Identity en access management
Darwinbox Active Directory koppeling: domeinaccounts die Darwinbox volgen, per kantoorlocatie
Met een koppeling tussen Darwinbox en Active Directory krijgt een nieuwe medewerker uit Darwinbox automatisch een domeinaccount in de OU van zijn kantoorlocatie, met afdeling, functie en leidinggevende. Na de goedgekeurde laatste werkdag verloopt het account vanzelf, en het werkadres uit het domein gaat terug naar Darwinbox.
Wat de koppeling doet
Organisaties die Darwinbox als HR-platform gebruiken en hun werkplekken nog in een eigen Active Directory-domein beheren, laten IT accounts aanmaken op basis van mails uit HR. Een verhuizing naar een ander kantoor of een andere leidinggevende komt dan nooit in het domein, en het adres in Darwinbox loopt achter.
- IT installeert een programma van KoppelHet op een server in het domein, met rechten op de OU's van de koppeling.
- Darwinbox zet API-toegang aan, met een dataset en een trigger die gewijzigde velden bijhoudt.
- Een nieuwe medewerker wordt een uitgeschakeld account in de OU van zijn kantoorlocatie, dat op de datum in dienst aangaat.
- Het werkadres van het account zet KoppelHet terug in Darwinbox.
- Bij een goedgekeurd vertrek krijgt het account de laatste werkdag als vervaldatum en daarna een plek bij de vertrokken medewerkers.
Terug: Het werkadres van het domeinaccount komt als e-mailadres in Darwinbox.
Waar je op let bij Darwinbox en Active Directory
- Darwinbox kan per ingestelde trigger teruggeven welk veld veranderde, met de oude en de nieuwe waarde. KoppelHet gebruikt dat om alleen te handelen op velden die voor het domein tellen, zoals afdeling, functie, kantoorlocatie en leidinggevende, en niet op elke wijziging in een medewerkerdossier.
- Darwinbox heeft een stamtabel met kantoorlocaties. KoppelHet koppelt elke locatie aan een OU, zodat groepsbeleid, printers en scripts per kantoor kloppen. Komt er in Darwinbox een nieuwe locatie bij zonder OU, dan houdt KoppelHet het account in een wacht-OU en meldt het aan IT.
- Pas als een vertrek in Darwinbox goedgekeurd is, krijgt het domeinaccount de laatste werkdag als vervaldatum. Zo weigert Active Directory de aanmelding zelf op tijd, ook als het programma in het domein die dag niet draait. Een ingetrokken vertrek haalt de vervaldatum weer weg.
- Een gebruikersnaam in Active Directory mag hooguit 20 tekens hebben, terwijl namen in Darwinbox uit meerdere delen kunnen bestaan. KoppelHet bouwt de naam volgens jullie regel uit voornaam en achternaam, kort hem in en voegt bij een dubbele naam een volgnummer toe.
- Pas als Exchange of Microsoft 365 het adres heeft bevestigd, zet KoppelHet het werkadres terug in Darwinbox. Darwinbox heeft daar een eigen aanroep voor, zodat HR het adres niet overtypt en mail uit Darwinbox naar de werkmailbox gaat.
- Verwijdert HR een aanname in Darwinbox voor de startdatum, dan staat die op de lijst met verwijderde medewerkers. Het uitgeschakelde account dat al klaarstond, verwijdert KoppelHet dan uit het domein, zodat de gebruikersnaam niet bezet blijft.
- Darwinbox draait in de cloud en kan het domein niet bereiken. Het programma van KoppelHet haalt opdrachten zelf op via een uitgaande verbinding; er gaat niets open in de firewall en de server heeft geen toegang tot Darwinbox nodig.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Moet er iets open in de firewall?
Nee. Het programma in het domein maakt zelf een uitgaande verbinding met het KoppelHet-platform.
Wat als we ook Entra ID gebruiken?
Dan synchroniseert Microsoft het domeinaccount naar Entra ID. KoppelHet beheert alleen het account in Active Directory.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Darwinbox via de Employee Core API's (basic auth plus api_key per endpoint, of OAuth 2.0): masterapi/employee met datasetKey en last_modified, UpdateEmployeeDetails/pushTriggerDataWithNoPushUrl (api_id, from, to; per wijziging field, previous en latest), orgmasterapi/officelocationlist, separationDetails, getDeletedEmployees en UpdateEmployeeDetails/update voor email_id.
- Een KoppelHet-agent op een Windows-server in het domein met een uitgaande verbinding schrijft employeeID, sAMAccountName (maximaal 20 tekens), userPrincipalName, givenName, sn, displayName, title, department, physicalDeliveryOfficeName, manager en accountExpires, en verplaatst accounts tussen OU's.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Darwinbox | Veld in Active Directory | Toelichting |
|---|---|---|
employee_id | employeeID | Maximaal 16 tekens |
first_name, last_name | givenName, sn | |
Naamgevingsregel | sAMAccountName | Hooguit 20 tekens |
Naamgevingsregel | userPrincipalName en mail | |
designation | title | |
department | department | |
office location | physicalDeliveryOfficeName en OU | |
Leidinggevende | manager | |
Goedgekeurde laatste werkdag | accountExpires |
Gerelateerd
Darwinbox → ADP iHCM
Darwinbox ADP iHCM koppeling: CTC-wijzigingen, extra betalingen en goedgekeurd vertrek naar de Nederlandse ADP-payroll
Darwinbox → AFAS Profit
Darwinbox AFAS koppeling: Nederlandse medewerkers uit Darwinbox in de AFAS-salarisadministratie
ASDarwinbox → Arbodienst (SIVI)
Darwinbox koppelen met de arbodienst via SIVI: goedgekeurde ziekteverloven als verzuimmelding
Darwinbox → DATEV
Darwinbox DATEV koppeling: Duitse medewerkers, beloning en uitdiensttreding uit Darwinbox naar het DATEV-loonprogramma