Identity en access management
HiBob OneLogin koppeling: OneLogin-gebruikers vanuit Bob, met de HiBob-integratie of maatwerk
Met een koppeling tussen HiBob en OneLogin wordt elke nieuwe medewerker in Bob een OneLogin-gebruiker met functie, afdeling, bedrijf en leidinggevende, en kan die gebruiker niet meer inloggen zodra hij in Bob uit dienst is. HiBob biedt zelf een OneLogin-provisioningintegratie die standaard op de startdatum synchroniseert; KoppelHet komt erbij als je rollen uit de functie wilt afleiden, het personeelsnummer als vaste sleutel wilt, of vertrek per land anders wilt regelen.
Wat de koppeling doet
Organisaties die Bob als HR-systeem en OneLogin als identity provider gebruiken, hebben vaak de HiBob-integratie aangezet en kennen rollen daarna nog met de hand toe in OneLogin. Een nieuwe collega krijgt zo pas apps als IT eraan toekomt, en een vertrek in een ander land gaat op een ander moment dan in Nederland.
- In Bob komt een service user voor KoppelHet met leesrechten op persoons-, werk- en lifecyclegegevens.
- In OneLogin maakt de beheerder een API-credential met het recht Manage Users.
- Met jullie leggen we vast welke rollen bij welke functie, site en soort dienstverband horen.
- Bij een nieuwe medewerker maakt KoppelHet de OneLogin-gebruiker aan met rollen, en vraagt OneLogin de mappings meteen uit te voeren.
- Bij vertrek zet KoppelHet de gebruiker op geschorst op het moment dat voor dat land is afgesproken.
Waar je op let bij HiBob en OneLogin
- De HiBob-integratie met OneLogin synchroniseert een medewerker standaard pas op de startdatum. IT heeft dan geen tijd om laptop en toegang klaar te zetten. KoppelHet maakt de gebruiker al bij aanmaak in Bob aan, maar laat hem tot de startdatum geschorst, zodat rollen en apps klaarstaan zonder dat er al ingelogd kan worden.
- In de HiBob-integratie kies je hoe de status meegaat, met de Bob-status, altijd actief of altijd geschorst. Bij de Bob-status wordt een inactieve medewerker een gedeactiveerde OneLogin-gebruiker. KoppelHet zet de status per vertrekreden en per land, en houdt tijdelijk verlof apart.
- OneLogin verwacht de leidinggevende als OneLogin-gebruikers-id, niet als Bob-id of e-mailadres. KoppelHet zoekt de leidinggevende op via external_id en vult manager_user_id. Starten medewerker en leidinggevende tegelijk, dan maakt KoppelHet eerst de leidinggevende aan.
- Medewerkers die al in Bob stonden voordat de HiBob-integratie aanging, gaan pas naar OneLogin als een gekoppeld veld wijzigt of als HiBob een synchronisatie van iedereen start. KoppelHet vergelijkt bij livegang alle medewerkers met OneLogin en zet bij bestaande gebruikers het Bob-id in external_id.
- Een gebruiker die via de API in OneLogin wordt aangemaakt, krijgt geen uitnodigingsmail. KoppelHet zet het werkadres op de gebruiker en laat de eerste aanmelding verlopen zoals jullie in OneLogin hebben ingericht, bijvoorbeeld met een aparte uitnodiging vanuit IT.
- Bob werkt met sites in meerdere landen en tijdzones, en stuurt een vertrek pas om middernacht na de ingangsdatum in de tijdzone van de site. KoppelHet gebruikt de site om per land een eigen rol en een eigen moment van schorsen te bepalen.
- Eigen velden in OneLogin moeten eerst bestaan; een onbekend veld laat het aanmaken van de hele gebruiker mislukken. Een eigen veld in Bob, zoals een kostenplaats, zet KoppelHet pas door als de OneLogin-beheerder het veld heeft aangemaakt.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Kunnen we ook mappings in OneLogin gebruiken in plaats van rollen uit KoppelHet?
Ja. Dan zet KoppelHet alleen de velden, en kennen jullie mappings de rollen toe. KoppelHet vraagt OneLogin die mappings direct bij het aanmaken uit te voeren.
Wordt een vertrekker verwijderd uit OneLogin?
Nee, de gebruiker wordt geschorst. Verwijderen na de bewaartermijn blijft een keuze van IT.
Leest de koppeling salarisgegevens in Bob?
Nee. De service user van KoppelHet heeft geen rechten op salaris.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- De HiBob-integratie met OneLogin wordt in Bob ingesteld onder de provisioningintegraties. Volgens HiBob start de synchronisatie standaard op de startdatum, met als triggers een nieuwe, gestarte of gewijzigde medewerker; de status volgt de Bob-status of staat vast op actief of geschorst. HiBob kan een synchronisatie van alle medewerkers starten.
- KoppelHet leest HiBob via ondertekende employee events (employee.created, employee.updated, employee.joined, employee.left, employee.temporaryLeave) en de People API (people search met showInactive).
- Naar OneLogin via API v2 met een credential met Manage Users: POST /api/2/users met username, email, firstname, lastname, title, department, company, external_id, manager_user_id, role_ids en custom_attributes, met mappings=sync. Gebruikersnaam uniek per subdomein; status 1 is actief, 2 is geschorst; geen uitnodigingsmail via de API.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in HiBob | Veld in OneLogin | Toelichting |
|---|---|---|
root.id | external_id | |
root.firstName | firstname | |
root.surname | lastname | |
Naamgevingsregel | username en email | |
work.title | title | |
work.department | department | |
Bedrijf of entiteit | company | |
Leidinggevende | manager_user_id | |
Functie, site en soort dienstverband | role_ids | Volgens een vastgelegde tabel |
Startdatum en vertrek | status (1 actief, 2 geschorst) |
Gerelateerd
Ashby → HiBob
Ashby HiBob koppeling: een aanname uit Ashby direct als medewerker in Bob
Bullhorn → HiBob
Bullhorn HiBob koppeling: een goedgekeurde plaatsing als nieuwe medewerker in Bob
Carerix → HiBob
Carerix HiBob koppeling: geslaagde match wordt nieuwe medewerker in Bob
Greenhouse → HiBob
Greenhouse HiBob koppeling: van aanname in Greenhouse naar nieuwe medewerker in Bob