Identity en access management
Keka koppelen met Active Directory: domeinaccounts per vestiging, met vervaldatum op de exit
Met een koppeling tussen Keka en Active Directory krijgt een nieuwe medewerker uit Keka een domeinaccount in de OU van zijn vestiging en type medewerker, met functie, groepen en leidinggevende, en loopt het account af op de exitdatum in Keka. KoppelHet bouwt die koppeling met een klein programma in jullie domein.
Wat de koppeling doet
Organisaties die Keka wereldwijd voor HR gebruiken en voor hun vestigingen in Europa een eigen Windows-domein hebben, maken accounts in dat domein vaak met de hand aan. Ze lopen via mail of tickets, en een exit komt vaak pas na de laatste dag bij IT.
- We leggen vast welke vestigingen bij dit domein horen en welke Keka-groepen welke beveiligingsgroep worden.
- Een beheerder stelt in Keka event triggers in met een webhook naar KoppelHet.
- Bij een melding haalt het platform de medewerker op en stuurt het programma in het domein een opdracht.
- Het programma maakt het account in de juiste OU, met functie, groepen en leidinggevende.
- Een goedgekeurde exit wordt de vervaldatum; een geannuleerde exit haalt die weer weg.
Waar je op let bij Keka en Active Directory
- Een webhook van Keka bevat alleen de identificatie van de medewerker, het type event en het subdomein. Het platform haalt daarna de medewerker op via de API, zodat het programma in het domein nooit zelf met Keka praat en de gegevens uit één bron komen.
- Keka geeft bij elke medewerker het type medewerker en of iemand een contingent worker is. KoppelHet zet externe krachten in een eigen OU met een kortere vervaldatum, zodat daar ander beleid op kan dan op vaste medewerkers.
- Een exit in Keka is pas definitief na goedkeuring, en HR kan hem daarna nog annuleren. KoppelHet zet de exitdatum als vervaldatum zodra de exit is goedgekeurd, en haalt die weg bij een geannuleerde exit, zodat iemand die toch blijft gewoon kan doorwerken.
- De exitdatum komt uit Keka als datum met tijd. Een Indiase tenant en een Nederlands domein liggen uren uit elkaar; KoppelHet rekent de datum om naar het einde van de werkdag in de tijdzone van de vestiging voordat het accountExpires zet.
- Keka laat vijftig API-verzoeken per minuut toe. Bij de eerste vulling van het domein vraagt KoppelHet alleen de medewerkers van de eigen vestiging op, in pagina's van tweehonderd, en daarna alleen wie sinds de vorige ronde is gewijzigd.
- Keka kent per medewerker drie leidinggevenden, namelijk reportsTo, een l2Manager en een dotted line manager. In Active Directory is manager één verwijzing naar het account van de leidinggevende, als distinguished name. KoppelHet gebruikt alleen reportsTo, zoekt het account op via employeeID en laat het veld leeg als de leidinggevende buiten dit domein werkt.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Moet er iets open in de firewall?
Nee. De webhook van Keka komt binnen bij het platform van KoppelHet; het programma in het domein maakt alleen een uitgaande verbinding.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Keka API (https://{bedrijf}.keka.com/api/v1) met een token van login.keka.com/connect/token (client_id, client_secret, api_key, scope kekaapi). GET /hris/employees met lastModified en employmentStatus (Working, Relieved); velden employeeNumber, jobTitle, groups, reportsTo, city, countryCode, workerType, contingentType, exitDate en exitStatus. Event triggers (Settings > Communications > Event Triggers) met een webhookactie.
- Een KoppelHet-agent op een Windows-server in het domein haalt opdrachten op via een uitgaande verbinding en schrijft employeeID, sAMAccountName, userPrincipalName, givenName, sn, displayName, title, department, manager en accountExpires, beheert groepen en verplaatst accounts tussen OU's.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Keka | Veld in Active Directory | Toelichting |
|---|---|---|
employeeNumber | employeeID | Maximaal 16 tekens |
Naamgevingsregel | sAMAccountName en userPrincipalName | sAMAccountName maximaal 20 tekens |
firstName en lastName | givenName, sn en displayName | |
jobTitle | title | |
groups | department en beveiligingsgroepen | |
city en workerType | OU | |
reportsTo | manager | |
exitDate | accountExpires |
Gerelateerd
Keka → ADP iHCM
Keka ADP iHCM koppeling: salarisopbouw, variabele uitbetalingen en vertrek van de Nederlandse pay group naar ADP
Keka → AFAS Profit
Keka koppelen met AFAS: Nederlandse medewerkers uit Keka in de salarisadministratie
Keka → Arbodienst (SIVI)
Keka koppelen met de arbodienst via SIVI: leave requests voor ziekte als verzuimmelding
Keka → DATEV
Keka DATEV koppeling: de Duitse entiteit uit Keka naar de Steuerberater in DATEV