Identity en access management
AFAS OneLogin koppeling: OneLogin-gebruikers met rollen uit AFAS Profit
Met een koppeling tussen AFAS Profit en OneLogin maakt KoppelHet voor elke nieuwe medewerker in AFAS een OneLogin-gebruiker aan, met afdeling, functie, werkgever en leidinggevende, zodat de mappings in OneLogin de juiste rollen en apps toekennen. Na de datum uit dienst zet KoppelHet de gebruiker in OneLogin op geschorst.
Wat de koppeling doet
Organisaties die AFAS Profit als HR-systeem hebben en OneLogin voor single sign-on, zetten nieuwe medewerkers vaak met de hand in OneLogin of laten ze binnenkomen via een gekoppelde directory die zelf weer met de hand wordt bijgehouden. Rollen kloppen dan niet met de functie in AFAS, en vertrekkers houden toegang tot hun apps.
- De AFAS-beheerder maakt een eigen app connector voor KoppelHet, met een GetConnector met alleen de velden voor OneLogin.
- In OneLogin maken we een API-credential met het recht om gebruikers te beheren en een eigen attribuut voor het personeelsnummer.
- KoppelHet maakt nieuwe gebruikers aan met afdeling, functie en werkgever; de mappings in OneLogin kennen daarop rollen toe.
- Wijzigingen in functie, afdeling of leidinggevende werkt KoppelHet bij op dezelfde gebruiker, gevonden via het personeelsnummer.
- Na de datum uit dienst zet KoppelHet de status op geschorst; de nachtelijke vergelijking vangt gemiste wijzigingen op.
Waar je op let bij AFAS Profit en OneLogin
- OneLogin kent geen standaardveld voor het personeelsnummer. KoppelHet zet het AFAS-medewerkernummer in een eigen attribuut en zoekt gebruikers daarop terug met het filter op custom attributes, zodat een naams- of adreswijziging geen tweede gebruiker oplevert.
- De leidinggevende verwacht OneLogin als een eigen gebruikers-id, niet als personeelsnummer. KoppelHet zoekt eerst de OneLogin-gebruiker van de leidinggevende uit AFAS op en vult daarna manager_user_id; een nieuwe leidinggevende komt zo vóór zijn teamleden binnen.
- Rollen volgen in OneLogin uit mappings, en die draaien standaard pas na het antwoord van de API. KoppelHet laat de mappings bij het aanmaken direct meedraaien, zodat het logboek per medewerker meteen toont welke rollen de functie uit AFAS opleverde.
- Een gebruiker die via de API wordt aangemaakt, krijgt van OneLogin geen uitnodigingsmail. KoppelHet maakt de gebruiker vóór de eerste werkdag aan, en jullie bepalen hoe een nieuwe collega zijn eerste wachtwoord krijgt, bijvoorbeeld via de leidinggevende.
- OneLogin staat per account 5.000 API-aanroepen per uur toe, gedeeld met alle andere koppelingen op dat account. Bij de eerste vulling vanuit AFAS spreidt KoppelHet de aanroepen en kijkt het naar de resterende ruimte in de headers, zodat andere koppelingen niet stilvallen.
- In AFAS staat de werkgever bij het contract. KoppelHet zet die werkgever in het veld company, zodat mappings in OneLogin per bv andere apps kunnen geven en een overstap binnen de groep dezelfde gebruiker houdt.
- Een gebruikersnaam moet binnen het OneLogin-subdomein uniek zijn, anders weigert OneLogin de gebruiker. KoppelHet controleert de naam uit de naamgevingsregel vooraf en kiest bij een dubbele naam de afgesproken variant.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Wie bepaalt welke apps iemand krijgt?
De mappings en rollen in OneLogin. KoppelHet levert alleen de gegevens uit AFAS waar die mappings op werken.
Wordt een vertrekker verwijderd?
Nee, geschorst. Verwijderen na een bewaartermijn kan later als uitbreiding.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- AFAS wordt gelezen met een eigen GetConnector onder een eigen app connector (OAuth of token), gefilterd op wijzigingsdatum, met functieregels, organisatorische eenheden en werkgever per contract.
- OneLogin API v2 met een OAuth 2.0-token van een API-credential met Manage Users: POST /api/2/users?mappings=sync en PUT /api/2/users/{id} met username, email, firstname, lastname, title, department, company, manager_user_id, status (1 Active, 2 Suspended) en custom_attributes; GET /api/2/users met custom_attributes.{naam} en updated_since, maximaal 50 per pagina. Limiet 5.000 aanroepen per uur per account, zichtbaar in X-RateLimit-Remaining.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in AFAS Profit | Veld in OneLogin | Toelichting |
|---|---|---|
Medewerker (EmId) | custom_attributes.employeenumber | Eigen attribuut in OneLogin |
Naamgevingsregel | username | Uniek binnen het subdomein |
E-mail werk | email | |
Roepnaam en voorvoegsel + achternaam | firstname en lastname | |
Functie (omschrijving) | title | |
Organisatorische eenheid | department | |
Werkgever | company | |
Leidinggevende | manager_user_id | OneLogin-id van de leidinggevende |
Datum uit dienst | status 2 (Suspended) |
Gerelateerd
ADP Workforce Now → AFAS Profit
ADP Workforce Now AFAS koppeling: Nederlandse medewerkers uit het Amerikaanse HR-systeem in AFAS Profit
AFAS Profit → 4PS Construct
AFAS 4PS Construct koppeling: loonjournaal per werkgever in de juiste 4PS-administratie
AFAS Profit → Active Directory
AFAS koppelen met Active Directory: accounts automatisch bij in- en uitdienst
AFAS Profit → Adobe Creative Cloud
AFAS Adobe Creative Cloud koppeling: gebruikers en productprofielen uit AFAS Profit