Accounts in applicaties
Entra ID 4PS Construct koppeling: gebruikers en rechten per administratie, uitgeschakeld bij vertrek
Met een koppeling tussen Microsoft Entra ID en 4PS Construct krijgt een nieuwe collega in 4PS de permission sets die bij zijn functie en werkmaatschappij horen, en wordt zijn 4PS-gebruiker uitgeschakeld zodra het account in Entra ID uit gaat. Omdat 4PS op Business Central draait, kan Business Central zelf al rechten koppelen aan Entra-groepen; KoppelHet komt erbij als rechten per administratie, per functie of direct bij vertrek moeten worden geregeld.
Wat de koppeling doet
Organisaties die 4PS Construct in de cloud gebruiken, geven projectleiders, werkvoorbereiders en uitvoerders per werkmaatschappij andere rechten. Die kent de applicatiebeheerder met de hand toe na een mail van HR, en een vertrokken projectleider kan soms nog weken inkooporders goedkeuren.
- IT maakt het account in Entra ID aan, met functie en afdeling, en wijst de Business Central-licentie toe.
- De gebruiker komt in 4PS bij de eerste aanmelding of via de gebruikersimport van de beheerder.
- KoppelHet ziet de nieuwe gebruiker en kent per werkmaatschappij de permission sets toe die bij de functie horen.
- Bij een functiewissel past KoppelHet de rechten aan; oude rechten gaan eraf, nieuwe erbij.
- Wordt het account in Entra ID uitgeschakeld, dan schakelt KoppelHet de 4PS-gebruiker direct uit. De boekingen van die gebruiker blijven bewaard.
Waar je op let bij Microsoft Entra ID en 4PS Construct
- In de cloudversie van 4PS bestaat een gebruiker pas als hij eerst in Microsoft 365 is aangemaakt. Een koppeling kan in 4PS geen gebruiker aanmaken; de gebruiker komt binnen bij de eerste aanmelding of via de import door een beheerder. KoppelHet regelt daarna de rechten.
- De import van nieuwe gebruikers uit Microsoft 365 werkt niet voor een koppeling die als applicatie aanmeldt, omdat daarvoor SUPER-rechten in alle administraties nodig zijn. Daarom laat KoppelHet het aanmaken aan 4PS zelf en begint de koppeling zodra de gebruiker in 4PS staat.
- Business Central kan een Entra-beveiligingsgroep koppelen aan een beveiligingsgroep met permission sets, en die rechten per administratie beperken. Werken jullie al met groepen per rol, dan is dat vaak genoeg. KoppelHet voegt iets toe als functie en werkmaatschappij uit Entra ID de rechten moeten bepalen in plaats van groepen die IT met de hand bijhoudt.
- Een gebruiker die zich in 4PS heeft aangemeld, kan niet meer worden verwijderd, alleen uitgeschakeld. Dat is ook de bedoeling, want boekingen en goedkeuringen blijven aan die naam gekoppeld. KoppelHet schakelt uit en verwijdert nooit.
- Business Central past de status van een gebruiker pas aan als een beheerder de gebruikers uit Microsoft 365 bijwerkt. Een uitgeschakeld Entra-account kan zo nog in 4PS als ingeschakeld staan. KoppelHet zet de 4PS-gebruiker op uitgeschakeld zodra Entra ID dat meldt.
- Standaardrechten per licentietype gelden alleen voor nieuwe gebruikers. Past de beheerder ze later aan, dan veranderen de rechten van bestaande gebruikers niet. KoppelHet vergelijkt elke dag de toegekende rechten met de rollentabel en meldt afwijkingen.
- Draait 4PS on-premises, dan kunnen Entra-groepen alleen als beveiligingsgroep worden gebruikt vanaf bepaalde Business Central-versies en met een serverinstelling. Op oudere versies kent KoppelHet de permission sets rechtstreeks per gebruiker toe.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Waarom niet alleen de beveiligingsgroepen van Business Central?
Die zijn vaak voldoende als IT per rol een groep bijhoudt. Kies maatwerk als rechten per werkmaatschappij en functie verschillen, of als een vertrokken medewerker direct niet meer in 4PS mag goedkeuren.
Maakt de koppeling ook de medewerker aan voor urenregistratie?
Niet in deze koppeling. Een 4PS-gebruiker is iets anders dan een medewerker. Medewerkers komen bij voorkeur uit het HR-systeem; dat kan later als uitbreiding.
Wie wijst de Business Central-licentie toe?
Dat blijft in Microsoft 365, door IT of jullie partner. Zonder licentie kan de gebruiker niet aanmelden en komt hij ook niet in 4PS.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Entra ID wordt gelezen via Microsoft Graph (delta-query op users en groepslidmaatschap; velden id, userPrincipalName, jobTitle, department, companyName, accountEnabled en employeeLeaveDateTime), met alleen leesrechten.
- Naar 4PS schrijven we via de automation API van Business Central (microsoft/automation/v2.0) - users (alleen GET en PATCH op state en expiryDate), userPermissions (POST en DELETE met roleId en company) en securityGroups (GET). De acties getNewUsersFromOffice365 en getNewUsersFromOffice365Async werken niet met service-to-service-authenticatie.
- Entra-groepen als beveiligingsgroep on-premises vanaf Business Central 25.11, 26.5 of 27.4, met EnableEntraGroupsOnPrem op true.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Microsoft Entra ID | Veld in 4PS Construct | Toelichting |
|---|---|---|
id (objectId) en userPrincipalName | userSecurityId en userName | Gekoppeld op het Entra-account; 4PS maakt de gebruiker zelf aan |
jobTitle | Permission sets (roleId) | Via een rollentabel per functie |
companyName of groep per werkmaatschappij | Company bij de permission set | Rechten gelden alleen in die administratie |
Groepslidmaatschap | Beveiligingsgroep in 4PS | Als jullie Entra-groepen aan 4PS-beveiligingsgroepen koppelen |
accountEnabled | state (Enabled of Disabled) | |
employeeLeaveDateTime | expiryDate | Optioneel, als vangnet naast het uitschakelen |
Gerelateerd
ADP GlobalView → Microsoft Entra ID
ADP GlobalView Entra ID koppeling: accounts per land uit de internationale payroll
ADP iHCM → Microsoft Entra ID
ADP iHCM Entra ID koppeling: accounts uit de ADP-payroll, in elk Europees land met de juiste licentie
ADP Workforce Now → Microsoft Entra ID
ADP Workforce Now Entra ID koppeling: Microsoft-accounts uit ADP, met het werkadres terug in ADP
AFAS Profit → Microsoft Entra ID
AFAS koppelen met Microsoft Entra ID