Identity en access management
Deel koppelen met Active Directory: domeinaccounts per soort medewerker
Met een koppeling tussen Deel en Active Directory maakt KoppelHet voor elke nieuwe werknemer, EOR-medewerker of contractor uit Deel een domeinaccount aan in de OU die bij die soort medewerker hoort. Het account krijgt de einddatum van het contract als vervaldatum en wordt op de laatste werkdag uitgeschakeld.
Wat de koppeling doet
Organisaties die specialisten via Deel inhuren, vaak als contractor voor een project, maken hun Active Directory-accounts met de hand aan. Na het project blijven die accounts vaak actief.
- IT installeert eenmalig een klein programma van KoppelHet op een server in het domein.
- Na ondertekening van een contract in Deel maakt KoppelHet het account aan in de OU voor werknemers, EOR-medewerkers of contractors, uitgeschakeld tot de startdatum.
- De einddatum van het contract wordt de vervaldatum van het account. Een verlenging in Deel schuift die datum mee.
- Wijzigt de functie, afdeling of leidinggevende in Deel, dan volgen de gegevens en groepen in het domein.
- Op de laatste werkdag schakelt KoppelHet het account uit en verplaatst het naar de OU voor vertrekkers.
Waar je op let bij Deel en Active Directory
- Deel kent drie soorten medewerkers, en ze horen in een domein vaak niet bij elkaar. KoppelHet zet werknemers, EOR-medewerkers en contractors elk in een eigen OU, zodat het groepsbeleid dat jullie per OU hebben ingesteld goed staat.
- Contractors hebben in Deel bijna altijd een einddatum. Active Directory kan een account zelf laten verlopen, dus die einddatum komt direct op het account. Het stopt dan ook op tijd als niemand het vertrek meldt.
- Wordt een contract in Deel vóór de startdatum ingetrokken, dan heeft het account nooit iets gedaan. KoppelHet verwijdert zo'n ongebruikt account, in plaats van het als vertrekker te bewaren.
- Mensen via Deel komen uit veel landen en hebben namen met accenten of andere tekens. Inlognamen in Active Directory mogen maximaal 20 tekens hebben; KoppelHet zet accenten om naar gewone letters en kort lange namen in volgens jullie regel.
- Deel noemt bij elke persoon het nummer van de directe leidinggevende. KoppelHet zoekt het account met datzelfde nummer in het domein, ook als de manager zelf een contractor is.
- Deel stuurt meldingen naar het platform van KoppelHet, niet naar jullie netwerk. Het programma in het domein haalt de opdrachten op met een uitgaande verbinding, dus er gaat niets open in de firewall.
- Het account hoort bij de persoon in Deel, niet bij een contract. Een contractor die later in dienst komt bij jullie BV, houdt daardoor hetzelfde account; alleen de OU en groepen veranderen.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Moeten alle mensen uit Deel een domeinaccount krijgen?
Nee. We spreken per soort medewerker, land of entiteit af wie een account krijgt. Een contractor die alleen in een eigen omgeving werkt, kan buiten het domein blijven.
Moet er een poort open in onze firewall?
Nee. Het programma in jullie domein maakt alleen een uitgaande verbinding met het platform van KoppelHet.
Werkt dit ook zonder Active Directory, alleen met Microsoft 365?
Ja, die koppeling bouwen we ook.
Wat is achteraf terug te zien voor een audit?
Elke actie van de koppeling staat in de auditlogging van het KoppelHet-platform. KoppelHet werkt met een ISO 27001-gecertificeerd managementsysteem.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Deel wordt gelezen via de HRIS People API (worker_id, preferred_first_name, last_name, job_title, department, hiring_type, direct_manager.worker_id, employments met client_legal_entity, termination_last_day en is_user_contract_deleted) en ondertekende webhooks (x-deel-signature, HMAC-SHA256), met een dagelijkse volledige vergelijking.
- Een KoppelHet-agent op een Windows-server in het domein schrijft employeeID (maximaal 16 tekens), employeeType, sAMAccountName (maximaal 20 tekens, zonder de verboden tekens), userPrincipalName, mail, givenName, sn, displayName, title, department, manager en accountExpires, en verplaatst accounts tussen OU's.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Deel | Veld in Active Directory | Toelichting |
|---|---|---|
worker_id | employeeID | Maximaal 16 tekens; per persoon |
preferred_first_name of first_name | givenName | |
last_name | sn en displayName | |
Naamgevingsregel | sAMAccountName | Maximaal 20 tekens, zonder accenten |
Naamgevingsregel | userPrincipalName en mail | |
job_title | title | |
department.name | department | |
hiring_type en client_legal_entity | OU en employeeType | |
direct_manager.worker_id | manager | Het account met dat nummer in employeeID |
termination_last_day of einddatum contract | accountExpires |
Gerelateerd
Ashby → Deel
Ashby Deel koppeling: aannames bij de eigen entiteit als direct employee in Deel
Bullhorn → Deel
Bullhorn Deel koppeling: eerste plaatsing als direct employee met contract in Deel
Carerix → Deel
Carerix Deel koppeling: geslaagde plaatsing als persoon of contract in Deel
Deel → 4PS Construct
Deel 4PS Construct koppeling: eigen werknemers van de bouwentiteit in 4PS, met afdeling en kostenplaats als dimensie