Identity en access management
BambooHR OneLogin koppeling: OneLogin-gebruikers en rollen vanuit BambooHR, met de directory van OneLogin of maatwerk
Met een koppeling tussen BambooHR en OneLogin wordt elke medewerker in BambooHR een OneLogin-gebruiker met functie, afdeling, rollen en leidinggevende, en wordt die gebruiker geschorst op de vertrekdatum. OneLogin heeft zelf een BambooHR-directory die elke zes uur synchroniseert; KoppelHet komt erbij als vertrek sneller moet, de leidinggevende direct moet kloppen of eigen statussen in BambooHR de directory in de weg zitten.
Wat de koppeling doet
Organisaties die BambooHR als bron voor OneLogin gebruiken, beginnen vaak met de BambooHR-directory in OneLogin. Wat daarna knelt, is de wachttijd tot de volgende synchronisatie bij een vertrek, een leidinggevende die via een omweg moet worden gevuld, en uitdienststatussen met eigen namen die de directory niet herkent.
- In BambooHR komt een API-sleutel op een gebruiker die alleen de medewerkers en velden voor OneLogin mag zien, en een webhook op de gevolgde velden.
- In OneLogin maakt de beheerder een API-credential met Manage Users voor KoppelHet.
- Bij een nieuwe medewerker maakt KoppelHet de OneLogin-gebruiker aan, geschorst tot de startdatum, met rollen en leidinggevende.
- Op de startdatum zet KoppelHet de gebruiker op actief; OneLogin stuurt daarna zelf de apps uit via rollen en mappings.
- Op de vertrekdatum zet KoppelHet de gebruiker op geschorst en meldt het als dat niet lukt.
Waar je op let bij BambooHR en OneLogin
- De BambooHR-directory van OneLogin synchroniseert automatisch elke zes uur. Een vertrek in de ochtend kan dus pas aan het eind van de middag doorkomen. KoppelHet reageert op de webhook van BambooHR en schorst de gebruiker op de vertrekdatum zelf.
- OneLogin koppelt het eigen veld leidinggevende aan de OneLogin- of Active Directory-directory, dus de directory kan de leidinggevende uit BambooHR er niet rechtstreeks in zetten. OneLogin adviseert een omweg via een eigen veld en een mapping. KoppelHet zoekt de OneLogin-gebruiker van de leidinggevende op en vult manager_user_id direct.
- De optie om uitdienstgetreden medewerkers niet aan te maken werkt niet als BambooHR eigen namen voor uitdienststatussen gebruikt. KoppelHet leidt vertrek af uit de vertrekdatum en de geschiedenis van de dienstverbandstatus, zodat de naam van de status er niet toe doet.
- De directory leest van jobInfo en employmentStatus alleen de huidige waarde. Een terugkerende collega ziet OneLogin daarom als nieuw. KoppelHet herkent hem aan de oorspronkelijke datum in dienst in BambooHR en zet de bestaande OneLogin-gebruiker met hetzelfde external_id weer actief.
- Teams en groepen uit BambooHR komen in de directory binnen als lijst met puntkomma's in een eigen veld, waarna regels er rollen van maken. KoppelHet vertaalt afdeling, divisie en locatie volgens een vaste tabel naar role_ids, zodat een rol niet afhangt van hoe een tekst in een lijst is gespeld.
- Zowel de directory als KoppelHet zien alleen de medewerkers en velden die de BambooHR-gebruiker achter de sleutel mag zien. OneLogin noemt als symptoom dat alleen de beheerder zelf wordt gesynchroniseerd. KoppelHet controleert bij elke ronde of het aantal medewerkers en de verplichte velden kloppen, en stopt bij een plotselinge daling.
- Gebruikers die via de API van OneLogin ontstaan, krijgen geen uitnodigingsmail, en een gebruikersnaam mag maar één keer voorkomen per subdomein. KoppelHet controleert de naam vooraf en zorgt dat het eerste wachtwoord via jullie eigen onboardingstap loopt.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Waarom niet alleen de BambooHR-directory van OneLogin?
Die volstaat vaak bij standaardstatussen en als zes uur wachten bij vertrek geen probleem is. Kies maatwerk als toegang op de dag zelf moet stoppen.
Maakt de koppeling ook accounts in andere apps?
Dat doet OneLogin zelf, via rollen en app-provisioning. KoppelHet zorgt dat de rollen kloppen.
Wat gebeurt er bij een uitdienstgetreden medewerker?
De gebruiker wordt geschorst op de vertrekdatum. Verwijderen gebeurt pas na de bewaartermijn.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Standaard: de BambooHR-directory in OneLogin (Users, Directories) met een permanent BambooHR-token en het subdomein, automatische synchronisatie elke zes uur, Synchronize Users (Force) voor een directe ronde, optioneel een real-time update-URL voor BambooHR-webhooks, Sync user status en Do not create terminated users.
- KoppelHet leest BambooHR via event-based webhooks (employee.created, employee.updated met monitor fields, employee.deleted) en de REST API (jobInfo, employmentStatus, originalHireDate, supervisorEId).
- Naar OneLogin via API v2 met scope Manage Users: POST en PUT /api/2/users met username, email, external_id, title, department, manager_user_id, role_ids en status (0 niet geactiveerd, 1 actief, 2 geschorst); mappings=sync laat mappings vóór het antwoord draaien. Onbekend custom attribute geeft 400.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in BambooHR | Veld in OneLogin | Toelichting |
|---|---|---|
id | external_id | |
firstName en lastName | firstname en lastname | |
workEmail | email en username | |
jobInfo.jobTitle | title | |
jobInfo.department | department | |
jobInfo.division en jobInfo.location | role_ids | Volgens de rollentabel |
supervisorEId | manager_user_id | |
employmentStatus en terminationDate | status (1 actief, 2 geschorst) |
Gerelateerd
Ashby → BambooHR
Ashby BambooHR koppeling: aanname, gewijzigde startdatum en dienstverbandstatus in BambooHR
BambooHR → 4PS Construct
BambooHR 4PS Construct koppeling: medewerkers uit BambooHR in de 4PS-administratie van hun vestiging
BambooHR → Active Directory
BambooHR koppelen met Active Directory: accounts in je eigen domein vanuit HR
BambooHR → ADP iHCM
BambooHR ADP iHCM koppeling: salaris, bonussen en commissies naar de Nederlandse payroll