Identity en access management
AFAS koppelen met SailPoint: AFAS Profit als gezaghebbende bron voor rollen en toegang
Met een koppeling tussen AFAS Profit en SailPoint Identity Security Cloud wordt AFAS de gezaghebbende HR-bron, zodat SailPoint voor elke medewerker een identiteit heeft met functie, afdeling, werkgever en de juiste levenscyclusstatus. Rollen en toegang in SailPoint volgen daarmee indiensttreding, functiewissel en vertrek in AFAS.
Wat de koppeling doet
Organisaties die met SailPoint toegang tot Active Directory en andere systemen op rollen baseren, definiëren die rollen op functie en afdeling uit AFAS. Zolang de HR-gegevens uit een handmatige export komen, lopen de rollen dagen achter op de werkelijkheid.
- KoppelHet leest in AFAS de medewerkers, dienstverbanden en functieregels die sinds de vorige ronde zijn gewijzigd.
- KoppelHet stelt de gegevens samen in de vorm die de SailPoint-bron verwacht, met functiecode, afdeling, werkgever en datums.
- KoppelHet levert de gegevens aan SailPoint en laat SailPoint direct de verwerking starten.
- SailPoint bepaalt de levenscyclusstatus en kent rollen toe of trekt ze in. De accounts in AD en andere systemen maakt SailPoint zelf.
- Als afgesproken zet KoppelHet het werk-e-mailadres dat SailPoint heeft laten maken terug in AFAS.
Waar je op let bij AFAS Profit en SailPoint
- AFAS kent per functie een code en een omschrijving. KoppelHet levert beide, en rollen in SailPoint horen op de code te staan. Past HR de omschrijving van een functie aan, dan blijven de rollen gewoon kloppen.
- Functie- en afdelingswijzigingen staan in AFAS met een begindatum en worden vaak weken vooruit ingevoerd. KoppelHet levert de nieuwe waarde pas vanaf die datum aan, zodat SailPoint de rol niet te vroeg wisselt en een medewerker de oude toegang houdt tot de overstap.
- De organisatorische eenheden in AFAS vormen een boom. KoppelHet levert naast de eigen afdeling ook het hele pad erboven, zodat een rol voor een heel cluster of een hele divisie in SailPoint met één regel is te maken.
- SailPoint weigert een identiteit zonder achternaam of werk-e-mailadres. AFAS houdt voorvoegsel en achternaam apart bij, en het werkadres ontstaat vaak pas als SailPoint het account heeft laten maken. KoppelHet voegt de naam samen en vult tot die tijd een tijdelijk adres volgens de naamgevingsregel.
- Heeft de organisatie meerdere werkgevers in AFAS, dan komt de werkgever als apart gegeven in SailPoint. Rollen die alleen voor één werkgever gelden, zoals toegang tot een eigen financieel systeem, kunnen daarop worden beperkt.
- SailPoint haalt bronnen normaal op vaste momenten op. KoppelHet levert na elke wijzigingsronde in AFAS aan en start de verwerking in SailPoint direct, zodat een vertrek niet tot de volgende geplande ronde blijft liggen.
- KoppelHet leest AFAS met een eigen connector die alleen de velden voor SailPoint bevat. BSN, salaris en bankgegevens komen in de identiteitsomgeving niet voor.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Maakt KoppelHet ook de accounts in Active Directory?
Nee. Met SailPoint is SailPoint degene die accounts maakt en toegang geeft. KoppelHet zorgt dat SailPoint de juiste HR-gegevens heeft.
Kunnen we de AFAS-bron naast een andere HR-bron gebruiken?
Ja. In SailPoint bepaalt de volgorde van de identity profiles welke bron voorgaat als iemand in beide staat.
Ziet SailPoint salarissen uit AFAS?
Nee. Alleen de gegevens die rollen en de levenscyclus nodig hebben, gaan mee.
Wat is achteraf terug te zien voor een audit?
Elke actie van de koppeling staat in de auditlogging van het KoppelHet-platform. KoppelHet werkt met een ISO 27001-gecertificeerd managementsysteem.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- AFAS wordt gelezen met een eigen GetConnector onder een eigen app connector, gefilterd op wijzigingsdatum, inclusief functieregels (organisatorische eenheid en functie met begindatum). Terugschrijven van het werkadres via de UpdateConnector KnEmployee (persoon, e-mail werk).
- SailPoint Identity Security Cloud krijgt een Delimited File-source als gezaghebbende bron. KoppelHet stuurt het bestand via de import-accounts-API, die de aggregatie direct start. Het identity profile rekent met een transform de lifecycle state uit startDate en endDate; verplichte attributen uid, email en lastname.
- De API-client in SailPoint heeft alleen rechten op deze source. Attribuutnamen aan de SailPoint-kant volgen het accountschema dat de klant op de source inricht.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in AFAS Profit | Veld in SailPoint | Toelichting |
|---|---|---|
Medewerkernummer | uid en employeeNumber | Sleutel van de identiteit |
Roepnaam | firstname | |
Voorvoegsel + Achternaam | lastname | Verplicht in SailPoint |
E-mail werk | email | Verplicht; tijdelijke waarde volgens naamgevingsregel zolang het leeg is |
Functiecode | jobCode | Code in plaats van omschrijving |
Functieomschrijving | title | |
Organisatorische eenheid (code en pad) | department en departmentPath | |
Werkgever | company | |
Leidinggevende (medewerkernummer) | manager | |
Datum in dienst en datum uit dienst | startDate en endDate | Basis voor de levenscyclusstatus |
Gerelateerd
ADP Workforce Now → AFAS Profit
ADP Workforce Now AFAS koppeling: Nederlandse medewerkers uit het Amerikaanse HR-systeem in AFAS Profit
AFAS Profit → 4PS Construct
AFAS 4PS Construct koppeling: loonjournaal per werkgever in de juiste 4PS-administratie
AFAS Profit → Active Directory
AFAS koppelen met Active Directory: accounts automatisch bij in- en uitdienst
AFAS Profit → Adobe Creative Cloud
AFAS Adobe Creative Cloud koppeling: gebruikers en productprofielen uit AFAS Profit