Identity en access management
Keka Entra ID koppeling: accounts vanaf de joining date, geblokkeerd op de exitdatum
Met een koppeling tussen Keka en Microsoft Entra ID krijgt een nieuwe medewerker uit Keka een gebruiker met functie, groepen en leidinggevende, die pas op de joining date aangaat en op de exitdatum wordt geblokkeerd. KoppelHet bouwt die koppeling op de API van Keka en schrijft via Microsoft Graph naar Entra ID.
Wat de koppeling doet
Organisaties die Keka gebruiken en Microsoft 365 als werkplek hebben, voeren nieuwe collega's vaak weken voor de start in Keka in. Het account moet dan nog niet werken, en bij een exit moet het op een vaste datum dicht.
- We leggen vast wat er bij instroom en exit met accounts moet gebeuren.
- KoppelHet maakt het account geblokkeerd aan en zet het aan op de joining date, met groepen per Keka-groep.
- Op de exitdatum blokkeert KoppelHet het account; trekt HR de exit in, dan gaat het weer open.
Waar je op let bij Keka en Microsoft Entra ID
- Wie nieuwe collega's al weken voor de start in Keka invoert, wil niet dat ze dan al een werkend account hebben. KoppelHet maakt het account geblokkeerd aan en zet het pas aan op de joining date.
- Een nieuw account in Entra ID heeft een eerste wachtwoord of een Temporary Access Pass nodig. We spreken vooraf af hoe dat bij de nieuwe collega komt.
- Bij een naamswijziging na een huwelijk kan KoppelHet de UPN aanpassen en het oude adres als alias houden, zodat IT het adres niet met de hand in Entra ID hoeft te wijzigen.
- Een exit in Keka heeft een exitdatum en een exitstatus, en de API laat zien of iemand in de opzegtermijn zit. KoppelHet blokkeert op de exitdatum en zet het account weer aan als Keka een geannuleerde exit meldt.
- Keka kent naast de directe leidinggevende ook een leidinggevende op het tweede niveau en een dotted-line manager. Entra ID heeft één manager-veld; KoppelHet vult dat met de directe leidinggevende en zet de andere relaties niet door.
- Komen de accounts uit een eigen Windows-domein dat via Entra Connect naar de cloud synchroniseert, dan schrijft KoppelHet naar dat domein in plaats van rechtstreeks naar Entra ID.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Gaan salarisgegevens uit Keka naar Entra ID?
Nee. KoppelHet leest alleen de medewerkergegevens voor het account; de Employee API van Keka bevat geen salaris.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Keka API (https://{bedrijf}.keka.com/api/v1) met een token van login.keka.com/connect/token (client_id, client_secret, api_key, scope kekaapi). GET /hris/employees met lastModified, employmentStatus (Working, Relieved) en inNoticePeriod; velden email, jobTitle, groups, reportsTo, l2Manager, joiningDate, exitDate, exitStatus en countryCode. Vijftig verzoeken per minuut. Event triggers als webhook, waaronder exitCancelled. Naar Entra ID via Microsoft Graph of API-driven inbound provisioning.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Keka | Veld in Microsoft Entra ID | Toelichting |
|---|---|---|
employeeNumber | employeeId | Maximaal 16 tekens |
firstName, lastName en displayName | givenName, surname en displayName | |
email | userPrincipalName en mail | |
jobTitle | jobTitle | |
groups | department en groepslidmaatschap | |
reportsTo | manager | |
countryCode | usageLocation | |
joiningDate | employeeHireDate en accountEnabled = true | |
exitDate | employeeLeaveDateTime en accountEnabled = false |
Gerelateerd
Keka → Active Directory
Keka koppelen met Active Directory: domeinaccounts per vestiging, met vervaldatum op de exit
Keka → ADP iHCM
Keka ADP iHCM koppeling: salarisopbouw, variabele uitbetalingen en vertrek van de Nederlandse pay group naar ADP
Keka → AFAS Profit
Keka koppelen met AFAS: Nederlandse medewerkers uit Keka in de salarisadministratie
Keka → Arbodienst (SIVI)
Keka koppelen met de arbodienst via SIVI: leave requests voor ziekte als verzuimmelding