Identity en access management
Cezanne HR Entra ID koppeling: Microsoft-account en SAML-inlog in één keer klaar
Met een koppeling tussen Cezanne HR en Microsoft Entra ID krijgt een nieuwe medewerker uit Cezanne HR een Microsoft-account met functie, afdeling, locatie en bedrijf, en wordt het account geblokkeerd na het einde van het dienstverband in Cezanne. Cezanne heeft in Entra ID alleen een app voor inloggen via SAML, en Microsoft noemt het aanmaken van gebruikers daarvoor handwerk; KoppelHet maakt het account en zet de SAML-identifier in Cezanne via de API.
Wat de koppeling doet
Organisaties met Cezanne HR en Microsoft 365 laten medewerkers vaak via Entra ID op Cezanne inloggen. Dan moet IT zowel het Microsoft-account maken als in Cezanne per persoon een SAML-identifier toevoegen, en dat gaat bij een nieuwe collega makkelijk een keer mis.
- HR legt de persoon en het dienstverband vast in Cezanne, met functie, afdeling en locatie.
- KoppelHet leest ook mensen die nog niet in dienst zijn en maakt het Microsoft-account voor de startdatum.
- KoppelHet voegt in Cezanne de SAML-identifier met het nieuwe adres toe, zodat inloggen op dag één werkt.
- Wijzigingen in functie, afdeling of locatie gaan in op hun ingangsdatum.
- Na het einde van het dienstverband blokkeert KoppelHet het account.
Waar je op let bij Cezanne HR en Microsoft Entra ID
- Cezanne staat in de Entra-galerij alleen voor inloggen via SAML, met één instantie per tenant. Microsoft schrijft dat gebruikers voor deze app met de hand in Cezanne worden aangemaakt, met per persoon een SAML-identifier gelijk aan het e-mailadres. KoppelHet vult die identifier via de API, zodra het Microsoft-account bestaat.
- Cezanne stuurt in de SAML-instellingen het e-mailadres als gebruikers-id. Het adres dat KoppelHet als userPrincipalName en mail maakt, is dus ook de waarde die Cezanne bij het inloggen verwacht.
- Een opvraging van alle personen in Cezanne geeft ook vertrekkers en mensen die nog moeten beginnen; het filter op actieve medewerkers laat die laatste weg. KoppelHet leest daarom alle personen en kijkt naar de startdatum, zodat een nieuwe collega een week van tevoren een account heeft.
- Functie, organisatie-eenheid en locatie staan in Cezanne in aparte tabellen met een ingangsdatum. KoppelHet past jobTitle, department en officeLocation op die datum aan, en niet op het moment dat HR een toekomstige wijziging invoert.
- Een lopend dienstverband heeft in Cezanne 31 december 2999 als einddatum. KoppelHet behandelt die datum als leeg, zodat er geen vertrekdatum ver in de toekomst op het Microsoft-account komt.
- Webhooks zitten bij Cezanne alleen in het pakket People PLUS+. Met dat pakket reageert KoppelHet op de melding; zonder leest KoppelHet de tabellen elk uur en vergelijkt het met de vorige stand.
- De API ziet precies wat de gebruiker achter het token in Cezanne mag zien. De koppelgebruiker krijgt alleen rechten op persoon, dienstverband en SAML-identifiers, en niet op salaris of bankgegevens.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Hebben we People PLUS+ nodig?
Nee. Zonder webhooks werkt de koppeling ook, met een ronde per uur.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Cezanne HR API v2 (OData, dataservice.svc, JSON) met OAuth 2.0; API-toegang via de Customer Success-contactpersoon van Cezanne. Tabellen People (ook vertrekkers en toekomstige instroom; filter ActiveEmployee), PeopleToEmploymentCurrentPrimary, Employments (CompanyCode, TerminationDate), JobDeployments, OrgUnitPositionDeployments, LocationDeployments en SAMLIdentifiers. Webhooks bij People PLUS+.
- Naar Entra ID via API-driven inbound provisioning (/bulkUpload met SCIM, vraagt Entra ID P1 of hoger) of Microsoft Graph (user met employeeId, userPrincipalName, mail, jobTitle, department, officeLocation, companyName, usageLocation, employeeHireDate, employeeLeaveDateTime en accountEnabled).
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Cezanne HR | Veld in Microsoft Entra ID | Toelichting |
|---|---|---|
PersonCode | employeeId | Maximaal 16 tekens |
FirstName en FamilyName | givenName, surname en displayName | |
Naamgevingsregel | userPrincipalName en mail | |
JobDeployments | jobTitle | |
OrgUnitPositionDeployments | department | |
LocationDeployments | officeLocation en usageLocation | |
CompanyCode (primaire employment) | companyName | |
TerminationDate | employeeLeaveDateTime en accountEnabled = false | |
userPrincipalName (Entra ID) | SAMLIdentifiers (Cezanne) |
Gerelateerd
Cezanne HR → Active Directory
Cezanne HR koppelen met Active Directory: domeinaccounts per werkgever en locatie
Cezanne HR → ADP iHCM
Cezanne HR ADP iHCM koppeling: compensatie, eenmalige betalingen en vertrek naar de Nederlandse ADP-payroll
Cezanne HR → AFAS Profit
Cezanne HR koppelen met AFAS: de Nederlandse werkgever uit Cezanne in AFAS Profit Payroll
ASCezanne HR → Arbodienst (SIVI)
Cezanne HR koppelen met de arbodienst via SIVI: absence events voor ziekte als verzuimmelding