Identity en access management
BambooHR koppelen met Active Directory: accounts in je eigen domein vanuit HR
Met een koppeling tussen BambooHR en Active Directory maakt KoppelHet voor elke nieuwe medewerker in BambooHR een account aan in de juiste OU, met functie, afdeling, leidinggevende en foto, en schakelt het account op de laatste werkdag uit. IT hoeft geen formulieren of Slack-berichten meer over te typen en vertrekkers blijven niet actief in het domein.
Wat de koppeling doet
Internationale organisaties die BambooHR voor alle landen gebruiken en in Nederland nog een Active Directory hebben, maken accounts met de hand aan na een mail van HR. De OU-structuur loopt achter op de organisatie in BambooHR.
- IT installeert eenmalig een klein programma van KoppelHet op een server in het domein. Dat programma legt zelf een uitgaande verbinding.
- HR maakt de nieuwe medewerker aan in BambooHR. KoppelHet bepaalt uit de locatie of divisie in welke OU het account hoort.
- Het account staat klaar met inlognaam, e-mailadres, functie, afdeling, leidinggevende en de foto uit BambooHR. Via de bestaande synchronisatie staat het ook in Microsoft 365.
- Bij een overplaatsing verhuist het account naar de nieuwe OU en wisselen de groepen.
- Op de datum van beëindiging wordt het account uitgeschakeld en naar een aparte OU voor vertrekkers verplaatst.
Waar je op let bij BambooHR en Active Directory
- BambooHR geeft bij de leidinggevende diens personeelsnummer mee. KoppelHet zoekt in het domein het account met datzelfde nummer en zet dat als manager, zodat de organisatieweergave in Outlook en Teams klopt na synchronisatie.
- BambooHR levert pasfoto's in vaste formaten. KoppelHet neemt een formaat dat onder de grens van 100 kB voor foto's in Active Directory blijft, zodat de foto uit HR in de adreslijst staat zonder dat IT hem apart uploadt.
- Locaties en divisies in BambooHR zijn vaak ingericht voor het hoofdkantoor, niet voor jullie OU-structuur. Een vertaaltabel bepaalt per locatie of divisie de OU, en een locatie die niet in de tabel staat geeft een melding in plaats van een account op een willekeurige plek.
- Inlognamen in Active Directory mogen niet langer zijn dan 20 tekens. Bij lange Nederlandse namen met tussenvoegsels kort KoppelHet de naam in volgens een vaste regel en voegt een volgnummer toe als de naam al bestaat.
- Een beëindiging kan in BambooHR weken vooruit staan. KoppelHet zet de einddatum direct als vervaldatum op het account, zodat het ook op die datum stopt als het programma in het domein die dag niet draait.
- De meldingen uit BambooHR gaan naar het platform van KoppelHet, niet naar jullie netwerk. Het programma in het domein haalt de opdrachten op, dus er hoeft geen poort open in de firewall.
- BambooHR bevat medewerkers uit alle landen. Alleen medewerkers op locaties die bij dit domein horen krijgen een account; een collega die naar een andere locatie verhuist, wordt in dit domein als vertrekker behandeld.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Moet er een poort open in onze firewall?
Nee. Het programma van KoppelHet in jullie domein maakt alleen een uitgaande verbinding.
Wat gebeurt er met accounts die al bestaan?
Voor livegang koppelen we bestaande accounts aan medewerkers in BambooHR via het personeelsnummer of het e-mailadres. Wat we niet kunnen koppelen, beoordeelt IT eerst.
Komen de accounts ook in Microsoft 365?
Ja, via jullie bestaande synchronisatie van Active Directory naar Microsoft Entra ID. Gebruiken jullie alleen Entra ID, dan koppelen we BambooHR direct met Entra ID.
Hoe zit het met de AVG?
Jullie zijn verwerkingsverantwoordelijke en KoppelHet is verwerker, onder een verwerkersovereenkomst. De koppeling leest alleen de velden die Active Directory nodig heeft.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- BambooHR wordt gelezen via event-based webhooks (employee.created, employee.updated met monitor fields) met HMAC-handtekening, en het changed-endpoint als vangnet. Velden onder meer employeeNumber, preferredName, firstName, lastName, jobTitle, department, division, location, supervisorId (personeelsnummer van de leidinggevende, alleen lezen) en terminationDate. Foto via get-employee-photo (formaten van original tot tiny, large is 340×340).
- Een KoppelHet-agent op een Windows-server in het domein schrijft de AD-attributen employeeID (maximaal 16 tekens), sAMAccountName (maximaal 20 tekens), userPrincipalName, mail, givenName, sn, displayName, title, department, physicalDeliveryOfficeName, manager, thumbnailPhoto (maximaal 102.400 bytes) en accountExpires, en verplaatst accounts tussen OU's.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in BambooHR | Veld in Active Directory | Toelichting |
|---|---|---|
employeeNumber | employeeID | Koppelsleutel; maximaal 16 tekens in AD |
preferredName of firstName | givenName | |
lastName | sn en displayName | |
Naamgevingsregel | sAMAccountName | Maximaal 20 tekens, volgnummer bij dubbelen |
Naamgevingsregel | userPrincipalName en mail | Gaat terug naar workEmail in BambooHR |
jobTitle | title | |
department | department | |
location of division | OU en physicalDeliveryOfficeName | Via een vertaaltabel |
supervisorId | manager | Distinguished name van het account met dat personeelsnummer |
Foto (formaat large) | thumbnailPhoto | Maximaal 100 kB |
terminationDate | accountExpires |
Gerelateerd
Ashby → BambooHR
Ashby BambooHR koppeling: aanname, gewijzigde startdatum en dienstverbandstatus in BambooHR
BambooHR → 4PS Construct
BambooHR 4PS Construct koppeling: medewerkers uit BambooHR in de 4PS-administratie van hun vestiging
BambooHR → ADP iHCM
BambooHR ADP iHCM koppeling: salaris, bonussen en commissies naar de Nederlandse payroll
BambooHR → AFAS Profit
BambooHR AFAS koppeling: contract en salaris automatisch naar de salarisadministratie