Identity en access management
Keka Google Workspace koppeling: Google-accounts vanuit Keka, van joining date tot exit
Met een koppeling tussen Keka en Google Workspace krijgt elke nieuwe medewerker in Keka een Google-account met functie, afdeling, land en leidinggevende, en wordt het account geschorst op de exitdatum in Keka. Keka laat medewerkers wel inloggen met hun Google-account, maar een Google-koppeling die accounts aanmaakt vonden we alleen voor Entra ID; KoppelHet bouwt die stroom via de Keka API.
Wat de koppeling doet
Organisaties die Keka als HR-systeem gebruiken en Google Workspace als werkplek, laten medewerkers vaak met Google op Keka inloggen. Dat Google-account maakt IT nog met de hand, en wie vertrekt, houdt Gmail tot iemand het account schorst.
- HR voegt een nieuwe medewerker toe in Keka met joining date, functie en groepen.
- KoppelHet maakt het Google-account geschorst aan, in de eenheid van het land of de locatie.
- Op de joining date heft KoppelHet de schorsing op; de nieuwe collega logt daarna met hetzelfde account in op Keka.
- Wijzigingen in functie, groepen of leidinggevenden gaan door naar Google.
- Op de exitdatum schorst KoppelHet het account; bij een geannuleerde exit zet KoppelHet het weer aan.
Waar je op let bij Keka en Google Workspace
- Keka laat medewerkers met een Google Workspace-account inloggen zonder wachtwoord of eenmalige code, als een beheerder die inlogmethode aanzet. Daarvoor moet het account al door IT zijn gemaakt. KoppelHet maakt het account vóór de joining date, zodat de inlog met Google op Keka op de eerste dag werkt.
- Keka heeft een eigen provisioningkoppeling met Entra ID, maar voor Google Workspace vonden we alleen de inlog. KoppelHet leest Keka via de API, zodat Google dezelfde regels kan volgen als een Microsoft-omgeving van een zusterbedrijf.
- Keka kent naast de directe leidinggevende ook een dotted-line manager. Google heeft voor beide een eigen relatietype. KoppelHet zet allebei, zodat de organisatiestructuur in Google ook matrixlijnen toont.
- Keka levert afdeling en locatie als groepen met een groepstype, niet als losse velden. KoppelHet kiest per groepstype wat afdeling, Google-groep of organisatie-eenheid wordt, zodat een nieuwe locatie in Keka niet vanzelf een nieuwe eenheid in Google maakt.
- Een exit in Keka heeft een exitdatum en een status, en Keka stuurt een event als een exit wordt geannuleerd. KoppelHet schorst het Google-account op de exitdatum en heft de schorsing op bij een annulering, met mail en bestanden nog intact.
- Keka geeft per pagina hooguit tweehonderd medewerkers en staat vijftig verzoeken per minuut toe. KoppelHet vraagt elk uur alleen de medewerkers op die na de vorige ronde zijn gewijzigd, en doet de volledige vergelijking in de nacht.
- Keka bewaart naast het werkadres een privéadres. Google kent een herstel-e-mailadres per account. Willen jullie dat, dan zet KoppelHet het privéadres uit Keka als herstel-e-mailadres, zodat een nieuwe collega zelf een vergeten wachtwoord kan herstellen.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Wat gebeurt er in de opzegtermijn?
Het account blijft actief tot de exitdatum. Wil je in de opzegtermijn al groepen of gedeelde drives intrekken, dan kan dat op basis van de opzegstatus in Keka.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Keka API (https://{bedrijf}.keka.com/api/v1) met een token van login.keka.com/connect/token (client_id, client_secret, api_key, scope kekaapi). GET /hris/employees met lastModified, employmentStatus (Working, Relieved), inNoticePeriod en pageSize (standaard 100, maximaal 200); velden email, personalEmail, jobTitle, groups (met groupType), reportsTo, dottedLineManager, joiningDate, exitDate, exitStatus en countryCode. Event triggers als webhook, waaronder exitCancelled. Vijftig verzoeken per minuut.
- Naar Google via de Admin SDK Directory API (users met externalIds, name, primaryEmail, password, orgUnitPath, organizations, relations type manager en dotted_line_manager, recoveryEmail en suspended; groups en members), met een service account met domain-wide delegation.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Keka | Veld in Google Workspace | Toelichting |
|---|---|---|
employeeNumber | externalIds (type organization) | |
firstName en lastName | name.givenName en name.familyName | |
Naamgevingsregel | primaryEmail | |
jobTitle | organizations.title | |
groups (groupType afdeling) | organizations.department en groepen | |
countryCode of locatiegroep | orgUnitPath | |
reportsTo | relations (type manager) | |
dottedLineManager | relations (type dotted_line_manager) | |
joiningDate en exitDate | suspended |
Gerelateerd
Keka → Active Directory
Keka koppelen met Active Directory: domeinaccounts per vestiging, met vervaldatum op de exit
Keka → ADP iHCM
Keka ADP iHCM koppeling: salarisopbouw, variabele uitbetalingen en vertrek van de Nederlandse pay group naar ADP
Keka → AFAS Profit
Keka koppelen met AFAS: Nederlandse medewerkers uit Keka in de salarisadministratie
Keka → Arbodienst (SIVI)
Keka koppelen met de arbodienst via SIVI: leave requests voor ziekte als verzuimmelding