Identity en access management
BambooHR koppelen met Entra ID: Microsoft-accounts vanuit HR, geblokkeerd bij vertrek
Met een koppeling tussen BambooHR en Microsoft Entra ID krijgt elke nieuwe medewerker in BambooHR een Microsoft-account met functie, afdeling, leidinggevende en licentie, en wordt de aanmelding op de vertrekdatum geblokkeerd. Het werk-e-mailadres gaat terug naar BambooHR, zodat HR en IT hetzelfde adres gebruiken.
Wat de koppeling doet
Organisaties die BambooHR voor HR en Microsoft 365 voor mail en Teams gebruiken, horen vaak informeel dat iemand begint en maken het account met de hand aan. In BambooHR staat alleen het privéadres, en vertrekkers vallen soms pas op bij de licentieafrekening.
- HR maakt de nieuwe medewerker aan in BambooHR, met locatie, afdeling, functie en leidinggevende.
- BambooHR meldt de nieuwe medewerker direct. KoppelHet haalt de actuele gegevens op en maakt het Microsoft-account aan volgens jullie naamgevingsregels.
- Het nieuwe werkadres komt in BambooHR, zodat meldingen en de uitnodiging voor de eerste werkdag naar het werkadres gaan.
- Verandert de functie, afdeling of leidinggevende, dan volgen de gegevens en groepen in Entra ID.
- Op de datum van beëindiging blokkeert KoppelHet de aanmelding en haalt de medewerker uit de groepen. De licentie vervalt na de termijn die jullie kiezen.
Waar je op let bij BambooHR en Microsoft Entra ID
- Microsoft heeft in Entra ID eigen HR-koppelingen voor Workday en SuccessFactors, maar niet voor BambooHR. Voor andere HR-systemen verwijst Microsoft naar aanlevering via een API. Die aanlevering verzorgt KoppelHet, zonder dat jullie eigen scripts hoeven te onderhouden.
- BambooHR geeft bij elke medewerker het e-mailadres van de leidinggevende mee. KoppelHet zoekt daarmee het Microsoft-account van de leidinggevende op. Begint een nieuwe manager tegelijk met zijn team, dan maakt KoppelHet eerst het account van de manager aan.
- Een melding voor een gewijzigde medewerker verstuurt BambooHR alleen voor velden die in de melding worden gevolgd. KoppelHet laat daarom functie, afdeling, divisie, locatie, leidinggevende en dienstverbandstatus volgen; andere wijzigingen, zoals een nieuw privéadres, blijven buiten Entra ID.
- BambooHR kent ook een melding voor een verwijderd medewerkersdossier. Dat is meestal een dossier dat per ongeluk is aangemaakt, geen vertrek. KoppelHet verwijdert dan geen account, maar zet het op een lijst voor IT.
- De datum van beëindiging staat in BambooHR in de historie van de dienstverbandstatus en kan vooruit worden ingevoerd. KoppelHet blokkeert op die datum, niet op het moment dat HR het vertrek vastlegt.
- Een Microsoft 365-licentie vraagt een land bij de gebruiker. BambooHR-omgevingen van internationale bedrijven hebben locaties in meerdere landen; het land van de locatie gaat mee naar Entra ID, en alleen medewerkers op locaties die bij deze Microsoft-omgeving horen krijgen een account.
- Mislukt een melding, dan probeert BambooHR het nog vijf keer, de laatste keer na veertig minuten. Daarna vangt de dagelijkse controle op gewijzigde medewerkers het op.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Hoe snel staat een nieuwe medewerker uit BambooHR in Entra ID?
Kort nadat BambooHR de wijziging meldt, meestal op de dag dat HR hem opslaat. Het account staat dan klaar, ook als de eerste werkdag pas over een paar weken is.
Ziet de koppeling salarissen in BambooHR?
Nee. De koppeling kijkt mee met een BambooHR-gebruiker zonder toegang tot beloning. Alleen persoons- en functiegegevens gaan naar Entra ID.
Krijgen contractors in BambooHR ook een account?
Dat bepalen jullie. De dienstverbandstatus uit BambooHR staat in Entra ID, zodat IT contractors andere groepen en toegangsregels kan geven dan vaste medewerkers.
Werkt dit ook met Active Directory in ons eigen netwerk?
Ja, via een klein programma in jullie netwerk.
Wat is achteraf terug te zien voor een audit?
Elke actie van de koppeling staat in de auditlogging van het KoppelHet-platform. KoppelHet werkt met een ISO 27001-gecertificeerd managementsysteem.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- BambooHR wordt gelezen via event-based webhooks (employee.created, employee.updated met monitor fields, employee.deleted), ondertekend met HMAC SHA-256 (X-BambooHR-Signature en X-BambooHR-Timestamp), en het endpoint voor gewijzigde medewerkers op tijdstempel als vangnet. Na een melding haalt KoppelHet de medewerker op via get-employee.
- Velden onder meer employeeNumber, firstName, preferredName, lastName, workEmail, jobTitle, department, division, location, supervisorEmail (alleen lezen), employmentStatus, hireDate en terminationDate (alleen lezen, vastgelegd via de tabel employmentStatus). Het werkadres gaat terug via update-employee (workEmail).
- Naar Entra ID schrijven we via Microsoft Graph (user) of via API-driven inbound provisioning (/bulkUpload met SCIM, maximaal 50 bewerkingen per aanroep; vraagt Entra ID P1 of hoger). Velden employeeId (maximaal 16 tekens), companyName (maximaal 64 tekens), usageLocation (verplicht voor licenties), employeeType, employeeHireDate en accountEnabled = false bij vertrek.
- De BambooHR API-key hoort bij een aparte gebruiker met leesrechten op persoons- en functiegegevens en schrijfrecht op workEmail; geen toegang tot compensation.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in BambooHR | Veld in Microsoft Entra ID | Toelichting |
|---|---|---|
employeeNumber (of het BambooHR-id) | employeeId | Vaste sleutel; maximaal 16 tekens in Entra ID |
preferredName of firstName | givenName en displayName | Roepnaam als die er is |
lastName | surname | |
Naamgevingsregel | userPrincipalName en mail | Gaat daarna terug naar workEmail in BambooHR |
jobTitle | jobTitle | |
department | department | |
division | companyName | Maximaal 64 tekens |
supervisorEmail | manager | Opgezocht als bestaand account in Entra ID |
location (land) | usageLocation en officeLocation | |
employmentStatus | employeeType | Bijvoorbeeld Full-Time, Part-Time of Contractor |
hireDate | employeeHireDate |
Gerelateerd
Ashby → BambooHR
Ashby BambooHR koppeling: aanname, gewijzigde startdatum en dienstverbandstatus in BambooHR
BambooHR → 4PS Construct
BambooHR 4PS Construct koppeling: medewerkers uit BambooHR in de 4PS-administratie van hun vestiging
BambooHR → Active Directory
BambooHR koppelen met Active Directory: accounts in je eigen domein vanuit HR
BambooHR → ADP iHCM
BambooHR ADP iHCM koppeling: salaris, bonussen en commissies naar de Nederlandse payroll