Accounts in applicaties
Entra ID HubSpot koppeling: HubSpot-gebruikers met rechtenset, team en seat vanuit Entra ID
Met een koppeling tussen Microsoft Entra ID en HubSpot krijgt elke collega in de juiste Entra-groep automatisch een HubSpot-gebruiker met rechtenset, team en seat, en verliest die toegang zodra het account in Entra ID wordt uitgeschakeld. HubSpot biedt zelf SCIM voor Entra ID aan voor aanmaken, rechten en deactiveren; KoppelHet komt erbij voor teams, seats bij seat-gebaseerde prijzen en werktijden, of als jullie HubSpot-abonnement geen SCIM heeft.
Wat de koppeling doet
Organisaties met Microsoft 365 en HubSpot geven nieuwe verkopers op dag één een Microsoft-account, maar laten ze wachten op een beheerder voor hun HubSpot-toegang. Teams in HubSpot lopen achter op de afdelingen, waardoor leads bij het verkeerde team binnenkomen, en een vertrokken verkoper houdt soms weken een betaalde seat.
- IT zet de nieuwe collega in Entra ID in de groep die bij zijn rol in HubSpot hoort, bijvoorbeeld binnendienst.
- De collega krijgt een HubSpot-gebruiker met de rechtenset van die groep en logt in met single sign-on.
- KoppelHet zet de gebruiker in het team dat bij de afdeling in Entra ID hoort en kent de seat toe die bij de rol past.
- Functietitel, tijdzone en werktijden uit Microsoft 365 komen in het HubSpot-profiel, zodat afspraakpagina's de juiste tijden tonen.
- Schakelt IT het account uit of verlaat de collega de groep, dan verliest hij de toegang tot HubSpot en komt de seat vrij.
Waar je op let bij Microsoft Entra ID en HubSpot
- HubSpot ondersteunt SCIM-provisioning alleen met een Professional- of Enterprise-abonnement en met single sign-on aan. Op een Starter-account kan Entra ID dus geen HubSpot-gebruikers aanmaken; KoppelHet doet dat dan via de gebruikers-API van HubSpot.
- Voor Entra ID heeft HubSpot geen kant-en-klare app zoals voor Okta en Google. Je bouwt in HubSpot een eigen privé-app met de SCIM-functie en verifieert je domein met een DNS-record. Per HubSpot-account kan er maar één SCIM-app zijn.
- HubSpot waarschuwt dat groepssynchronisatie in de provisioning-instellingen van Entra ID uit moet. Staat die aan, dan gaat de provisioning in Entra ID in quarantaine zodra SCIM in HubSpot is ingericht.
- Een rol uit Entra ID wordt alleen een HubSpot-rechtenset als de namen precies gelijk zijn, met dezelfde hoofdletters en spaties. Een rol Binnendienst en een rechtenset binnendienst passen dus niet op elkaar, en de gebruiker krijgt dan minimale rechten.
- Via SCIM kan Entra ID een gebruiker niet in een HubSpot-team zetten, en bij seat-gebaseerde prijzen ook geen seat toekennen. KoppelHet vult die twee aan vanuit de afdeling en groepen in Entra ID, naast de SCIM-koppeling.
- Uitschakelen in Entra ID deactiveert de gebruiker via SCIM; klanten en deals blijven dan op naam staan. De gebruikers-API van HubSpot kent geen deactiveren, alleen verwijderen. Zonder SCIM laat KoppelHet de leidinggevende daarom eerst de klanten overdragen.
- Outlook bewaart de tijdzone vaak als Windows-naam, zoals W. Europe Standard Time, terwijl HubSpot een tijdzone-ID als Europe/Amsterdam wil. KoppelHet zet de naam om en vult de tijdzone vóór de werktijden, want HubSpot weigert werktijden zonder tijdzone.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Is SCIM vanuit Entra ID niet genoeg?
Voor aanmaken, rechten en deactiveren vaak wel. Teams en, bij seat-gebaseerde prijzen, seats blijven dan handwerk in HubSpot. Daar komt KoppelHet bij.
Waarom Entra ID als bron en niet het HR-systeem?
Als IT accounts al op tijd aanmaakt en de groepen per rol kloppen, is Entra ID de kortste weg. Wil je dat de functie in HR de rechten bepaalt, dan kan HubSpot ook rechtstreeks uit bijvoorbeeld AFAS of Workday gevuld worden.
Wat gebeurt er met klanten en deals van iemand die vertrekt?
Met SCIM blijft de gedeactiveerde gebruiker eigenaar en kun je later overdragen. Zonder SCIM krijgt de leidinggevende vóór de laatste werkdag een lijst om over te dragen; daarna wordt de gebruiker verwijderd.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- HubSpot SCIM: Tenant URL https://api.hubspot.com/scim/v2 met het token van de SCIM-app (scopes settings.users.read/write en crm.objects.users.read/write). roleSyncEnabled zet de koppeling van rollen aan rechtensets aan.
- KoppelHet leest Entra ID via Microsoft Graph met een delta-query op users en groepslidmaatschap, en mailboxSettings voor tijdzone en werktijden. Naar HubSpot schrijven we via de user provisioning API (/settings/users/2026-09: aanmaken, PUT met roleId, primaryTeamId, secondaryTeamIds en seatNames, DELETE) en de Users API (hs_job_title, hs_standard_time_zone, hs_working_hours).
- Rechtensets met een betaalde seat kan een app alleen toekennen met de scope billing-write. Rechtensets en teams maak je eerst in HubSpot; teams kunnen ook via de Teams API met een bovenliggend team worden aangemaakt.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Microsoft Entra ID | Veld in HubSpot | Toelichting |
|---|---|---|
userPrincipalName | userName (SCIM) / email | Uniek in HubSpot; het domein moet in HubSpot geverifieerd zijn |
givenName | firstName | |
surname | lastName | |
App-rol of groep | Rechtenset (roleId) | Bij SCIM moet de naam exact gelijk zijn aan de rechtenset |
department | primaryTeamId | Via een tabel van afdelingen naar HubSpot-teams |
Groep per rol | seatNames | Alleen voor rollen die recht hebben op een betaalde seat |
jobTitle | hs_job_title | |
mailboxSettings.timeZone | hs_standard_time_zone | Omgezet naar een tijdzone-ID zoals Europe/Amsterdam |
mailboxSettings.workingHours | hs_working_hours | |
accountEnabled = false | Gebruiker gedeactiveerd (SCIM) of verwijderd (API) |
Gerelateerd
ADP GlobalView → Microsoft Entra ID
ADP GlobalView Entra ID koppeling: accounts per land uit de internationale payroll
ADP iHCM → Microsoft Entra ID
ADP iHCM Entra ID koppeling: accounts uit de ADP-payroll, in elk Europees land met de juiste licentie
ADP Workforce Now → Microsoft Entra ID
ADP Workforce Now Entra ID koppeling: Microsoft-accounts uit ADP, met het werkadres terug in ADP
AFAS Profit → Microsoft Entra ID
AFAS koppelen met Microsoft Entra ID