Identity en access management
HiBob Active Directory koppeling: accounts automatisch, ook in je eigen netwerk
Met een koppeling tussen HiBob en Active Directory krijgt een nieuwe collega in HiBob automatisch een account in jullie Active Directory, met de juiste groepen, en wordt dat account bij vertrek uitgeschakeld. HiBob hoeft daarvoor niet bij het interne netwerk te kunnen, en er gaan geen poorten in de firewall open.
Wat de koppeling doet
Organisaties die HiBob gebruiken en nog een Active Directory hebben voor werkplekken, fileservers en printers, kunnen die niet rechtstreeks koppelen, want HiBob zit in de cloud en bereikt het interne netwerk niet. IT typt nieuwe collega's daarom over, en verlof of vertrek komt pas na een mail van HR in Active Directory.
- IT installeert eenmalig een klein programma van KoppelHet op een server in het eigen netwerk.
- HR voert een nieuwe collega in in HiBob. KoppelHet bedenkt de gebruikersnaam en bepaalt in welke map het account hoort.
- Het account staat daarna in Active Directory, met leidinggevende, functie, afdeling en groepen.
- Gaat iemand langdurig met verlof, dan wordt het account tijdelijk uitgeschakeld als jullie dat willen, en bij terugkeer weer aangezet.
- Bij vertrek wordt het account uitgeschakeld en apart gezet bij de vertrokken medewerkers.
Waar je op let bij HiBob en Active Directory
- HiBob kan het interne netwerk niet bereiken, en dat hoeft ook niet. De wijziging komt binnen op het KoppelHet platform, en het programma in jullie netwerk haalt haar daar zelf op. Ligt het even stil, dan wacht de opdracht tot het weer verbinding heeft.
- HiBob meldt tijdelijk verlof pas als het verlof ingaat. Zo kan een account tijdens langdurig verlof worden uitgeschakeld en bij terugkeer weer aangezet, als jullie dat willen.
- Verwijdert HR een medewerker in HiBob, bijvoorbeeld na een foutieve aanname, dan is het dossier daarna weg. HiBob stuurt dan wel het e-mailadres mee, en daarmee vindt KoppelHet het account terug.
- Een eigen veld in HiBob, zoals een kostenplaats, gaat niet vanzelf mee. KoppelHet vraagt het apart op, en de koppeling moet in HiBob rechten hebben op de categorie van dat veld.
- HiBob bevat medewerkers van alle landen, maar alleen de Nederlandse vestigingen horen in dit domein. De vestiging bepaalt of er iets gebeurt en in welke map het account komt, zodat het beleid van het juiste kantoor geldt.
- Een melding die niet aankomt, probeert HiBob tot drie dagen opnieuw. Samen met de controleronde levert een korte storing geen gemist vertrek op.
- Een wijziging met een datum in de toekomst, zoals een nieuwe afdeling per volgende maand, gaat pas op die datum door. Tot dan blijft het account in de oude map en groepen.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Moet HiBob bij onze server kunnen?
Nee. HiBob stuurt de wijziging naar het KoppelHet platform in Amsterdam. Het programma in jullie netwerk haalt de opdracht daar zelf op.
Wordt een account uitgeschakeld tijdens zwangerschapsverlof?
Alleen als jullie dat willen. Veel organisaties laten het account aan zodat de medewerker bereikbaar blijft; dat leggen we per soort verlof vast.
Wat gebeurt er met collega's in andere landen?
Hun wijzigingen komen ook binnen, maar de koppeling doet er niets mee als hun vestiging niet bij dit domein hoort.
Kan het werk-e-mailadres terug naar HiBob?
Ja. Dat gebeurt nadat Microsoft het account naar Entra ID heeft overgezet, zodat het adres dan echt bestaat.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- HiBob wordt gelezen via employee data webhooks (onder meer employee.temporaryLeave en employee.deleted, met e-mailadres) en de People API (people search). Webhooks zijn ondertekend met een eigen geheim; HiBob probeert mislukte webhooks tot drie dagen opnieuw.
- Custom fields moeten expliciet worden opgevraagd; de service user heeft rechten per categorie nodig.
- Een KoppelHet-agent in het domein haalt opdrachten op via een uitgaande verbinding en schrijft naar AD.
- AD-attributen onder meer employeeID (root.id, maximaal 16 tekens), sAMAccountName (maximaal 20 tekens), userPrincipalName, mail, title, department, manager (distinguished name) en physicalDeliveryOfficeName; organizational unit (OU) per site.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in HiBob | Veld in Active Directory | Toelichting |
|---|---|---|
root.id | employeeID | Past binnen de 16 tekens van employeeID |
Naamgevingsregel | sAMAccountName | Maximaal 20 tekens, met volgnummer bij dubbelen |
Naamgevingsregel | userPrincipalName en mail | |
root.firstName en achternaam | givenName, sn en displayName | |
work.title | title | |
work.department | department | |
Leidinggevende (reports to) | manager | Distinguished name van het account van de leidinggevende |
work.siteId | OU en physicalDeliveryOfficeName | Via een vertaaltabel per site |
internal.lifecycleStatus | Account aan of uit | Bij tijdelijk verlof alleen als dat is afgesproken |
Gerelateerd
Ashby → HiBob
Ashby HiBob koppeling: een aanname uit Ashby direct als medewerker in Bob
Bullhorn → HiBob
Bullhorn HiBob koppeling: een goedgekeurde plaatsing als nieuwe medewerker in Bob
Carerix → HiBob
Carerix HiBob koppeling: geslaagde match wordt nieuwe medewerker in Bob
Greenhouse → HiBob
Greenhouse HiBob koppeling: van aanname in Greenhouse naar nieuwe medewerker in Bob