Identity en access management

AFAS koppelen met Active Directory: accounts automatisch bij in- en uitdienst

AFAS koppelt met Active Directory on-premise zodat een nieuwe medewerker in AFAS automatisch een account krijgt in Active Directory, met de juiste groepen, en dat account op de laatste werkdag wordt uitgeschakeld. IT hoeft geen accounts meer met de hand aan te maken of op te ruimen, en er hoeven geen poorten in de firewall open.

Bespreek je koppeling Zo werkt de koppeling

Geschreven door Marcel van Beek, oprichter en integratiespecialistLaatst bijgewerkt: 9 november 2026

Wat de koppeling doet

Organisaties met AFAS als HR-systeem en een Active Directory on-premise, vaak gesynchroniseerd met Entra ID, maken accounts met de hand aan. Dat gebeurt niet altijd op tijd, en de gegevens in AFAS en AD lopen uit elkaar.

IT installeert eenmalig een klein programma van KoppelHet op een server in het eigen netwerk.
HR voert een nieuwe medewerker in in AFAS. KoppelHet bedenkt met de afgesproken naamgevingsregels een gebruikersnaam en e-mailadres, ook als er al iemand met dezelfde naam is.
Het account verschijnt in Active Directory in de map van de juiste BV of vestiging, met functie, afdeling en leidinggevende ingevuld.
De medewerker komt in de groepen die bij afdeling en functie horen. Via Entra ID krijgt het account daarna ook de juiste Microsoft 365-licentie.
Op de datum uit dienst wordt het account uitgeschakeld en apart gezet bij de vertrokken medewerkers.

Heen: Gebruikersaccount met gebruikersnaam en e-mailadres · Plek in de mappenstructuur op basis van vestiging of BV · Functie, afdeling en leidinggevende · Beveiligings- en distributiegroepen

Waar je op let bij AFAS Profit en Active Directory

Het programma in jullie netwerk belt zelf naar buiten naar het KoppelHet platform. Er hoeft geen poort open en gegevens worden niet tussentijds opgeslagen.
Een gebruikersnaam in Active Directory mag maximaal 20 tekens zijn en moet uniek zijn. Lange namen korten we volgens een vaste regel in, en bij twee gelijke namen komt er een volgnummer achter.
Werken jullie hybride, met Active Directory en Entra ID naast elkaar, dan schrijft KoppelHet naar Active Directory en neemt Microsoft het account over naar Entra ID. Licenties lopen dan via groepen in Entra ID.
Heeft de groep meerdere BV's in AFAS, dan bepaalt de werkgever in AFAS in welke map het account komt en welk e-maildomein het krijgt.
Voor livegang legt KoppelHet AFAS en Active Directory naast elkaar. Die vergelijking laat snel zien waar AFAS en Microsoft uit elkaar lopen.
Elke actie staat in de logging van het platform, zodat je kunt terugzien wie wanneer welk account kreeg of kwijtraakte.

Deze koppeling hoort ook bij in-, door- en uitstroom.

Hoe we het bouwen en beheren

De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.

Implementatie, architectuur en compliance

Implementatie en prijs

Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.

Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.

Prijsindicatie · Basis

Klantcase

Zo draait het bij DAEL Groep

Zo gebruiken deze organisaties de koppeling. De inrichting verschilt per klant.

DAEL Groep

Installatietechniek

AFAS is de bron voor Active Directory en Entra ID. Accounts, mailadressen en groepen worden automatisch aangemaakt, aangepast en gedeactiveerd op basis van HR-mutaties.

“Dankzij de user comparison van KoppelHet, een vergelijk tussen het HR-systeem en ons AD, zagen we snel waar de verschillen zaten tussen AFAS en Microsoft.”
Wilvert Blaauwendraad, Manager ICT

Lees het klantverhaal

Veelgestelde vragen

Moeten er poorten open in de firewall?

Nee. Het programma van KoppelHet in jullie netwerk maakt zelf een uitgaande verbinding met het platform.

Kan AFAS zelf al met Active Directory synchroniseren?

AFAS beschrijft zelf een synchronisatie van medewerkers met Active Directory. KoppelHet gaat verder met naamgevingsregels, groepen per afdeling en functie, meerdere BV's en een vergelijking voor livegang. Welke route past, bespreken we in de intake.

Wat als we later naar alleen Entra ID gaan?

Dan zetten we het doel om van Active Directory naar Entra ID. De afspraken over naamgeving, groepen en uitzonderingen blijven gelijk.

Wat gebeurt er met accounts die niet in AFAS staan?

Die laat de koppeling met rust, zolang ze buiten de mappen staan die de koppeling beheert. Welke mappen dat zijn, spreken we vooraf af.

Technische details voor IT

Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.

AFAS wordt gelezen met een eigen GetConnector, gefilterd op wijzigingsdatum.
Een KoppelHet-agent op een server in het domein voert de wijzigingen in AD uit via een uitgaande, versleutelde verbinding.
Accounts komen in een organizational unit (OU) per BV of vestiging; vertrekkers gaan naar een aparte OU.
Gevulde AD-attributen onder meer employeeID, sAMAccountName, userPrincipalName, mail, givenName, sn, title, department, manager en company. sAMAccountName is maximaal 20 tekens.
Uitschakelen gebeurt via userAccountControl. Entra Connect synchroniseert het account naar Entra ID.

Welke velden overgaan

De belangrijkste velden. De volledige mapping stellen we per klant vast.

Veld in AFAS Profit	Veld in Active Directory	Toelichting
`Medewerker (EmId)`	`employeeID`
`Naamgevingsregel`	`sAMAccountName`	Maximaal 20 tekens; bij dubbelen een volgnummer
`Naamgevingsregel`	`userPrincipalName en mail`
`Roepnaam`	`givenName`
`Voorvoegsel + Achternaam`	`sn`
`Functie`	`title`
`Organisatorische eenheid`	`department`
`Leidinggevende`	`manager`	Distinguished name van het account van de leidinggevende
`Werkgever (BV)`	`company en OU`
`Datum uit dienst`	`userAccountControl (uitgeschakeld)`

Bronnen