Identity en access management
HR2day Active Directory koppeling: accounts per school of locatie vanuit HR
Met een koppeling tussen HR2day en Active Directory krijgt een nieuwe medewerker in HR2day automatisch een account in Active Directory, op de juiste school of locatie en met de groepen die bij de functie horen. Na de laatste werkdag wordt het account uitgeschakeld, en via Microsoft komt het account ook in Microsoft 365, zonder dat de ICT-coördinator iets met de hand doet.
Wat de koppeling doet
Organisaties met HR2day voor personeel en salaris en een eigen Active Directory, gekoppeld aan Microsoft 365, maken accounts vaak een voor een met de hand aan. Beginnen veel contracten op dezelfde dag, zoals bij de start van het schooljaar, dan loopt dat vast, en vervangers met een tijdelijk contract blijven achter in Active Directory.
- IT installeert eenmalig een klein programma van KoppelHet in het eigen netwerk, en geeft de koppeling leesrechten in HR2day.
- HR voert een nieuwe medewerker in in HR2day. KoppelHet bedenkt gebruikersnaam en e-mailadres met de afgesproken naamgevingsregels.
- Het account staat daarna in Active Directory in de map van de juiste school of locatie, met functie, afdeling en leidinggevende.
- De medewerker komt in de groepen die bij functie en afdeling horen, en krijgt via Microsoft ook een Microsoft 365-account en licentie.
- Na het einde van het laatste contract wordt het account uitgeschakeld en apart gezet bij de vertrokken medewerkers.
Waar je op let bij HR2day en Active Directory
- HR2day en het eigen netwerk kunnen elkaar niet rechtstreeks bereiken. KoppelHet leest uit HR2day, en het programma in het eigen netwerk voert de wijzigingen in Active Directory uit.
- Kenmerken zoals kostenplaats of BRIN-nummer van de school zetten we op het account in Active Directory. Microsoft neemt ze mee naar Entra ID, maar daar zijn ze alleen te lezen, dus wijzigen gebeurt altijd in Active Directory.
- Heeft de leidinggevende uit HR2day zelf geen account, bijvoorbeeld een bestuurder van buiten, dan blijft het veld leeg en krijgt HR een melding, in plaats van een verkeerde leidinggevende.
- Vervangers krijgen vaak meerdere korte contracten achter elkaar. Tussen twee contracten blijft het account uitgeschakeld en gaat het bij een nieuw contract weer aan, zodat de vervanger dezelfde gebruikersnaam en bestanden houdt.
- Het e-maildomein van een account moet ook in Microsoft 365 bekend zijn. Bij een stichting met een eigen domein per school leggen we per locatie vast welk domein geldt.
- De koppeling mag in HR2day alleen medewerkers, contracten en afdelingen lezen. Salaris en verzuim ziet ze niet.
- Bij de start van het schooljaar beginnen veel contracten op dezelfde dag. KoppelHet maakt de accounts vooraf aan, uitgeschakeld, en zet ze op de begindatum allemaal tegelijk aan.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Moet er een poort open in de firewall van de organisatie?
Nee. Het programma van KoppelHet maakt zelf een uitgaande verbinding met het platform.
Kunnen leerlingaccounts ook mee?
Leerlingen staan niet in HR2day, dus niet via deze koppeling. Die komen uit het leerlingvolgsysteem.
Wat als we meerdere domeinen hebben?
Per locatie of werkgever in HR2day leggen we vast in welk domein en welke map het account komt. Eén programma per domein is genoeg.
Wat gebeurt er met bestaande accounts?
We koppelen ze voor livegang op personeelsnummer of naam aan HR2day. Wat niet te koppelen is, loopt de ICT-coördinator eerst na.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- HR2day draait op Salesforce en wordt gelezen via de Salesforce REST API, op wijzigingsdatum (LastModifiedDate). Toegang via een connected app met een integratiegebruiker en een permission set met alleen leesrechten op de HR2day-objecten voor medewerkers, arbeidsrelaties en afdelingen.
- Een KoppelHet-agent in het domein voert de wijzigingen in AD uit via een uitgaande verbinding.
- AD-attributen onder meer employeeID, sAMAccountName, userPrincipalName, givenName, sn, title, department, manager en physicalDeliveryOfficeName. Kostenplaats of BRIN in een extensionAttribute; in Entra ID read-only voor gesynchroniseerde accounts (onPremisesExtensionAttributes).
- Organizational unit (OU) per school of locatie; uitschakelen via userAccountControl. Het UPN-achtervoegsel moet in Entra ID zijn geverifieerd. Entra Connect synchroniseert naar Entra ID.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in HR2day | Veld in Active Directory | Toelichting |
|---|---|---|
Personeelsnummer | employeeID | |
Roepnaam | givenName | |
Tussenvoegsel + Achternaam | sn en displayName | Volgorde van het tussenvoegsel volgens de conventie van de klant |
Naamgevingsregel | sAMAccountName | |
Naamgevingsregel | userPrincipalName en mail | |
Functie | title | |
Afdeling | department | |
Locatie of school | OU en physicalDeliveryOfficeName | |
Leidinggevende | manager | |
Kostenplaats | extensionAttribute (per klant te kiezen) | |
Einddatum laatste arbeidsrelatie | userAccountControl (uitgeschakeld) |
Gerelateerd
Exact Online → HR2day
Exact Online HR2day koppeling: kostenplaatsen en kostendragers naar HR2day, loonjournaal per administratie
HR2day → Microsoft Entra ID
HR2day Entra ID koppeling: Microsoft 365-accounts voor zorg, onderwijs en kinderopvang
HR2day → Google Workspace
HR2day Google Workspace koppeling: één Google-account per medewerker, ook met meerdere arbeidsrelaties
HR2day → Jira Service Management
HR2day Jira Service Management koppeling: klanten, organisaties en onboardingverzoeken per arbeidsrelatie