Identity en access management
AlexisHR Active Directory koppeling: accounts in het eigen domein vanuit Simployer One
Met een koppeling tussen AlexisHR, nu Simployer One, en Active Directory krijgt elke nieuwe medewerker in AlexisHR een account in het eigen domein, in de map van zijn bedrijf en afdeling en met de juiste leidinggevende. Bij vertrek verloopt het AD-account op de einddatum uit AlexisHR, ook als die datum al weken vooruit bekend is.
Wat de koppeling doet
Organisaties die AlexisHR als HR-systeem hebben en hun accounts nog in een eigen Active Directory beheren, maken nieuwe accounts vaak nog met de hand aan, op basis van een mail van HR. Hun gebruikers worden vanuit het domein naar de cloud gesynchroniseerd, dus de wijziging moet in het domein gebeuren.
- In AlexisHR zetten we webhooks op het KoppelHet platform, met een geheime sleutel voor de ondertekening.
- In het domein installeert IT een klein programma van KoppelHet dat alleen uitgaand verbinding maakt en de opdrachten ophaalt.
- Bij een nieuwe medewerker maakt het programma het account aan in de map van bedrijf en afdeling, met de afgesproken inlognaam.
- Bij een wijziging van functie, afdeling of leidinggevende werkt het programma de gegevens bij en verplaatst het account zo nodig.
- Zodra een einddatum bekend is, zet KoppelHet de vervaldatum; na de offboarding wordt het account uitgeschakeld en verplaatst naar de map voor vertrekkers.
Waar je op let bij AlexisHR en Active Directory
- Gebruikers die vanuit Active Directory worden gesynchroniseerd, kun je volgens Microsoft niet in Entra ID beheren. KoppelHet schrijft daarom in het domein zelf, en de synchronisatie neemt de wijziging mee naar de cloud.
- AlexisHR wordt in Scandinavië ontwikkeld en namen staan er in eigen spelling, met letters als ø, å en ä. KoppelHet houdt die spelling aan in de weergavenaam en gebruikt voor inlognaam en UPN een vaste omzetting, zodat die maximaal 20 tekens telt en in elk systeem werkt.
- Een kantoor in AlexisHR heeft een eigen tijdzone. KoppelHet gebruikt de tijdzone van het kantoor van de medewerker om de einddatum om te rekenen naar het UTC-tijdstip dat accountExpires verwacht, zodat een collega in Stockholm of Amsterdam niet een uur te vroeg of te laat wordt buitengesloten.
- AlexisHR stuurt employee.offboarded pas als de einddatum van de offboarding is bereikt. KoppelHet wacht daar niet op. Zodra de einddatum in AlexisHR staat, zet het de vervaldatum op het account, zodat het ook verloopt als het programma in het domein die dag niet draait.
- De leidinggevende staat in AlexisHR als een ander employee-id. Active Directory verwacht de distinguished name van een account. KoppelHet zoekt het account van de leidinggevende op via diens personeelsnummer in employeeID; staat dat er nog niet, dan volgt de leidinggevende in de volgende ronde.
- Afdelingen in AlexisHR hebben een bovenliggende afdeling, en één account kan meerdere bedrijven bevatten. KoppelHet bouwt daarmee een map per bedrijf met daaronder de afdelingen, zodat groepsbeleid per bedrijf of per afdeling kan verschillen.
- Verwijdert HR een profiel in AlexisHR, dan komt er een melding employee.deleted. KoppelHet verwijdert dan geen AD-account, maar schakelt het uit en zet het in de map voor vertrekkers; verwijderen blijft een bewuste stap van IT.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Moet AlexisHR bij ons netwerk kunnen?
Nee. De meldingen komen binnen op het KoppelHet platform, en het programma in jullie domein haalt de opdrachten daar op met een uitgaande verbinding.
Ziet de koppeling salaris of persoonsnummer?
KoppelHet vraagt alleen de velden op die voor het account nodig zijn. Het AlexisHR-token heeft wel rechten op het hele account; bewaar het daarom alleen op het platform.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- AlexisHR via de HRM One API (api.alexishr.com/v1, bearer token met owner-rechten): GET /employee (employeeNumber, firstName, lastName, workEmail, title, managerEmployeeId, departmentId, companyId, officeId, endDate, offboardDate), /department (parentId), /company en /office (timezone); nachtelijk met filters[updated][$gte]. Ondertekende webhooks employee.created, employee.updated, employee.onboarded, employee.offboarded en employee.deleted.
- Een KoppelHet-agent in het domein voert de wijzigingen uit via een uitgaande verbinding. AD-attributen onder meer employeeID, sAMAccountName (maximaal 20 tekens, uniek in het domein), userPrincipalName (uniek in het forest), mail, givenName, sn, displayName, title, department, company, manager en accountExpires (100-nanosecondenintervallen sinds 1 januari 1601 UTC).
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in AlexisHR | Veld in Active Directory | Toelichting |
|---|---|---|
employeeNumber | employeeID | Sleutel tussen beide systemen |
firstName, lastName | givenName, sn en displayName | |
Naamgevingsregel | sAMAccountName en userPrincipalName | Inlognaam maximaal 20 tekens |
workEmail | mail | |
title | title | |
departmentId (naam en parentId via /department) | department en OU | |
companyId (naam via /company) | company en OU | |
managerEmployeeId | manager | Distinguished name van de leidinggevende |
endDate met timezone van het kantoor | accountExpires |
Gerelateerd
AlexisHR → AFAS Profit
AlexisHR (Simployer One) koppelen met AFAS: de Nederlandse vestiging in AFAS Profit Payroll
AlexisHR → Microsoft Entra ID
AlexisHR Entra ID koppeling: gebruikers met personeelsnummer en groepen, geblokkeerd bij vertrek
AlexisHR → Google Workspace
AlexisHR Google Workspace koppeling: een Google-account dat de medewerker volgt, van onboarding tot vertrek
AlexisHR → Loket
AlexisHR Loket koppeling: medewerkers van het Nederlandse bedrijf uit AlexisHR in de salarisadministratie