Accounts in applicaties

Entra ID ESIS koppeling: leerkrachten automatisch in ESIS, toegang weg bij vertrek

Met een koppeling tussen Microsoft Entra ID en ESIS van Rovict krijgt elke nieuwe leerkracht of medewerker van het schoolbestuur automatisch een ESIS-account op de juiste school en met de juiste rol. Vertrekt iemand, dan verdwijnt ook de toegang tot ESIS, zodat leerlinggegevens alleen zichtbaar zijn voor wie er nog werkt.

Bespreek je koppeling Zo werkt de koppeling

Geschreven door Marcel van Beek, oprichter en integratiespecialistLaatst bijgewerkt: 9 november 2026

Wat de koppeling doet

Schoolbesturen met scholen die ESIS gebruiken, maken elke nieuwe leerkracht twee keer aan, eerst als medewerker met een aanstelling op de school en daarna als gebruiker met een rol. Bij vertrek blijft het account vaak bestaan, terwijl ESIS dossiers en toetsresultaten van leerlingen bevat.

IT maakt de nieuwe leerkracht aan in Entra ID en zet hem in de groep van zijn school en functie.
KoppelHet ziet de nieuwe collega en leest naam, e-mailadres en groepen.
De leerkracht staat daarna in ESIS als medewerker met een taak op de juiste school.
Aan die medewerker hangt een ESIS-gebruiker met de rol die bij de functie hoort, zoals groepsleerkracht of intern begeleider.
Schakelt IT het account uit of verlaat iemand de groep, dan wordt de toegang tot ESIS ingetrokken.

Heen: Medewerker met naam en e-mailadres · Aanstelling en taakstelling op een school · Gebruiker gekoppeld aan de medewerker · Rol, zoals groepsleerkracht of intern begeleider

Waar je op let bij Microsoft Entra ID en ESIS

In ESIS zijn medewerker en gebruiker twee aparte dingen. Eerst bestaat de medewerker, met een aanstelling en een taakstelling op een vestiging; pas daarna kan er een gebruiker aan worden gekoppeld. De koppeling doet beide stappen in die volgorde.
Zonder taakstelling op een vestiging is een medewerker alleen op bestuursniveau te vinden en niet op de school zelf. KoppelHet zet daarom altijd een taakstelling op de school die bij de groep in Entra ID hoort.
Met de rol groepsleerkracht ziet een gebruiker in ESIS alleen de leerlingen van de groepen die hij begeleidt. Welke groep een leerkracht heeft, regelt de school in ESIS; de koppeling zorgt voor de juiste rol.
ESIS geeft elke medewerker door aan andere applicaties zoals Basispoort en het ouderportaal. Het e-mailadres uit Entra ID moet daarom kloppen voordat de medewerker in ESIS komt, anders werkt de inlog bij die applicaties niet.
Entra ID is hier de bron en niet het HR-systeem. Dat werkt goed als IT accounts aanmaakt op basis van de indiensttreding; voor invallers en stagiairs spreken we af welke groep hen in ESIS brengt.
De koppeling hoeft in Entra ID alleen gebruikers en groepen te lezen, en schrijft daar niets terug.
ESIS bevat gevoelige leerlinggegevens. Bij vertrek blokkeert KoppelHet de ESIS-gebruiker zodra het account in Entra ID wordt uitgeschakeld, niet pas bij een latere opschoning.

Deze koppeling hoort ook bij in-, door- en uitstroom.

Hoe we het bouwen en beheren

De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.

Implementatie, architectuur en compliance

Implementatie en prijs

Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.

Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.

Prijsindicatie · Basis

Klantcase

Zo draait het bij Spaarnesant

Zo gebruiken deze organisaties de koppeling. De inrichting verschilt per klant.

Spaarnesant

Onderwijs

Spaarnesant gebruikt Entra ID als bron voor ESIS. Een actief account in Entra ID levert een ESIS-gebruiker op met single sign-on en toegang tot de juiste scholen; wordt het account uitgeschakeld, dan volgt ESIS automatisch.

Lees het klantverhaal

Veelgestelde vragen

Kan ook het HR-systeem de bron zijn in plaats van Entra ID?

Ja. Dan komen aanstelling en functie rechtstreeks uit bijvoorbeeld AFAS of YouForce. Entra ID als bron is handig als IT de accounts al goed bijhoudt en de groepen per school kloppen.

Wat als iemand op twee scholen werkt?

Dan staat de medewerker in twee schoolgroepen en krijgt hij in ESIS een taakstelling op beide vestigingen, met één gebruiker.

Worden groepen en klassen ook gekoppeld?

Nee. Welke leerkracht bij welke groep hoort, blijft de school in ESIS regelen. De koppeling zorgt dat de leerkracht er staat met de juiste rol.

Werkt tweestapsverificatie in ESIS nog?

Ja. De koppeling maakt de gebruiker aan; hoe die inlogt, en of tweestapsverificatie verplicht is, blijft een instelling van het bestuur in ESIS.

Technische details voor IT

Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.

Entra ID wordt gelezen via Microsoft Graph, met een delta-query op gebruikers en wijzigingen in groepslidmaatschap. De app registration heeft alleen leesrechten op gebruikers en groepen.
Gebruikte Graph-velden onder meer givenName, surname, mail, userPrincipalName, employeeId en accountEnabled.
Rovict publiceert geen openbare API-documentatie voor het aanmaken van medewerkers en gebruikers in ESIS; de aansluiting aan de ESIS-kant spreken we per bestuur af.

Welke velden overgaan

De belangrijkste velden. De volledige mapping stellen we per klant vast.

Veld in Microsoft Entra ID	Veld in ESIS	Toelichting
`givenName`	`Voornaam medewerker`
`surname`	`Achternaam medewerker`	Voorvoegsel apart zetten waar ESIS dat vraagt
`mail`	`E-mailadres medewerker`	Verplicht voor de koppeling; ook gebruikt richting Basispoort
`userPrincipalName`	`Gebruikersnaam`
`Groep per school`	`Taakstelling op de vestiging`	Via een vertaaltabel van groepen naar ESIS-vestigingen
`Groep per functie`	`Rol van de gebruiker`	Bijvoorbeeld groepsleerkracht, intern begeleider of schoolleider
`employeeId`	`Vrij veld of personeelsnummer`	Vaste sleutel om de medewerker terug te vinden
`accountEnabled = false`	`Gebruiker geblokkeerd`

Bronnen