Identity en access management
AFAS koppelen met Okta: AFAS Profit als HR-bron voor alle accounts en apps
Met een koppeling tussen AFAS Profit en Okta wordt AFAS de HR-bron van Okta, zodat een nieuwe medewerker in AFAS een Okta-gebruiker wordt met afdeling, functie, leidinggevende en de apps die daarbij horen. Op de datum uit dienst in AFAS verliest de medewerker in één keer de toegang tot alle apps die via Okta lopen.
Wat de koppeling doet
Organisaties die Okta gebruiken voor single sign-on naar Microsoft 365, Slack en andere SaaS-apps, maken Okta-gebruikers vaak met de hand aan na een mail van HR uit AFAS. Bij vertrek wordt Okta soms pas weken later bijgewerkt, terwijl de toegang tot alle apps daaraan hangt.
- HR voert de nieuwe medewerker in AFAS in, met werkgever, afdeling, functie en leidinggevende.
- KoppelHet levert de medewerker aan Okta als HR-bron. Okta maakt de gebruiker aan en zet hem in de groep van zijn afdeling.
- Okta geeft via de groepsregels die jullie al hebben de apps die bij afdeling en functie horen.
- Verandert de afdeling of leidinggevende in AFAS, dan verhuist de gebruiker in Okta mee naar de nieuwe groep.
- Op de datum uit dienst meldt KoppelHet de medewerker af bij Okta. Okta deactiveert de gebruiker en trekt de toegang tot de apps in.
Waar je op let bij AFAS Profit en Okta
- Okta heeft een aparte ingang voor HR-bronnen, en KoppelHet levert AFAS daar aan. In Okta ziet AFAS er dan uit als elke andere HR-bron.
- Via die ingang kan KoppelHet naast gebruikers ook groepen en hun leden aanleveren. De organisatorische eenheden uit AFAS worden zo groepen in Okta, met de juiste medewerkers erin, en jullie bestaande regels voor apps werken daarop.
- Okta slaat gegevens uit zo'n HR-bron alleen als tekst op. KoppelHet zet datums uit AFAS daarom in een vaste notatie, zodat regels in Okta op datum in of uit dienst kunnen vergelijken.
- AFAS houdt voorvoegsel en achternaam apart bij. KoppelHet maakt daar voor Okta één achternaam van, zoals "van den Berg", terwijl de inlognaam jullie Nederlandse afspraak volgt, bijvoorbeeld zonder spaties.
- Heeft de groep meerdere werkgevers in AFAS, dan gaat de werkgever mee naar Okta. Apps en beleid kunnen daardoor per werkgever verschillen, zonder dat iemand dat in Okta bijhoudt.
- Zodra AFAS de bron is, beheert Okta de aangeleverde gegevens niet meer zelf. Wie een afdeling of functie wil corrigeren, doet dat in AFAS; een wijziging alleen in Okta wordt bij de volgende aanlevering overschreven.
- KoppelHet leest AFAS met een eigen connector die alleen de velden voor Okta bevat. Salaris, BSN en bankgegevens komen de koppeling niet tegen.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Wat gebeurt er met Okta-gebruikers die al bestaan?
Voor livegang koppelen we bestaande gebruikers aan medewerkers in AFAS via het medewerkernummer of het e-mailadres. Gebruikers die niet in AFAS staan, zoals externen, laat de koppeling met rust.
We hebben al een integratieplatform. Past dit daarnaast?
Ja. Deze koppeling draait op het platform van KoppelHet en vraagt niets van jullie bestaande integratieplatform. Elke actie staat in de auditlogging, zodat beheer en audit weten wat er is gebeurd.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- AFAS wordt gelezen met een eigen GetConnector onder een eigen app connector (OAuth of token), gefilterd op wijzigingsdatum. Het classic token vervalt per 31 augustus 2027.
- Okta wordt gevoed via de Identity Sources API (Anything-as-a-Source) met een custom identity source. Per run een session (status CREATED), dan bulk-upsert voor gebruikers (externalId maximaal 512 tekens, profielattributen alleen van het type string), bulk-groups-upsert en bulk-group-memberships-upsert voor afdelingen, bulk-delete bij uit dienst, en start-import.
- Profile sourcing maakt de aangeleverde attributen in Okta alleen-lezen. Okta-profielattributen onder meer employeeNumber, firstName, lastName, login, email, title, department, organization, costCenter en managerId.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in AFAS Profit | Veld in Okta | Toelichting |
|---|---|---|
Medewerkernummer | externalId en employeeNumber | Vaste sleutel van de HR-bron |
Roepnaam | firstName | |
Voorvoegsel + Achternaam | lastName | Voorvoegsel zoals HR het gebruikt |
Naamgevingsregel | login en email | |
Functie | title | |
Organisatorische eenheid | department en groep | Groep met lidmaatschap vanuit de bron |
Werkgever | organization | |
Leidinggevende (medewerkernummer) | managerId | |
Kostenplaats | costCenter | |
Datum in dienst en uit dienst | Eigen attributen als tekst | Okta slaat bronattributen alleen als tekst op |
Gerelateerd
ADP Workforce Now → AFAS Profit
ADP Workforce Now AFAS koppeling: Nederlandse medewerkers uit het Amerikaanse HR-systeem in AFAS Profit
AFAS Profit → 4PS Construct
AFAS 4PS Construct koppeling: loonjournaal per werkgever in de juiste 4PS-administratie
AFAS Profit → Active Directory
AFAS koppelen met Active Directory: accounts automatisch bij in- en uitdienst
AFAS Profit → Adobe Creative Cloud
AFAS Adobe Creative Cloud koppeling: gebruikers en productprofielen uit AFAS Profit