Identity en access management
Dayforce Ping Identity koppeling: Dayforce als bron voor gebruikers in PingOne
Met een koppeling tussen Dayforce en Ping Identity krijgt elke nieuwe medewerker uit Dayforce een gebruiker in PingOne, in de populatie van zijn land en met functie, afdeling en manager uit de primaire werktoewijzing. PingOne leest Dayforce niet zelf in; KoppelHet levert de gebruikers aan via de SCIM-ingang van PingOne, binnen de limiet van de Dayforce-API, en zet ze uit op de einddatum.
Wat de koppeling doet
Organisaties die Dayforce voor HR en salaris gebruiken en PingOne als toegangspoort, ontdekken dat PingOne alleen Workday als HR-bron kent. Nieuwe collega's komen dan via een formulier van HR in PingOne, en omdat Dayforce vaak meerdere landen bedient, belandt iedereen in één populatie met hetzelfde beleid.
- In Dayforce maken we een web services-gebruiker met een rol die alleen de benodigde organisatie-eenheden en gegevens mag lezen.
- In PingOne maakt de beheerder een Worker-app met de rol Identity Data Admin en een populatie per land.
- KoppelHet vraagt de gewijzigde medewerkers op en leest per medewerker de details, gespreid binnen de limiet van Dayforce.
- Een nieuwe medewerker wordt een uitgeschakelde gebruiker in de populatie van zijn land; op de startdatum zet KoppelHet hem aan.
- Op de einddatum zet KoppelHet de gebruiker uit, en dagelijks controleert KoppelHet per medewerker of PingOne overeenkomt.
Waar je op let bij Dayforce en Ping Identity
- PingOne kent als inkomende HR-bron alleen Workday, naast een LDAP-gateway en SCIM. Ook Advanced Identity Cloud heeft geen Dayforce-sjabloon. KoppelHet levert daarom aan via de SCIM-API, die Ping zelf aanraadt voor het importeren van gebruikers.
- Aan beide kanten zit een grens. Dayforce geeft per klant hooguit honderd medewerkerdetails per minuut, en PingOne geeft via SCIM hooguit tweehonderd gebruikers terug zonder volgende pagina. KoppelHet vergelijkt daarom niet met volledige lijsten, maar per medewerker op externalId, gespreid over de nacht.
- Dayforce bedient vaak meerdere landen, en de werklocatie van de primaire toewijzing bepaalt het land. KoppelHet zet elke gebruiker in de PingOne-populatie van dat land, zodat wachtwoordbeleid en MFA per land kunnen verschillen. Verhuist iemand naar een ander land, dan verplaatst KoppelHet de gebruiker met de aparte populatie-aanroep van PingOne.
- Een aanname staat in Dayforce vaak weken vooruit, en PingOne zet een nieuwe gebruiker standaard aan. KoppelHet vraagt de gegevens op zoals ze op de startdatum gelden en maakt de gebruiker expliciet uitgeschakeld aan. Op de startdatum gaat hij aan, met de functie en het land van de nieuwe baan.
- Dayforce kan per medewerker een account voor single sign-on vastleggen. Loggen medewerkers via PingOne in bij Dayforce, dan zet KoppelHet de PingOne-gebruikersnaam daar neer. Omdat die naam in PingOne vastligt zodra PingID in gebruik is, verandert het SSO-account in Dayforce niet bij een naamswijziging.
- Dayforce bewaart naast de officiële naam een roepnaam. PingOne heeft naast voor- en achternaam een nickname. KoppelHet zet de roepnaam daar, zodat het welkomstscherm van PingOne de naam toont die de collega zelf gebruikt.
- Velden komen in Dayforce alleen mee als de rol van de API-gebruiker er recht op heeft, zonder foutmelding als dat niet zo is. Een gebruiker zonder land zou in PingOne in de standaardpopulatie belanden. KoppelHet houdt een medewerker zonder land of functie tegen en meldt dat aan HR.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Merken andere Dayforce-koppelingen hier iets van?
De limiet van Dayforce geldt per klant. KoppelHet vraagt alleen wijzigingen op en spreidt de dagelijkse controle, zodat andere koppelingen ruimte houden.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Dayforce RESTful Web Services: GET /V1/Employees met filterUpdatedStartDate en filterUpdatedEndDate, filterHireStartDate, filterTerminationStartDate en orgUnitXRefCode (alleen XRefCodes, zonder extra toegangscontrole), daarna per XRefCode de details met expand voor WorkAssignments, EmploymentStatuses, EmployeeWorkAssignmentManagers, Contacts en SSOAccounts, met contextDate. Rate limiter 10 per seconde of 100 per minuut per klant.
- PingOne via een Worker-app met de rol Identity Data Admin: SCIM /v2/Users met externalId, userName (uniek, maximaal 128 tekens, vast met PingID), één e-mailwaarde, nickName, title, active en population.id in de PingOneUser-extensie; zoeken op externalId; lijsten tot 200 zonder paginering; populatie wijzigen via PUT /users/{id}/population.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Dayforce | Veld in Ping Identity | Toelichting |
|---|---|---|
XRefCode | externalId | |
FirstName, LastName | name.givenName, name.familyName | |
CommonName | nickName | |
Contacts (zakelijk e-mailadres) of naamgevingsregel | userName en emails (één waarde) | |
WorkAssignments (primair): Job | title | |
WorkAssignments (primair): Location, land | population.id | |
EmployeeWorkAssignmentManagers (primair) | Manager (eigen attribuut) | |
EmploymentStatuses en TerminationDate | active (enabled) | |
userName (PingOne) | SSOAccounts (Dayforce) |
Gerelateerd
Ashby → Dayforce
Ashby Dayforce koppeling: aanname eerst laten controleren door Dayforce, dan pas opslaan
Bullhorn → Dayforce
Bullhorn Dayforce koppeling: eerste plaatsing van een werknemer als medewerker in Dayforce
Carerix → Dayforce
Carerix Dayforce koppeling: geslaagde plaatsing als gecontroleerde nieuwe medewerker in Dayforce
Dayforce → 4PS Construct
Dayforce 4PS Construct koppeling: monteurs en uitvoerders uit Dayforce in 4PS, met kostenplaats en einddatum