Identity en access management
Factorial Okta koppeling: Okta-gebruikers vanuit Factorial, met team, entiteit en leidinggevende
Met een koppeling tussen Factorial en Okta krijgt elke nieuwe medewerker in Factorial een Okta-gebruiker, met team, functie, juridische entiteit en leidinggevende, en gaat de toegang dicht na de einddatum in Factorial. Zo kunnen groepsregels in Okta op team, functie en juridische entiteit werken.
Wat de koppeling doet
Organisaties die Factorial als HR-systeem gebruiken en Okta als identity provider, willen apps toekennen op team of entiteit. Dat lukt alleen als die velden uit Factorial ook in Okta staan.
- HR legt in Factorial een nieuwe medewerker vast met juridische entiteit, team, functie en startdatum.
- KoppelHet maakt de Okta-gebruiker aan zonder hem te activeren, met een login op het domein van de entiteit.
- Op de startdatum activeert KoppelHet de gebruiker; groepen voor team en entiteit kennen de apps toe, waaronder Factorial zelf.
- Een nieuwe contractversie past functie, team en groepen aan op de ingangsdatum.
- Na de einddatum deactiveert KoppelHet de Okta-gebruiker, waarmee ook de inlog op Factorial stopt.
Waar je op let bij Factorial en Okta
- Inloggen met Okta op Factorial loopt via een eigen SAML-app in Okta, en alleen gebruikers die aan die app zijn toegewezen kunnen zo inloggen. KoppelHet wijst de app toe via een groep op de startdatum en deactiveert de gebruiker na de einddatum, zodat ook de toegang tot Factorial meeloopt.
- In de SAML-instellingen van Factorial voeg je alleen domeinen toe, en bij meerdere domeinen allemaal. KoppelHet maakt de Okta-login per juridische entiteit op een van die domeinen, zodat een collega van een tweede entiteit niet op een domein uitkomt dat Factorial voor de inlog niet kent.
- Factorial meldt aannames, contractwijzigingen en beëindigingen als aparte soorten, te filteren op juridische entiteit. KoppelHet leest alleen de entiteiten die bij deze Okta-omgeving horen, zodat een dochter met een eigen Okta niet in de verkeerde omgeving belandt.
- Een nieuwe functie of een ander team staat in Factorial als contractversie met een ingangsdatum. KoppelHet wijzigt titel, afdeling en groepen in Okta op die datum, zodat apps van het nieuwe team niet al openstaan zodra HR de versie invoert.
- Een Okta Custom Identity Source verwerkt per bron één sessie tegelijk en weigert een nieuwe sessie binnen vijf minuten na een actieve. KoppelHet bundelt meldingen van Factorial daarom per paar minuten in één sessie, zodat een drukke maandag met veel aannames geen geweigerde sessies oplevert.
- Factorial probeert een mislukte melding tot twintig keer in 48 uur en zet het abonnement daarna uit. KoppelHet bewaakt dat abonnement en vergelijkt elke dag de actieve medewerkers met Okta, zodat een vertrek nooit aan één melding hangt.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Blijft inloggen met Okta op Factorial werken?
Ja. KoppelHet wijst de SAML-app van Factorial toe via een groep in Okta, en de login ligt op een domein dat in Factorial is ingesteld.
Hoe zit het met auditlogging en AVG?
Elke actie van de koppeling staat in de auditlogging van het KoppelHet-platform, dat in de EU draait. Jullie zijn verwerkingsverantwoordelijke en KoppelHet is verwerker, onder een verwerkersovereenkomst. Salaris en verzuim blijven buiten de koppeling.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- SAML SSO met Okta via een eigen app integration met de Factorial-ACS op Amazon Cognito (eu-central-1), attribuut emailaddress uit user.email, en de bedrijfsdomeinen in Factorial onder Single Sign On (SSO).
- KoppelHet leest Factorial via de Factorial API (versie met datum in het pad) met OAuth 2.0 - employee updates (new hires, contract changes, terminations) gefilterd op legal_entities_ids, employees, contract versions, teams en legal entities. Webhook subscriptions met tot twintig pogingen in 48 uur.
- Naar Okta via de Users API met een OAuth 2.0 service app (aanmaken zonder activatie, activeren, deactiveren, groepslidmaatschap) of via een Custom Identity Source (Identity Sources API, één sessie tegelijk per bron, geen nieuwe sessie binnen vijf minuten).
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Factorial | Veld in Okta | Toelichting |
|---|---|---|
Employee id | employeeNumber | |
first_name en last_name | firstName en lastName | |
Naamgevingsregel per entiteit | login en email | |
Functie (contract version) | title | |
Team | department | |
Legal entity | organization | |
Manager | managerId en manager | |
Startdatum en einddatum | status (STAGED, ACTIVE, DEPROVISIONED) |
Gerelateerd
Factorial → 4PS Construct
Factorial 4PS Construct koppeling: monteurs en uitvoerders met hun kostenplaats als dimensie in 4PS
Factorial → Active Directory
Factorial Active Directory koppeling: domeinaccounts vanuit Factorial
Factorial → ADP iHCM
Factorial ADP iHCM koppeling: contractversies en ontslag van de Nederlandse entiteit naar ADP
Factorial → AFAS Profit
Factorial koppelen met AFAS: medewerkers en contracten uit Factorial in AFAS Profit Payroll