Identity en access management
HiBob Okta koppeling: Okta-gebruikers vanuit Bob, met de HiBob-integratie of maatwerk
Met een koppeling tussen HiBob en Okta wordt elke nieuwe medewerker in Bob een Okta-gebruiker met functie, afdeling, vestiging en leidinggevende, en wordt die gebruiker na vertrek gedeactiveerd. HiBob biedt zelf een Okta-provisioningintegratie die medewerkers op de startdatum of bij aanmaak naar Okta zet, met vrije veldmapping; KoppelHet komt erbij als je eigen regels voor garden leave, inhuur, meerdere landen of een servicedesk wilt meenemen.
Wat de koppeling doet
Organisaties die HiBob en Okta gebruiken en de HiBob-integratie met Okta hebben aangezet, regelen uitzonderingen vaak nog met de hand in Okta. Denk aan andere afspraken per land voor garden leave of inhuurkrachten, of een laptop die IT al voor de eerste werkdag wil klaarzetten.
- HR maakt in Bob een nieuwe medewerker aan; die staat daar als nog niet gestart.
- KoppelHet zet de gebruiker klaar in Okta met inlognaam en werkadres, en maakt een verzoek voor de werkplek in de servicedesk.
- Het werkadres gaat terug naar Bob, in plaats van het privéadres dat HR bij aanmaak invulde.
- Op de startdatum wordt de gebruiker actief; groepen voor vestiging, afdeling en soort dienstverband geven de apps.
- Bij vertrek volgt de deactivatie de afspraak voor die situatie, zoals de laatste dag op kantoor of het einde van het contract.
Waar je op let bij HiBob en Okta
- De HiBob-integratie zet een medewerker standaard op de startdatum in Okta; je kunt dat omzetten naar het moment van aanmaken. KoppelHet maakt de gebruiker bij aanmaak al aan maar houdt hem klaargezet tot de startdatum, zodat IT kan voorbereiden en de collega pas op dag één kan inloggen.
- Volgens HiBob deactiveert de integratie de Okta-gebruiker bij beëindiging of op de laatste dag op kantoor, welke eerder komt. Bij garden leave is dat de laatste dag op kantoor. Wil je in Nederland iemand tijdens garden leave nog laten mailen met HR of juist direct blokkeren bij ontslag op staande voet, dan legt KoppelHet dat per vertrekreden vast.
- De HiBob-integratie meldt zich bij Okta aan met een API-token. Zo'n token heeft de rechten van de Okta-beheerder die hem maakte en vervalt na dertig dagen zonder gebruik. KoppelHet gebruikt een Okta-app met OAuth en alleen rechten op gebruikers en groepen.
- Bob vraagt bij een nieuwe medewerker al een e-mailadres, en HR vult daar vaak het privéadres in. KoppelHet bepaalt het Okta-adres met jullie naamgevingsregel en zet dat werkadres terug in Bob.
- Mag de koppeling in Bob een veld niet lezen, dan laat HiBob het zonder foutmelding weg. KoppelHet controleert of alle verwachte velden er zijn, zodat een ontbrekende afdeling niet als lege afdeling in Okta belandt en groepen niet onverwacht wisselen.
- Het soort dienstverband uit Bob, zoals vast, tijdelijk of freelance, gaat mee naar Okta. Groepsregels in Okta kunnen inhuur zo andere apps geven dan eigen medewerkers.
- Vestigingen in Bob liggen in verschillende landen. Heeft elk land eigen groepen of een eigen e-maildomein, dan leidt KoppelHet die af uit de vestiging, zodat een verhuizing naar een ander land de juiste groepen en het juiste domein oplevert.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Moeten we de HiBob-integratie uitzetten?
Niet per se. Draaien beide, dan leggen we in Okta per veld vast welke bron leidend is, zodat ze elkaar niet overschrijven. Vervangt KoppelHet de integratie, dan zetten we hem pas uit na een parallelle testperiode.
Hoe zit het met auditlogging, AVG en ons integratieplatform?
Elke actie van de koppeling staat in de auditlogging van het KoppelHet-platform, en de security- en auditlogging kan als JSON naar jullie SIEM. Jullie zijn verwerkingsverantwoordelijke en KoppelHet is verwerker, onder een verwerkersovereenkomst. De koppeling draait op het eigen platform van KoppelHet, naast een bestaand integratieplatform.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- De HiBob-integratie met Okta wordt in Bob ingesteld onder Settings, Integrations, Provisioning, met het Okta-domein en een Okta API-token; HiBob noemt de keuze tussen de Okta API en Okta SCIM. Veldmapping is vrij, ook voor eigen velden. Okta API-tokens erven de rechten van de beheerder en zijn dertig dagen geldig na aanmaak of laatste gebruik.
- KoppelHet leest HiBob via ondertekende webhooks (onder meer employee.created, employee.updated, employee.joined en employee.left) en de People API (people search met showInactive voor nog niet gestarte medewerkers). Het werkadres gaat terug via het e-mail-endpoint (root.email).
- Naar Okta schrijven we via de Users API met een OAuth 2.0 service app (scopes okta.users.manage en okta.groups.manage): aanmaken zonder activatie, activeren en deactiveren. Draait de HiBob-integratie ernaast, dan leggen we per veld vast welke bron leidend is.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in HiBob | Veld in Okta | Toelichting |
|---|---|---|
root.id | employeeNumber | |
root.firstName | firstName | |
Achternaam | lastName | |
Naamgevingsregel | login en email | |
work.title | title | |
work.department | department | |
work.siteId | city en countryCode | Via een tabel per vestiging |
Leidinggevende | managerId en manager | |
employment.type | userType | |
Startdatum en vertrekdatum | status (STAGED, ACTIVE, DEPROVISIONED) |
Gerelateerd
Ashby → HiBob
Ashby HiBob koppeling: een aanname uit Ashby direct als medewerker in Bob
Bullhorn → HiBob
Bullhorn HiBob koppeling: een goedgekeurde plaatsing als nieuwe medewerker in Bob
Carerix → HiBob
Carerix HiBob koppeling: geslaagde match wordt nieuwe medewerker in Bob
Greenhouse → HiBob
Greenhouse HiBob koppeling: van aanname in Greenhouse naar nieuwe medewerker in Bob