Identity en access management
Dayforce OneLogin koppeling: OneLogin-gebruikers vanuit Dayforce, binnen de limieten van beide API's
Met een koppeling tussen Dayforce en OneLogin wordt elke medewerker uit Dayforce een OneLogin-gebruiker met functie, afdeling, locatie en de manager van zijn primaire werktoewijzing, en gaat de gebruiker op geschorst zodra het dienstverband in Dayforce eindigt. OneLogin heeft geen Dayforce-directory; KoppelHet leest Dayforce, schrijft via de OneLogin-API en zet de OneLogin-login terug als SSO-account in Dayforce.
Wat de koppeling doet
Organisaties met Dayforce voor HR en salaris en OneLogin als identity provider zetten nieuwe collega's vaak met de hand in OneLogin. Rollen voor een locatie of land worden dan vergeten, en in Dayforce staat geen SSO-account, zodat inloggen op de eigen loonstrook pas na een ticket werkt.
- In Dayforce krijgt KoppelHet een API-gebruiker met een rol voor de velden die OneLogin nodig heeft en het SSO-account.
- In OneLogin maakt de beheerder een API-credential met Manage Users en het eigen attribuut voor het land.
- Bij livegang koppelen we bestaande OneLogin-gebruikers aan hun XRefCode.
- Nieuwe medewerkers komen als niet geactiveerd binnen met rollen uit de mappings, en gaan op de startdatum op actief.
- Na aanmaken zet KoppelHet de OneLogin-gebruikersnaam als SSO-account in Dayforce.
Waar je op let bij Dayforce en OneLogin
- OneLogin noemt als HR-bronnen voor provisioning Workday, UKG, Namely, BambooHR, HiBob en Sapling. Dayforce staat er niet tussen. KoppelHet gebruikt daarom de API van OneLogin om gebruikers aan te maken en bij te werken, met jullie eigen mappings voor de rollen.
- Beide kanten hebben een limiet. Dayforce geeft hooguit honderd medewerkerdetails per minuut, OneLogin staat vijfduizend aanroepen per uur per account toe. Een volledige vergelijking van een grote populatie raakt dus aan beide grenzen; KoppelHet spreidt hem over de nacht en werkt overdag alleen met gewijzigde medewerkers.
- Een aanname staat in Dayforce vaak weken vooruit. KoppelHet vraagt de gegevens op zoals ze op de startdatum gelden en maakt de OneLogin-gebruiker aan met status 0, niet geactiveerd. De mappings geven dan al de rollen van de nieuwe baan, maar aanmelden kan pas als KoppelHet op de startdatum status 1 zet.
- Dayforce bewaart managers per werktoewijzing; OneLogin verwacht de manager als OneLogin-gebruikers-id. KoppelHet neemt de manager van de primaire werktoewijzing, zoekt diens gebruiker op via external_id en vult manager_user_id, zodat goedkeuringen in apps achter OneLogin bij de dagelijkse leidinggevende uitkomen.
- Dayforce kan per medewerker een account voor single sign-on bewaren. Loggen medewerkers via OneLogin in bij Dayforce, dan zet KoppelHet de OneLogin-gebruikersnaam daar, zodat een nieuwe collega op dag één ook in Dayforce kan. Daarom is deze koppeling in twee richtingen.
- Dayforce bedient vaak meerdere landen. OneLogin kent geen standaardveld voor land; KoppelHet zet het land van de primaire werklocatie in een eigen attribuut, dat eerst in OneLogin moet bestaan. Een onbekend attribuut laat OneLogin de hele gebruiker weigeren.
- Zonder recht op een veld laat Dayforce het zonder foutmelding weg uit het antwoord. Een lege functie zou in OneLogin de verkeerde mapping en dus de verkeerde rollen geven. KoppelHet schrijft een medewerker pas naar OneLogin als functie, afdeling en land gevuld zijn.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Krijgen nieuwe gebruikers een uitnodigingsmail van OneLogin?
Nee, OneLogin stuurt die niet bij aanmaken via de API. Jullie bepalen hoe een nieuwe collega zijn eerste wachtwoord of passkey krijgt.
Wordt een vertrekker verwijderd uit OneLogin?
Nee, de gebruiker gaat op geschorst. Verwijderen blijft een keuze van IT.
Gaat de koppeling ten koste van onze payrollkoppeling op Dayforce?
KoppelHet vraagt alleen gewijzigde medewerkers op en spreidt de nachtelijke vergelijking, zodat andere koppelingen ruimte houden binnen de limiet van Dayforce.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Dayforce RESTful Web Services: GET /V1/Employees met filterUpdatedStartDate, filterUpdatedEndDate, filterHireStartDate en filterTerminationStartDate (alleen XRefCodes), per XRefCode de details met expand voor WorkAssignments, EmploymentStatuses, EmployeeWorkAssignmentManagers, Contacts en SSOAccounts, met contextDate; rate limiter 10 per seconde of 100 per minuut per klant.
- OneLogin API v2 met een credential met Manage Users: POST /api/2/users?mappings=sync en PUT /api/2/users/{id} met username, email, firstname, lastname, title, department, company, external_id, manager_user_id, custom_attributes en status (0 Unactivated, 1 Active, 2 Suspended); GET /api/2/users op external_id; 5.000 aanroepen per uur per account.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Dayforce | Veld in OneLogin | Toelichting |
|---|---|---|
XRefCode | external_id | |
FirstName, LastName | firstname, lastname | |
Contacts (zakelijk e-mailadres) of naamgevingsregel | username en email | |
WorkAssignments (primair): Job | title | |
WorkAssignments (primair): Department | department | |
Legal entity | company | |
WorkAssignments (primair): Location, land | custom_attributes.country | |
EmployeeWorkAssignmentManagers (primair) | manager_user_id | |
EmploymentStatuses, HireDate, TerminationDate | status (0, 1 of 2) | |
username (OneLogin) | SSOAccounts (Dayforce) |
Gerelateerd
Ashby → Dayforce
Ashby Dayforce koppeling: aanname eerst laten controleren door Dayforce, dan pas opslaan
Bullhorn → Dayforce
Bullhorn Dayforce koppeling: eerste plaatsing van een werknemer als medewerker in Dayforce
Carerix → Dayforce
Carerix Dayforce koppeling: geslaagde plaatsing als gecontroleerde nieuwe medewerker in Dayforce
Dayforce → 4PS Construct
Dayforce 4PS Construct koppeling: monteurs en uitvoerders uit Dayforce in 4PS, met kostenplaats en einddatum