Accounts in applicaties
Entra ID Salesforce koppeling: Salesforce-gebruikers vanuit Microsoft Entra ID, met profiel en rechten
Met een koppeling tussen Microsoft Entra ID en Salesforce krijgt elke collega in de juiste Entra-groep automatisch een Salesforce-gebruiker met profiel, permission sets, rol en manager, en wordt die gedeactiveerd zodra het account in Entra ID uitgaat. KoppelHet leidt profiel en permission sets af uit de groepen, bevriest een gebruiker als deactiveren in Salesforce vastloopt en zet taal en tijdzone per land goed.
Wat de koppeling doet
Wie alle accounts in Entra ID beheert en met single sign-on in Salesforce inlogt, zet profiel, permission sets en de instellingen per land vaak nog per gebruiker met de hand.
- IT zet een collega in de Entra-groep die bij zijn team in Salesforce hoort, bijvoorbeeld binnendienst Duitsland.
- KoppelHet ziet de wijziging en bepaalt uit de groepen het profiel, de permission sets en de rol.
- De Salesforce-gebruiker wordt aangemaakt met taal, landinstelling en tijdzone van het land van de collega, en met de manager uit Entra ID.
- De collega logt in via single sign-on; Salesforce herkent hem aan de koppeling met zijn Entra-account.
- Schakelt IT het account uit of verdwijnt de groep, dan wordt de gebruiker gedeactiveerd, of eerst bevroren als Salesforce deactiveren nog weigert.
Waar je op let bij Microsoft Entra ID en Salesforce
- De inlognaam in Entra ID ligt voor de hand als gebruikersnaam in Salesforce. Die gebruikersnaam moet uniek zijn over álle Salesforce-omgevingen ter wereld, ook die van andere bedrijven. Staat het adres al in een andere omgeving, bijvoorbeeld een oude proefomgeving, dan mislukt het aanmaken; KoppelHet gebruikt dan een afgesproken variant en laat single sign-on via een apart veld lopen.
- Een Salesforce-gebruiker heeft één profiel, terwijl een collega in Entra ID in meerdere groepen kan zitten. KoppelHet leidt het profiel af uit groepen met een vaste voorrang en zet de rest als permission sets, zodat een collega in twee teams toch één profiel heeft.
- Salesforce vraagt per gebruiker een taal, landinstelling en tijdzone. KoppelHet vult ze vanuit het land van de gebruiker in Entra ID, in de vorm die Salesforce verwacht, zodat een collega in Londen datums en bedragen op zijn Brits ziet.
- KoppelHet meldt zich in Salesforce aan met een connected app en een aparte integratiegebruiker, los van een persoonlijk beheerdersaccount. Een nieuw wachtwoord van een beheerder legt de koppeling zo niet stil.
- Een gewijzigd e-mailadres moet in Salesforce eerst worden goedgekeurd voordat het ingaat. KoppelHet houdt de gebruikersnaam gelijk en meldt de adreswijziging één keer, zodat de beheerder weet wat er openstaat.
- De manager in Entra ID heeft niet altijd een Salesforce-licentie. Salesforce kan alleen naar een bestaande gebruiker als manager verwijzen. KoppelHet zoekt omhoog in de managerketen van Entra ID tot iemand die wel in Salesforce staat.
- Een uitgeschakeld Entra-account betekent niet dat Salesforce de gebruiker meteen kan deactiveren: staat hij nog als standaardeigenaar of in een goedkeuringsstap, dan weigert Salesforce. KoppelHet bevriest de gebruiker dan direct, zodat de toegang toch dicht is.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Blijft single sign-on via Microsoft werken?
Ja. Single sign-on en provisioning staan los van elkaar. KoppelHet vult het veld dat Salesforce voor single sign-on gebruikt, zodat de inlog via Entra ID blijft zoals hij is.
Waarom Entra ID als bron en niet het HR-systeem?
Als IT de accounts en groepen in Entra ID al goed bijhoudt, is dat de kortste weg. Staan functie en afdeling alleen goed in het HR-systeem, dan kan dat de bron zijn; zie bijvoorbeeld AFAS of Workday naar Salesforce.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Entra ID wordt gelezen via Microsoft Graph met een delta-query op gebruikers en groepslidmaatschap, met een app registration met alleen leesrechten (User.Read.All, GroupMember.Read.All).
- Naar Salesforce schrijven we via de REST API op het object User met een connected app (OAuth 2.0) en een integratiegebruiker met Manage Users. FederationIdentifier (maximaal 512 tekens) bevat de waarde die Entra ID in de SAML-assertion meestuurt. Extra rechten via PermissionSetAssignment; bij vertrek IsActive = false, of UserLogin.IsFrozen = true als deactiveren wordt geweigerd.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Microsoft Entra ID | Veld in Salesforce | Toelichting |
|---|---|---|
userPrincipalName | Username en FederationIdentifier | |
givenName | FirstName | |
surname | LastName | |
mail | Email | |
mailNickname (ingekort) | Alias | Maximaal 8 tekens |
employeeId | EmployeeNumber | |
jobTitle en department | Title en Department | |
Groepslidmaatschap | ProfileId, permission sets en UserRoleId | Eén profiel via een vaste volgorde, permission sets per groep |
usageLocation en preferredLanguage | LocaleSidKey, LanguageLocaleKey en TimeZoneSidKey | |
manager | ManagerId | |
accountEnabled | IsActive |
Gerelateerd
ADP GlobalView → Microsoft Entra ID
ADP GlobalView Entra ID koppeling: accounts per land uit de internationale payroll
ADP iHCM → Microsoft Entra ID
ADP iHCM Entra ID koppeling: accounts uit de ADP-payroll, in elk Europees land met de juiste licentie
ADP Workforce Now → Microsoft Entra ID
ADP Workforce Now Entra ID koppeling: Microsoft-accounts uit ADP, met het werkadres terug in ADP
AFAS Profit → Microsoft Entra ID
AFAS koppelen met Microsoft Entra ID