Identity en access management
AFAS Ping Identity koppeling: medewerkers uit AFAS Profit als gebruikers in PingOne
Met een koppeling tussen AFAS Profit en Ping Identity staat elke nieuwe medewerker uit AFAS automatisch als gebruiker in PingOne, in de populatie van zijn werkgever en met functie, afdeling en leidinggevende. Organisatorische eenheden uit AFAS worden groepen in PingOne, en na de datum uit dienst kan de gebruiker niet meer inloggen.
Wat de koppeling doet
Organisaties met AFAS als HR-systeem en PingOne voor single sign-on en MFA, zetten nieuwe medewerkers vaak met de hand of met een CSV-import in PingOne. Vertrekkers blijven dan staan tot iemand ze opruimt, en groepen lopen achter op de organisatie in AFAS.
- De AFAS-beheerder maakt een eigen app connector voor KoppelHet, en in PingOne komt een Worker-app met beheerrechten op identiteitsgegevens.
- KoppelHet leest medewerkers, contracten, functieregels en organisatorische eenheden uit AFAS.
- Voor een nieuwe medewerker maakt KoppelHet een gebruiker in de populatie van de werkgever, uitgeschakeld tot kort voor de eerste werkdag.
- De gebruiker wordt lid van de groep van zijn organisatorische eenheid; bij een wissel verhuist het lidmaatschap op de begindatum.
- Na de datum uit dienst zet KoppelHet de gebruiker uit, en na de bewaartermijn verwijdert KoppelHet hem.
Waar je op let bij AFAS Profit en Ping Identity
- PingOne heeft voor HR-bronnen alleen een kant-en-klare provisioner voor Workday. Voor AFAS levert KoppelHet aan via de SCIM-ingang van PingOne, die Ping zelf aanwijst voor het importeren van identiteiten.
- De SCIM-ingang van PingOne kent geen groepen en geeft lijsten van hooguit 200 gebruikers zonder vervolgpagina. KoppelHet beheert de groepen per organisatorische eenheid daarom via de gewone PingOne-API en houdt zelf bij welke gebruikers uit AFAS komen.
- In AFAS hangt de werkgever aan het contract. PingOne zet elke gebruiker in precies één populatie. Stapt een medewerker over naar een andere bv, dan verhuist KoppelHet de gebruiker naar de populatie van de nieuwe werkgever in plaats van een tweede gebruiker aan te maken.
- AFAS kan naast het werkadres ook een privéadres bevatten, en PingOne accepteert per gebruiker maar één e-mailadres. KoppelHet stuurt alleen het werkadres; heeft een nieuwe medewerker dat nog niet, dan vult KoppelHet het adres volgens de naamgevingsregel.
- Het standaardprofiel van PingOne heeft geen plek voor afdeling of leidinggevende. KoppelHet schrijft die uit AFAS naar eigen attributen in het PingOne-schema, zodat beleid en applicaties erop kunnen sturen.
- Een gebruikersnaam moet in een PingOne-omgeving uniek zijn; een dubbele naam wordt geweigerd. KoppelHet bouwt de naam uit jullie naamgevingsregel en zet bij twee gelijke namen een volgnummer, zodat een tweede Jan de Vries gewoon een account krijgt.
- Een functiewissel staat in AFAS vaak weken vooruit met een begindatum. KoppelHet voert de nieuwe groep en functie in PingOne pas op die datum door, zodat iemand niet te vroeg bij de applicaties van zijn nieuwe team kan.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Wat gebeurt er met gebruikers die niet uit AFAS komen?
Die laat de koppeling met rust, bijvoorbeeld externen of servicegebruikers in een eigen populatie.
Kan PingOne daarna accounts in applicaties aanmaken?
Ja, met de uitgaande provisioning van PingOne. KoppelHet zorgt dat de gegevens uit AFAS kloppen; PingOne zet ze door.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- AFAS wordt gelezen met een eigen GetConnector onder een eigen app connector (OAuth of token; het classic token vervalt per 31 augustus 2027), gefilterd op wijzigingsdatum, met contracten (werkgever) en functieregels met begindatum.
- PingOne wordt beschreven met een Worker-app met de rol Identity Data Admin: gebruikers via de SCIM API op scim-api.pingone.com (/v2/DirectMappedUsers voor eigen attributen, population.id als geldige UUID, username uniek, één e-mailwaarde; geen paginering, lijsten maximaal 200), groepen en lidmaatschappen via de PingOne Platform API en uitzetten via enabled.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in AFAS Profit | Veld in Ping Identity | Toelichting |
|---|---|---|
Medewerker (EmId) | externalId en eigen attribuut medewerkernummer | Vaste sleutel |
Naamgevingsregel | username | Uniek in de omgeving |
Roepnaam | name.given | |
Voorvoegsel + achternaam | name.family | |
E-mail werk | email | Eén adres |
Functie (omschrijving) | title | |
Organisatorische eenheid | Groep en eigen attribuut afdeling | |
Leidinggevende | Eigen attribuut leidinggevende | |
Werkgever | population.id | |
Datum uit dienst | enabled |
Gerelateerd
ADP Workforce Now → AFAS Profit
ADP Workforce Now AFAS koppeling: Nederlandse medewerkers uit het Amerikaanse HR-systeem in AFAS Profit
AFAS Profit → 4PS Construct
AFAS 4PS Construct koppeling: loonjournaal per werkgever in de juiste 4PS-administratie
AFAS Profit → Active Directory
AFAS koppelen met Active Directory: accounts automatisch bij in- en uitdienst
AFAS Profit → Adobe Creative Cloud
AFAS Adobe Creative Cloud koppeling: gebruikers en productprofielen uit AFAS Profit