Identity en access management
Deel Ping Identity koppeling: PingOne-gebruikers voor werknemers, EOR en contractors uit Deel
Met een koppeling tussen Deel en Ping Identity krijgt iedereen die via Deel voor jullie werkt een gebruiker in PingOne, in een populatie die past bij de soort arbeidsrelatie, met entiteit, afdeling en leidinggevende. Na de laatste dag in Deel kan die gebruiker niet meer inloggen; omdat Deel niet zelf naar identity providers levert, schrijft KoppelHet rechtstreeks via de API's van PingOne.
Wat de koppeling doet
Organisaties die via Deel werknemers, EOR-medewerkers en contractors in meerdere landen hebben en PingOne voor toegang gebruiken, maken PingOne-gebruikers vaak aan op basis van een melding uit Deel. Het einde van een contract met een contractor komt dan niet altijd bij IT aan, zodat accounts blijven werken.
- In Deel komt een organisatietoken met alleen leesrechten op people en contracten; in PingOne een Worker-app met de rol Identity Data Admin.
- Met jullie leggen we een populatie vast voor eigen werknemers en EOR, en een voor contractors.
- Bij een nieuwe persoon in Deel maakt KoppelHet de PingOne-gebruiker aan met aanmelden geblokkeerd tot de begindatum.
- Entiteit en afdeling worden groepen; een overstap naar een andere soort arbeidsrelatie verhuist de gebruiker naar de andere populatie.
- Na de laatste dag blokkeert KoppelHet het aanmelden; verwijderen volgt pas na de bewaartermijn.
Waar je op let bij Deel en Ping Identity
- Deel schrijft dat directe provisioning naar identity providers niet wordt ondersteund en dat een tussenlaag de mensen ophaalt en doorzet. PingOne heeft alleen voor Workday een kant-en-klare HR-provisioner. KoppelHet is die tussenlaag en vult PingOne via de gebruikers-API van Ping.
- PingOne zet elke gebruiker in precies één populatie. KoppelHet kiest die uit de soort arbeidsrelatie in Deel, zodat contractors een eigen populatie krijgen met bijvoorbeeld strengere MFA of kortere sessies dan eigen werknemers en EOR-medewerkers.
- Wordt een contractor werknemer of EOR, dan maakt Deel een nieuw contract. KoppelHet houdt het Deel-id van de persoon als externalId en verhuist de gebruiker met het aparte populatieverzoek van PingOne, zodat MFA-apparaten en historie blijven en er geen tweede gebruiker ontstaat.
- Wie in Deel nog niet is begonnen, staat op NOT_STARTED. KoppelHet maakt de PingOne-gebruiker dan al aan met aanmelden geblokkeerd, zodat laptop en apps kunnen worden voorbereid, en zet aanmelden aan op de begindatum.
- Deel raadt aan om bij een vertrek te deactiveren in plaats van te verwijderen, omdat verwijderen niet terug te draaien is. KoppelHet blokkeert het aanmelden in PingOne op de laatste dag en verwijdert pas na de bewaartermijn, zodat een contract dat toch wordt verlengd dezelfde gebruiker houdt.
- Deel geeft de leidinggevende als werkadres, en PingOne heeft geen standaardveld voor de leidinggevende. KoppelHet zet het adres van de leidinggevende in een eigen attribuut in het gebruikersschema, zodat goedkeuringen in PingOne-flows bij de juiste persoon uitkomen.
- Deel zet meldingen naar een adres stil na tien mislukte pogingen, en adviseert naast meldingen een volledige synchronisatie als vangnet. KoppelHet bewaakt de meldingen en vergelijkt elke nacht alle mensen met PingOne, zodat een gemist vertrek uiterlijk de volgende ochtend tot een blokkade leidt.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Krijgen contractors ook een PingOne-gebruiker?
Ja, in hun eigen populatie. Jullie bepalen in PingOne welk beleid daar geldt.
Wat gebeurt er met beheerders en servicegebruikers in PingOne?
Die laat de koppeling met rust. KoppelHet raakt alleen gebruikers aan met een Deel-id.
Gaan er betalingsgegevens naar PingOne?
Nee. Het token heeft geen rechten op betalingen.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Deel via de HRIS People API en contracten (worker_id, hiring_type, person_status ACTIVE, NOT_STARTED of INACTIVE, client_legal_entity, termination_last_day, direct_manager.work_email) met een organisatietoken, plus webhooks ondertekend met x-deel-signature, idempotent op event_id. De SCIM API van Deel (GET /scim/Users, Users:read) als controle.
- PingOne met een Worker-app (Identity Data Admin): gebruikers via /v1/environments/{envID}/users of de SCIM-ingang, username uniek en maximaal 128 tekens, population.id alleen te wijzigen via de population-subresource, groepen via de Platform API, eigen attributen in het user schema en aanmelden blokkeren via enabled.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Deel | Veld in Ping Identity | Toelichting |
|---|---|---|
worker_id | externalId | |
Voornaam | name.given | |
Achternaam | name.family | |
Naamgevingsregel | username en email | |
hiring_type | population.id | |
client_legal_entity | Groep per entiteit | |
department | Groep per afdeling | |
direct_manager.work_email | Eigen attribuut leidinggevende | |
person_status en termination_last_day | enabled |
Gerelateerd
Ashby → Deel
Ashby Deel koppeling: aannames bij de eigen entiteit als direct employee in Deel
Bullhorn → Deel
Bullhorn Deel koppeling: eerste plaatsing als direct employee met contract in Deel
Carerix → Deel
Carerix Deel koppeling: geslaagde plaatsing als persoon of contract in Deel
Deel → 4PS Construct
Deel 4PS Construct koppeling: eigen werknemers van de bouwentiteit in 4PS, met afdeling en kostenplaats als dimensie