: Delimited File-bron als gezaghebbende bron, CSV via de import-accounts-API (load-accounts), die de aggregatie direct start; identity profile met transforms op startDate, endDate en leave voor de lifecycle states.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in ADP Workforce Now | Veld in SailPoint | Toelichting |
|---|---|---|
associateOID | uid (account ID) | |
workerID | employeeNumber | |
legalName of preferredName | firstname, lastname | |
businessCommunication.email | email | |
jobTitle (hoofdpositie) | jobTitle | |
homeOrganizationalUnits | department | |
reportsTo | manager | |
hireDate, terminationDate, verlof | startDate, endDate, leave (lifecycle state) |
Gerelateerd
ADP Workforce Now → 4PS Construct
ADP Workforce Now 4PS Construct koppeling: medewerkers met administratie, dimensies en statistiekgroep in 4PS
ADP Workforce Now → Active Directory
ADP Workforce Now Active Directory koppeling: accounts in het eigen domein, met vervaldatum en herindiensttreding uit ADP
ADP Workforce Now → AFAS Profit
ADP Workforce Now AFAS koppeling: Nederlandse medewerkers uit het Amerikaanse HR-systeem in AFAS Profit
ADP Workforce Now → AllSolutions
ADP Workforce Now AllSolutions koppeling: medewerkers met afdeling, kostenplaats en leidinggevende in AllSolutions