Accounts in applicaties
Entra ID Magister koppeling: personeelsaccounts in Magister via de SCIM-API, geblokkeerd bij vertrek
Met een koppeling tussen Microsoft Entra ID en Magister krijgt elke nieuwe medewerker die IT in Entra ID aanmaakt automatisch een personeelsaccount in Magister, met personeelsnummer, e-mailadres en de juiste afdeling. Een gewijzigde gebruikersnaam in Entra ID gaat mee naar Magister, en een uitgeschakeld account wordt in Magister geblokkeerd.
Wat de koppeling doet
Scholen en besturen in het voortgezet onderwijs die personeelsaccounts in Entra ID beheren, maken nieuwe docenten in Magister vaak met de hand aan of via een oude SOAP-koppeling die Magister uitfaseert. Wijzigt de gebruikersnaam in Entra ID, dan klopt het inloggen in Magister niet meer, en accounts van vertrokken medewerkers blijven toegang houden tot leerlinggegevens.
- De school vraagt bij Magister toegang tot de SCIM-API aan voor KoppelHet, met alleen de rechten die de koppeling nodig heeft.
- IT maakt de nieuwe medewerker aan in Entra ID, met personeelsnummer en de groep die bij zijn afdeling in Magister hoort.
- KoppelHet maakt in Magister een personeelsaccount aan, met naam, e-mailadres, personeelsnummer en afdeling.
- Wijzigt de gebruikersnaam in Entra ID, dan werkt KoppelHet die in Magister bij.
- Schakelt IT het account uit, dan blokkeert KoppelHet het Magister-account.
Waar je op let bij Microsoft Entra ID en Magister
- Magister biedt een SCIM-API voor identity management, die de oude SOAP-koppelingen vervangt die worden uitgefaseerd. Met de oude koppeling kon een extern systeem geen personeelsaccount aanmaken; via SCIM kan dat wel, inclusief de personeelsregistratie als die nog niet bestaat.
- Naam, e-mailadres, personeelsnummer, soort gebruiker en afdeling kun je via de SCIM-API alleen bij het aanmaken zetten. KoppelHet controleert daarom vooraf of ze in Entra ID kloppen, en meldt een latere wijziging, bijvoorbeeld een nieuwe achternaam, aan de Magister-beheerder om met de hand door te voeren.
- Het personeelsnummer koppelt het account in Magister aan de medewerker. KoppelHet neemt het over uit Entra ID, zodat een nieuwe docent direct bij zijn eigen personeelsgegevens in Magister hoort en er geen los account zonder medewerker ontstaat.
- Magister ondersteunt dat een extern IAM-systeem zoals Entra ID de UPN direct bijwerkt, wat met de oude koppeling niet kon. Wijzigt de UPN na een naamswijziging of een nieuw domein, dan blijft inloggen met het Microsoft-account werken.
- In de SCIM-API is actief het omgekeerde van geblokkeerd, en een account kan ook een vervaldatum krijgen. KoppelHet blokkeert bij een uitgeschakeld account en zet de vertrekdatum uit Entra ID als vervaldatum, zodat de toegang ook stopt als het uitschakelen later gebeurt.
- Een wachtwoord kan bij het aanmaken via SCIM niet worden meegegeven. KoppelHet zet daarom geen wachtwoord; medewerkers loggen in met hun Microsoft-account, dat Magister als externe identity provider ondersteunt, ook met meerdere Entra ID-omgevingen.
- Toestemming per afdeling kan alleen voor leesrechten. Zodra de koppeling mag schrijven, geldt de toestemming voor de hele Magister-omgeving. Een bestuur met meerdere scholen in één omgeving spreekt daarom vooraf af welke afdelingen KoppelHet beheert.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Wat gebeurt er met onze oude SOAP-koppeling?
Magister faseert de SOAP-webkoppelingen uit en vervangt ze door de SCIM-API. Deze koppeling gebruikt al de nieuwe SCIM-API.
Kan ook het HR-systeem de bron zijn?
Ja. Magister heeft zelf HR-koppelingen met AFAS en HR2day via Magister Join. Entra ID als bron past als IT de accounts al op basis van de indiensttreding aanmaakt.
Worden leerlingen ook gekoppeld?
Nee. De SCIM-API kan alleen personeelsaccounts aanmaken; leerlingen blijven in Magister zelf.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Magister wordt beschreven via de SCIM-API (SCIM v2.0): POST User voor een personeelsaccount (alleen personeel), PATCH User voor userName, UPN, active/blocked, expiresOn en authenticationType, SEARCH en GET User om bestaande accounts te vinden. Scopes iam.scim.user.read, iam.scim.user.manage, iam.scim.user.create en iam.scim.user.attributes.manage; niet iam.scim.user.password.manage. Toegang via magister.nl/partners, een pilot met een eigen IdP via een ticket bij Magister Service.
- Entra ID wordt gelezen via Microsoft Graph met een delta-query op gebruikers en groepslidmaatschap (userPrincipalName, givenName, surname, mail, employeeId, employeeLeaveDateTime, accountEnabled). De app registration heeft alleen leesrechten.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Microsoft Entra ID | Veld in Magister | Toelichting |
|---|---|---|
userPrincipalName | userName en UPN | |
givenName en surname | name | Alleen bij aanmaken |
mail | emails | Eén adres, alleen bij aanmaken |
employeeId | employeeCode | Koppelt account aan medewerker; alleen bij aanmaken |
Groep per afdeling | organizationalUnits | Alleen bij aanmaken |
accountEnabled | active (omgekeerd: blocked) | |
employeeLeaveDateTime | expiresOn |
Gerelateerd
ADP GlobalView → Microsoft Entra ID
ADP GlobalView Entra ID koppeling: accounts per land uit de internationale payroll
ADP iHCM → Microsoft Entra ID
ADP iHCM Entra ID koppeling: accounts uit de ADP-payroll, in elk Europees land met de juiste licentie
ADP Workforce Now → Microsoft Entra ID
ADP Workforce Now Entra ID koppeling: Microsoft-accounts uit ADP, met het werkadres terug in ADP
AFAS Profit → Microsoft Entra ID
AFAS koppelen met Microsoft Entra ID