Identity en access management
HiBob Ping Identity koppeling: medewerkers uit Bob als gebruikers in PingOne
Met een koppeling tussen HiBob en Ping Identity wordt elke nieuwe medewerker in Bob een gebruiker in PingOne, in de populatie van zijn site of land en met functie, afdeling en leidinggevende. Na vertrek of bij verlof zonder toegang kan de gebruiker niet meer inloggen, en verwijderen gebeurt pas na de bewaartermijn.
Wat de koppeling doet
Organisaties die HiBob voor HR gebruiken en PingOne voor single sign-on en MFA, zetten nieuwe collega's vaak met de hand in PingOne nadat HR een bericht stuurt. Vertrekkers houden dan toegang tot iemand het account uitzet, en verhuizingen naar een andere site of afdeling komen niet in de groepen van PingOne terecht.
- In Bob maakt de beheerder een service user voor KoppelHet met leesrechten op de benodigde velden; in PingOne komt een Worker-app met de rol Identity Data Admin.
- KoppelHet abonneert zich op de medewerkermeldingen van Bob en haalt bij elke melding de actuele gegevens op.
- Een nieuwe medewerker wordt een PingOne-gebruiker in de populatie van zijn site, met aanmelden geblokkeerd tot de eerste werkdag.
- Afdeling en site bepalen de groepen; een overstap verplaatst de gebruiker op de ingangsdatum.
- Bij vertrek blokkeert KoppelHet het aanmelden en verwijdert de gebruiker pas na de afgesproken bewaartermijn.
Waar je op let bij HiBob en Ping Identity
- PingOne heeft een kant-en-klare HR-provisioner voor Workday, maar niet voor HiBob. In de lijst met HR-koppelingen van HiBob staat Ping Identity ook niet. KoppelHet levert de gebruikers aan PingOne zelf, via de API's die Ping daarvoor beschrijft.
- HiBob stuurt een melding over een vertrek of nieuwe start pas om middernacht na de ingangsdatum, in de tijdzone van de site. Een collega in Singapore wordt daardoor uren eerder geblokkeerd dan een collega in Amsterdam. KoppelHet zet die tijdzone ook als timezone op de PingOne-gebruiker, zodat aanmeldbeleid met lokale tijd rekent.
- Bob kent verlof waarbij iemand actief blijft en verlof waarbij de toegang stopt. Alleen bij de tweede soort komt er een melding. KoppelHet blokkeert dan het aanmelden in PingOne, en zet het weer aan als het verlof eindigt, zonder de gebruiker te verwijderen.
- Een gebruikersnaam in PingOne is uniek in de omgeving, hoofdletterongevoelig en hooguit 128 tekens lang. Draait PingID in dezelfde omgeving, dan kan de naam na aanmaken niet meer wijzigen. KoppelHet bouwt de naam daarom uit een vaste regel en niet uit een achternaam die HR in Bob later aanpast.
- Bob heeft vestigingen in meerdere landen, en PingOne zet elke gebruiker in één populatie, die alleen via een apart verzoek te wisselen is. KoppelHet koppelt elke site aan een populatie en verhuist de gebruiker bij een overstap naar een ander land met dat aparte verzoek, zodat MFA-apparaten en historie blijven.
- Mag de service user in Bob een veld niet lezen, dan laat HiBob het zonder foutmelding uit het antwoord. KoppelHet controleert bij elke medewerker of afdeling, site en leidinggevende aanwezig zijn, zodat een rechtenprobleem niet een hele groep in PingOne leeg laat lopen.
- Wordt een medewerker in Bob verwijderd in plaats van uit dienst gemeld, dan geeft HiBob alleen nog het e-mailadres mee. KoppelHet zoekt met dat adres de PingOne-gebruiker op en blokkeert hem, in plaats van te wachten tot de nachtelijke vergelijking.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Kan PingOne daarna accounts in andere applicaties maken?
Ja, met de uitgaande provisioning van PingOne zelf. KoppelHet zorgt dat de gegevens uit Bob kloppen.
Gaan er salarisgegevens naar PingOne?
Nee. De service user in Bob kan salaris en bankgegevens niet lezen.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- HiBob via ondertekende employee events (employee.created, employee.updated, employee.joined, employee.left, employee.temporaryLeave, employee.deleted met e-mailadres) en de People API (people search met showInactive voor nog niet gestarte medewerkers). Een service user met leesrechten op root, work en lifecycle; geen salaris.
- PingOne met een Worker-app met de rol Identity Data Admin: gebruikers via /v1/environments/{envID}/users of de SCIM-ingang (DirectMappedUsers voor eigen attributen), username uniek en maximaal 128 tekens, title en type maximaal 256 tekens, timezone als IANA-naam, population.id alleen te wijzigen via de population-subresource, groepen via de Platform API en aanmelden blokkeren via enabled.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in HiBob | Veld in Ping Identity | Toelichting |
|---|---|---|
root.id | externalId | Vaste sleutel, ook bij een nieuwe naam |
Naamgevingsregel | username | Maximaal 128 tekens |
root.firstName en surname | name.given en name.family | |
Werkadres | email | |
work.title | title | |
work.department | Groep en eigen attribuut afdeling | |
work.reportsTo | Eigen attribuut leidinggevende | |
work.site | population.id en timezone | |
Soort dienstverband | type | |
Lifecycle-status | Blokkeren of toestaan van aanmelden |
Gerelateerd
Ashby → HiBob
Ashby HiBob koppeling: een aanname uit Ashby direct als medewerker in Bob
Bullhorn → HiBob
Bullhorn HiBob koppeling: een goedgekeurde plaatsing als nieuwe medewerker in Bob
Carerix → HiBob
Carerix HiBob koppeling: geslaagde match wordt nieuwe medewerker in Bob
Greenhouse → HiBob
Greenhouse HiBob koppeling: van aanname in Greenhouse naar nieuwe medewerker in Bob