Identity en access management

AFAS koppelen met Microsoft Entra ID

Laat medewerkersgegevens uit AFAS automatisch doorwerken in Microsoft Entra ID. Nieuwe collega's krijgen volgens de afgesproken regels een account en toegang, functiewijzigingen worden verwerkt en bij vertrek kan toegang worden ingetrokken. De precieze inrichting bepalen we samen.

Bespreek je koppeling Zo werkt de koppeling

Geschreven door Marcel van Beek, oprichter en integratiespecialistLaatst bijgewerkt: 28 september 2026

Wat de koppeling doet

HR legt nieuwe medewerkers, functiewissels en vertrek vast in AFAS. IT maakt de accounts in Entra ID met de hand, op basis van een mail of een melding in de servicedesk. Nieuwe collega's missen op hun eerste dag toegang, en accounts van vertrekkers blijven actief.

HR voert de nieuwe medewerker in in AFAS, met datum in dienst, functie en afdeling.
KoppelHet bedenkt met de afgesproken naamgevingsregels het e-mailadres en de inlognaam, ook als er al iemand met dezelfde naam is.
Een paar dagen voor de eerste werkdag staat het account klaar in Entra ID, met leidinggevende en de groepen die bij afdeling en functie horen.
De Microsoft 365-licentie volgt uit de functie. De leidinggevende krijgt een tijdelijk wachtwoord of eenmalige toegangscode voor de eerste dag.
Bij een functiewissel worden gegevens en groepen bijgewerkt. Op de datum uit dienst wordt het account geblokkeerd en na een afgesproken termijn vervalt de licentie.

Heen: Medewerker met naam, personeelsnummer en e-mail · Functie en organisatorische eenheid · Leidinggevende · Groepen op basis van afdeling of functie · Microsoft 365-licentie

Waar je op let bij AFAS Profit en Microsoft Entra ID

KoppelHet leest uit AFAS alleen de gegevens die Entra ID nodig heeft. Salaris en BSN gaan niet mee.
In AFAS kan een medewerker meerdere dienstverbanden hebben. Het hoofddienstverband bepaalt functie en afdeling in Entra ID; het account blijft actief zolang er één dienstverband loopt.
Microsoft kan pas een licentie toekennen als bekend is in welk land iemand werkt. KoppelHet vult dat in vanuit het land van het dienstverband in AFAS.
Werken jullie hybride, met Active Directory in het eigen netwerk, dan schrijft KoppelHet naar Active Directory en neemt Microsoft het account over naar Entra ID.
De koppeling krijgt in Entra ID alleen de rechten om gebruikers, groepslidmaatschappen en licenties te beheren, en geen volledige beheerdersrol.
Voor livegang legt KoppelHet AFAS en Entra ID naast elkaar. Accounts zonder medewerker en medewerkers zonder account komen op een lijst die IT eerst rechtzet.

Deze koppeling hoort ook bij in-, door- en uitstroom.

Hoe we het bouwen en beheren

De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.

Implementatie, architectuur en compliance

Implementatie en prijs

Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.

Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.

Prijsindicatie · Basis

Klantcase

Zo draait het bij DAEL Groep

Zo gebruiken deze organisaties de koppeling. De inrichting verschilt per klant.

DAEL Groep

Installatietechniek

AFAS is de bron voor Active Directory en Entra ID. Accounts, mailadressen en groepen worden automatisch aangemaakt, aangepast en gedeactiveerd op basis van HR-mutaties.

“Dankzij de user comparison van KoppelHet, een vergelijk tussen het HR-systeem en ons AD, zagen we snel waar de verschillen zaten tussen AFAS en Microsoft.”
Wilvert Blaauwendraad, Manager ICT

Lees het klantverhaal

Veelgestelde vragen

Wat gebeurt er met externen die niet in AFAS staan?

Die kunnen in AFAS als externe relatie worden vastgelegd, of ze blijven buiten de koppeling. We spreken vooraf af welke accounts de koppeling beheert, zodat andere accounts niet worden aangeraakt.

Wordt een account verwijderd bij vertrek?

Nee, eerst geblokkeerd. Verwijderen gebeurt na een termijn die jullie kiezen, zodat mailbox en bestanden nog kunnen worden overgedragen.

Kunnen we de naamgevingsregels zelf aanpassen?

Ja, in het KoppelHet platform. Daar zie je ook per medewerker welk account is aangemaakt en waarom.

Hoe verhoudt dit zich tot Joinly?

Joinly is IAM-software van dezelfde makers met een vaste set functies. KoppelHet bouwt en beheert de koppeling op maat, bijvoorbeeld als jullie proces afwijkt of er meerdere bronnen zijn.

Technische details voor IT

Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.

AFAS wordt gelezen met een eigen GetConnector op medewerkers en dienstverbanden, gefilterd op wijzigingsdatum, met alleen de velden die Entra ID nodig heeft.
Naar Entra ID schrijven we via Microsoft Graph (user-resource, assignLicense, manager-relatie en groepslidmaatschap).
Graph-rechten van de app registration onder meer User.ReadWrite.All, GroupMember.ReadWrite.All en LicenseAssignment.ReadWrite.All; geen Global Administrator.
Een licentie toewijzen via assignLicense vereist een gevulde usageLocation.
Blokkeren gebeurt met accountEnabled = false. De eenmalige toegangscode is een Temporary Access Pass.
In een hybride omgeving schrijft een KoppelHet-agent naar AD en synchroniseert Entra Connect naar Entra ID.

Welke velden overgaan

De belangrijkste velden. De volledige mapping stellen we per klant vast.

Veld in AFAS Profit	Veld in Microsoft Entra ID	Toelichting
`Medewerker (EmId)`	`employeeId`
`Roepnaam`	`givenName`
`Voorvoegsel + Achternaam`	`surname`	Voorvoegsel meenemen zoals HR het gebruikt
`Naamgevingsregel`	`userPrincipalName en mail`	Bijvoorbeeld voornaam.achternaam, met een volgnummer bij dubbelen
`Functie (omschrijving)`	`jobTitle`
`Organisatorische eenheid`	`department`
`Leidinggevende`	`manager`	Via het personeelsnummer van de leidinggevende; manager is een aparte relatie op de user, geen gewoon attribuut
`Datum in dienst`	`employeeHireDate`
`Land van het dienstverband`	`usageLocation`	Nodig om een licentie te kunnen toewijzen
`Datum uit dienst`	`accountEnabled = false`

Bronnen