Identity en access management
HoorayHR Active Directory koppeling: domeinaccount uit het personeelsdossier
Met een koppeling tussen HoorayHR en Active Directory maakt een nieuwe medewerker in HoorayHR automatisch een domeinaccount aan, in de juiste OU per entiteit en met functie, team en leidinggevende. Na de einddatum van het dienstverband in HoorayHR schakelt het programma van KoppelHet het account in Active Directory uit en verplaatst het naar de OU voor vertrekkers.
Wat de koppeling doet
Organisaties met HoorayHR als HR-systeem en een Active Directory op een eigen server, vaak gesynchroniseerd naar Microsoft 365, typen nieuwe medewerkers twee keer in. Na een teamwissel houdt iemand de mappen van het oude team, omdat HoorayHR de wissel niet aan het domein doorgeeft.
- IT installeert eenmalig het programma van KoppelHet op een server in het domein; het maakt alleen een uitgaande verbinding.
- KoppelHet leest met een API-sleutel van HoorayHR de medewerkers, teams, contracten en entiteiten.
- Voor een nieuwe medewerker maakt het programma een account aan in de OU van zijn entiteit, met een unieke inlognaam.
- Bij een ander team of contract past het programma afdeling en groepslidmaatschappen aan.
- Na de einddatum wordt het account uitgeschakeld en naar de OU voor vertrekkers verplaatst.
Waar je op let bij HoorayHR en Active Directory
- HoorayHR maakt geen accounts aan in een directory. Het programma van KoppelHet in het domein zet de wijzigingen door, zodat er geen poort open hoeft voor een verbinding van buiten.
- Elke HoorayHR-omgeving heeft minstens één entiteit, ook zonder meerdere werkgevers. Het programma gebruikt de entiteit voor de OU en het veld company, zodat groepsbeleid per werkgever kan verschillen zodra er een tweede entiteit bijkomt.
- Teams in HoorayHR worden groepen in Active Directory. Omdat een medewerker in meer teams kan zitten, volgt het lidmaatschap alle teams, terwijl het veld department één afgesproken hoofdteam krijgt.
- Een inlognaam in Active Directory mag hoogstens 20 tekens hebben en moet uniek zijn in het domein. HoorayHR bewaart voorvoegsel, achternaam en partnernaam los; het programma bouwt de inlognaam uit de eigen naam en kort die in, zodat lange Nederlandse namen passen.
- Medewerkers zijn in HoorayHR niet op wijzigingsdatum op te vragen. KoppelHet leest bij elke ronde alle medewerkers en vergelijkt per persoon, en uitschakelen gebeurt op basis van de einddatum, niet op het moment dat HR die invult.
- Demomedewerkers uit de proefperiode staan ook in de HoorayHR-API. Het programma maakt voor hen geen domeinaccount aan, zodat er geen accounts met rechten op de bestanden ontstaan voor mensen die niet bestaan.
- Een weigering omdat het HoorayHR-abonnement inactief is of een betaling openstaat, zet het programma niet om in uitschakelen. De ronde stopt en KoppelHet krijgt een melding, zodat het domein niet leegloopt door een administratief probleem.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Moeten er poorten open in de firewall?
Nee. Het programma in het domein maakt zelf een uitgaande verbinding met het KoppelHet-platform.
Wie bepaalt de leidinggevende?
De teamleider van het afgesproken hoofdteam in HoorayHR. Dat spreken we bij de start af, omdat HoorayHR geen apart veld voor de leidinggevende heeft.
Kan het nieuwe e-mailadres terug naar HoorayHR?
De HoorayHR-API kan bestaande medewerkers niet bijwerken. Het adres staat wel in Active Directory en daarmee in Microsoft 365.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- HoorayHR via api.hoorayhr.io met een persoonlijke API-sleutel (pk_…) van een gebruiker met de rol admin, alleen leesscopes: GET /users (filter alleen id[$in]), /teams-information, /contracts en /entities. Velden onder meer id, employeeNumber, firstName, insertion, lastName, displayName, jobTitle, entityId, teams, isDemoData, companyStartDate en companyEndDate. 403 met INACTIVE_COMPANY of PAYMENT_OVERDUE stopt de ronde.
- Een KoppelHet-agent in het domein schrijft via een uitgaande verbinding de AD-attributen employeeID, sAMAccountName (maximaal 20 tekens), userPrincipalName (uniek in het forest), givenName, sn, displayName, title, department, company, manager, een extensionAttribute met het HoorayHR-ID en userAccountControl; OU per entiteit en groepen per team.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in HoorayHR | Veld in Active Directory | Toelichting |
|---|---|---|
id (HoorayHR) | Eigen attribuut als vaste sleutel | Blijft gelijk als het personeelsnummer verandert |
employeeNumber | employeeID | |
Naamgevingsregel | sAMAccountName | Maximaal 20 tekens, uniek in het domein |
Naamgevingsregel met domein | userPrincipalName en mail | |
firstName, insertion, lastName | givenName en sn | |
displayName | displayName | |
jobTitle | title | |
Team | department en groepen | |
Entiteit | company en OU | |
companyEndDate | userAccountControl (uitgeschakeld) |
Gerelateerd
ASHoorayHR → Arbodienst (SIVI)
HoorayHR arbodienst koppeling via SIVI: verzuimdossiers en hun fasen uit HoorayHR naar de arbodienst
HoorayHR → Microsoft Entra ID
HoorayHR Entra ID koppeling: Microsoft 365-account op de startdatum uit HoorayHR
HoorayHR → Google Workspace
HoorayHR Google Workspace koppeling: Google-account vanaf de indienstdatum
HoorayHR → Okta
HoorayHR Okta koppeling: HoorayHR als HR-bron voor Okta-gebruikers en groepen