Identity en access management
BambooHR Ping Identity koppeling: PingOne-gebruikers vanuit BambooHR
Met een koppeling tussen BambooHR en Ping Identity krijgt elke nieuwe medewerker uit BambooHR een gebruiker in PingOne, met functie, afdeling, divisie, locatie en leidinggevende, en kan die gebruiker na de einddatum in BambooHR niet meer inloggen. PingOne heeft geen kant-en-klare provisioning voor BambooHR, dus KoppelHet schrijft via de API's van PingOne en zet het werkadres terug in BambooHR, zodat ook single sign-on naar BambooHR klopt.
Wat de koppeling doet
Organisaties met BambooHR als HR-systeem en PingOne als identity provider gebruiken Ping vaak al voor single sign-on naar BambooHR zelf. Gebruikers in PingOne maakt IT nog met de hand aan, en een einddatum die HR vooruit invoert, komt pas bij IT aan als iemand het doorgeeft.
- In BambooHR komt een aparte gebruiker met een eigen API-sleutel, met schrijfrecht alleen op het werkadres; in PingOne een Worker-app met de rol Identity Data Admin.
- Met jullie leggen we vast welke populatie bij welk land of soort dienstverband hoort.
- Bij een nieuwe medewerker maakt KoppelHet de PingOne-gebruiker aan met aanmelden geblokkeerd, en zet het werkadres terug in BambooHR.
- Op de datum in dienst zet KoppelHet aanmelden aan; afdeling en divisie worden groepen.
- Na de einddatum blokkeert KoppelHet het aanmelden; verwijderen volgt na de bewaartermijn.
Waar je op let bij BambooHR en Ping Identity
- Ping beschrijft voor BambooHR alleen single sign-on, waarbij BambooHR het e-mailadres in de NameID verwacht. PingOne heeft een kant-en-klare HR-provisioner voor Workday, niet voor BambooHR. KoppelHet vult PingOne daarom zelf via de gebruikers-API van Ping.
- Omdat de single sign-on naar BambooHR op het e-mailadres werkt, moet het werkadres in PingOne gelijk zijn aan dat in BambooHR. KoppelHet maakt het adres met jullie naamgevingsregel en schrijft het terug in BambooHR, zodat een nieuwe collega op dag één ook in BambooHR zelf kan inloggen.
- Een overplaatsing staat in BambooHR als nieuwe regel in jobInfo met een ingangsdatum, vaak weken vooruit. KoppelHet past de groepen in PingOne pas aan op die ingangsdatum, zodat iemand niet al toegang krijgt tot de applicaties van zijn nieuwe afdeling.
- PingOne zet elke gebruiker in precies één populatie, en die is alleen via een apart verzoek te wijzigen. KoppelHet kiest de populatie uit de locatie in BambooHR en verhuist de gebruiker bij een overstap naar een ander land met dat verzoek, zodat MFA-apparaten en historie blijven.
- BambooHR geeft de leidinggevende als medewerker-id en als e-mailadres, beide alleen te lezen. PingOne heeft geen standaardveld voor de leidinggevende. KoppelHet zet het id in een eigen attribuut in het gebruikersschema, zodat goedkeuringsflows de lijn kunnen volgen.
- Een gebruikersnaam in PingOne is uniek, ongevoelig voor hoofdletters en maximaal 128 tekens. KoppelHet bouwt hem uit een vaste regel op het BambooHR-id of het werkadres, zodat een naamswijziging in BambooHR geen nieuwe gebruiker oplevert.
- Een verwijderd dossier in BambooHR is meestal een vergissing en geen vertrek. KoppelHet blokkeert dan niet, maar meldt het aan IT. Alleen een einddatum in de historie van de dienstverbandstatus leidt tot blokkeren.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Wat gebeurt er met beheerders en servicegebruikers in PingOne?
Die staan in hun eigen populatie en de koppeling laat ze met rust. KoppelHet raakt alleen gebruikers aan met een BambooHR-id.
Leest de koppeling salarissen in BambooHR?
Nee. De gebruiker achter de API-sleutel heeft geen toegang tot compensatie.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- KoppelHet leest BambooHR via event-based webhooks (employee.created, employee.updated met monitor fields, employee.deleted, ondertekend met HMAC SHA-256), het endpoint voor gewijzigde medewerkers en de tabellen jobInfo en employmentStatus. Het werkadres gaat terug via update-employee (workEmail).
- PingOne met een Worker-app (Identity Data Admin): gebruikers via /v1/environments/{envID}/users of de SCIM-ingang, username uniek en maximaal 128 tekens, population.id alleen te wijzigen via de population-subresource, groepen via de Platform API, eigen attributen in het user schema en aanmelden blokkeren via enabled.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in BambooHR | Veld in Ping Identity | Toelichting |
|---|---|---|
id | externalId | |
firstName of preferredName | name.given | |
lastName | name.family | |
Naamgevingsregel | username en email | |
jobInfo (jobTitle) | title | |
jobInfo (department en division) | Groepen per afdeling en divisie | |
jobInfo (location) | Populatie en eigen attribuut locatie | |
supervisorEId | Eigen attribuut leidinggevende | |
hireDate en terminationDate | enabled (aanmelden toegestaan of geblokkeerd) |
Gerelateerd
Ashby → BambooHR
Ashby BambooHR koppeling: aanname, gewijzigde startdatum en dienstverbandstatus in BambooHR
BambooHR → 4PS Construct
BambooHR 4PS Construct koppeling: medewerkers uit BambooHR in de 4PS-administratie van hun vestiging
BambooHR → Active Directory
BambooHR koppelen met Active Directory: accounts in je eigen domein vanuit HR
BambooHR → ADP iHCM
BambooHR ADP iHCM koppeling: salaris, bonussen en commissies naar de Nederlandse payroll