Identity en access management
HoorayHR Okta koppeling: HoorayHR als HR-bron voor Okta-gebruikers en groepen
Met een koppeling tussen HoorayHR en Okta wordt elke medewerker uit HoorayHR een Okta-gebruiker met functie, entiteit, soort contract en de teams als groepen, zodat Okta de juiste apps toewijst. Na de einddatum van het dienstverband in HoorayHR deactiveert Okta de gebruiker, en BSN, bankgegevens en privéadres komen nooit in Okta.
Wat de koppeling doet
Organisaties die HR in HoorayHR doen en Okta als toegangslaag gebruiken, maken Okta-gebruikers nu met de hand aan op basis van een melding in Teams of een mail. Een teamwissel in HoorayHR verandert niets aan de apps in Okta, en een stagiair krijgt dezelfde toegang als een vaste kracht.
- Een admin in HoorayHR maakt een API-sleutel met alleen leesscopes; in Okta komt een eigen HR-bron met een service-app voor KoppelHet.
- KoppelHet leest elke ronde alle medewerkers, contracten, teams en entiteiten en laat gevoelige velden direct vallen.
- KoppelHet vergelijkt de lijst met de vorige stand en zet alleen nieuwe en gewijzigde medewerkers, groepen en lidmaatschappen in één Okta-sessie.
- Okta maakt de gebruikers aan of werkt ze bij en wijst apps toe via de groepen.
- Na de einddatum levert KoppelHet de medewerker als verwijdering aan, en Okta deactiveert de gebruiker.
Waar je op let bij HoorayHR en Okta
- KoppelHet gebruikt de ingang die Okta biedt voor een eigen HR-bron, Anything-as-a-Source. Zo wordt HoorayHR in Okta de bron voor wie er werkt.
- HoorayHR laat medewerkers alleen op ID filteren, niet op wijzigingsdatum, en Okta neemt bij een eigen HR-bron alleen wijzigingen aan. KoppelHet leest daarom elke ronde de volledige lijst, vergelijkt die met de vorige stand en levert Okta alleen de verschillen, in één sessie.
- Een API-sleutel van HoorayHR werkt met de rechten van de admin die hem maakte, en een admin ziet BSN, rekeningnummer en privéadres. KoppelHet gooit die velden weg zodra ze binnenkomen, zodat ze niet in logboeken of in Okta belanden.
- Teams staan in HoorayHR als lijst bij de medewerker, maar Okta neemt uit een eigen HR-bron alleen losse tekst aan, geen lijsten. KoppelHet maakt van elk team een Okta-groep met lidmaatschappen, en zet alleen het team dat jullie als afdeling aanwijzen in het veld department.
- Extra velden in HoorayHR kunnen keuzelijsten met meer waarden zijn, en ze komen alleen mee als de koppeling er apart om vraagt. KoppelHet zet een veld met één waarde als tekstattribuut in Okta en maakt van een meerkeuzeveld groepen, zodat ook eigen velden toegang kunnen sturen.
- Een contract in HoorayHR is bepaalde tijd, vast of stage, met de status toekomstig, actief of inactief. KoppelHet zet het soort contract als tekst in Okta, zodat een stagiair via een groepsregel andere apps krijgt, en levert een medewerker met alleen een toekomstig contract al aan met zijn startdatum.
- HoorayHR kan gebruikers verbergen voor niet-admins en kent een gearchiveerde status. KoppelHet spreekt af of verborgen gebruikers naar Okta gaan, en behandelt een gearchiveerde medewerker zonder einddatum als signaal voor HR in plaats van hem direct in Okta te deactiveren.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Wat gebeurt er als de API-sleutel verloopt?
De vervaldatum ligt vast bij het aanmaken. KoppelHet waarschuwt ruim vooraf, zodat een admin een nieuwe sleutel maakt.
Gaat het Okta-adres terug naar HoorayHR?
Nee. De API van HoorayHR kan een bestaande medewerker niet bijwerken.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- HoorayHR via api.hoorayhr.io met een persoonlijke API-sleutel (pk_…, rol admin, scopes en vervaldatum achteraf niet te wijzigen) als Bearer-token: GET /users (filter alleen op id; velden id, employeeNumber, firstName, nickName, formattedLastName, email, jobTitle, entityId, teams, status 0 tot 3, isHidden, companyStartDate, companyEndDate; extraFields alleen met includeExtraFields), /contracts (type, status ACTIVE/FUTURE/INACTIVE), /teams-information en /entities. 403 bij een inactief abonnement stopt de ronde.
- Okta via de Identity Sources API (Custom Identity Source) met een service-app: sessies (één tegelijk per bron, verlopen na 24 uur zonder activiteit, alleen INCREMENTAL), bulk-upsert met externalId en alleen tekstattributen (200 per verzoek, 50 verzoeken per sessie), groepen en lidmaatschappen apart, bulk-delete deactiveert de gebruiker.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in HoorayHR | Veld in Okta | Toelichting |
|---|---|---|
id (HoorayHR) | externalId | Vast en onveranderlijk |
employeeNumber | employeeNumber | |
nickName of firstName | firstName | |
formattedLastName | lastName | |
Naamgevingsregel of email | email en login | Nooit emailPrivate |
jobTitle | title | |
entityId (naam uit entities) | organization | |
teams | Groep per team | |
Contracttype (1, 2 of 3) | userType | |
companyStartDate | Eigen attribuut startdatum (tekst) | |
companyEndDate | Uit de HR-bron (deactiveren) |
Gerelateerd
HoorayHR → Active Directory
HoorayHR Active Directory koppeling: domeinaccount uit het personeelsdossier
ASHoorayHR → Arbodienst (SIVI)
HoorayHR arbodienst koppeling via SIVI: verzuimdossiers en hun fasen uit HoorayHR naar de arbodienst
HoorayHR → Microsoft Entra ID
HoorayHR Entra ID koppeling: Microsoft 365-account op de startdatum uit HoorayHR
HoorayHR → Google Workspace
HoorayHR Google Workspace koppeling: Google-account vanaf de indienstdatum