Identity en access management
Loket koppelen met Active Directory: domeinaccounts per werkgever vanuit Loket
Met een koppeling tussen Loket en Active Directory maakt KoppelHet voor een nieuwe werknemer in Loket een domeinaccount aan in de OU van zijn werkgever, met naam, afdeling en pasfoto, en schakelt het account na het einde van het dienstverband uit. De einddatum staat daarnaast als vervaldatum op het account, zodat het ook op tijd stopt als niemand ingrijpt.
Wat de koppeling doet
Organisaties met meerdere werkgevers in Loket en een eigen Active Directory maken accounts vaak aan op basis van een formulier dat een leidinggevende invult. Bij veel in- en uitstroom loopt dat achter, en namen met partnernaam staan in het domein steeds anders geschreven.
- IT installeert eenmalig een klein programma van KoppelHet op een server in het domein.
- KoppelHet haalt per werkgever de wijzigingen uit Loket op sinds de vorige ronde.
- Voor een nieuwe werknemer maakt het programma een account aan in de OU van de werkgever, met een inlognaam volgens jullie regel en de naam zoals de werknemer zich noemt.
- De pasfoto uit Loket gaat verkleind naar het account.
- Na het einde van het dienstverband wordt het account uitgeschakeld en naar de OU voor vertrekkers verplaatst.
Waar je op let bij Loket en Active Directory
- Loket geeft de naam in losse delen, inclusief voorvoegsel en naam van de partner. Een inlognaam in Active Directory mag maximaal 20 tekens hebben, dus KoppelHet bouwt die uit de eigen achternaam volgens jullie regel, terwijl de weergavenaam de partnernaam toont als de werknemer die gebruikt.
- Wijzigt een werknemer het naamgebruik, bijvoorbeeld na een huwelijk, dan past KoppelHet de weergavenaam en het e-mailadres aan, maar blijft de inlognaam gelijk. Zo blijven gekoppelde systemen en rechten op mappen werken.
- De pasfoto in Loket kan groter zijn dan de 100 kB die Active Directory voor een foto toestaat. KoppelHet verkleint hem eerst, zodat de foto in de adreslijst komt in plaats van dat het bijwerken mislukt.
- Loket stuurt geen meldingen naar andere systemen. Het platform van KoppelHet vraagt de wijzigingen op, en het programma in het domein haalt alleen de opdrachten op; er hoeft niets open in de firewall.
- Elke werkgever in Loket krijgt een eigen OU. Groepsbeleid en e-maildomein kunnen daardoor per werkgever verschillen, en een overstap tussen twee werkgevers verhuist het account in plaats van een nieuw account te maken.
- De einddatum van het dienstverband komt als vervaldatum op het account. Staat het programma in het domein op die dag uit, dan is het account na die datum toch niet meer bruikbaar.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Moet er een poort open in onze firewall?
Nee. Het programma in jullie domein maakt alleen een uitgaande verbinding met het platform van KoppelHet.
Een salarisbureau beheert ons Loket. Kan dat?
Ja. De koppeling krijgt leestoegang tot jullie werkgevers; andere klanten van het bureau blijven buiten beeld.
Wat is achteraf terug te zien voor een audit?
Elke actie van de koppeling staat in de auditlogging van het KoppelHet-platform. KoppelHet werkt met een ISO 27001-gecertificeerd managementsysteem.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Loket wordt gelezen via de Loket REST API met OAuth (authorization code flow met refresh token), per werkgever via de mutaties op werknemer en dienstverband; velden onder meer employeeNumber, firstName, prefix, lastName, prefixPartner, lastNamePartner, photo en de begin- en einddatum van het dienstverband.
- Een KoppelHet-agent op een Windows-server in het domein schrijft employeeID (maximaal 16 tekens), sAMAccountName (maximaal 20 tekens), userPrincipalName, mail, givenName, sn, displayName, title, department, company, thumbnailPhoto (maximaal 102.400 bytes) en accountExpires, en verplaatst accounts tussen OU's.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Loket | Veld in Active Directory | Toelichting |
|---|---|---|
employeeNumber met werkgeverscode | employeeID | Maximaal 16 tekens |
firstName | givenName | |
prefix, lastName, prefixPartner en lastNamePartner | sn en displayName | Volgens naamgebruik |
Naamgevingsregel | sAMAccountName | Maximaal 20 tekens |
Naamgevingsregel met domein per werkgever | userPrincipalName en mail | |
Werkgever | OU en company | |
Organisatorische eenheid | department en groepen | |
Functie | title | |
photo | thumbnailPhoto | Verkleind tot onder 100 kB |
Einddatum dienstverband | accountExpires en uitschakelen |
Gerelateerd
ADP Workforce Now → Loket
ADP Workforce Now koppelen met Loket: aanname, loon, uren en bonussen uit ADP naar de Nederlandse loonrun
AlexisHR → Loket
AlexisHR Loket koppeling: medewerkers van het Nederlandse bedrijf uit AlexisHR in de salarisadministratie
BambooHR → Loket
BambooHR koppelen met Loket: HR-mutaties uit BambooHR voor de Nederlandse salarisverwerking
Bullhorn → Loket
Bullhorn Loket koppeling: plaatsing als conceptwerknemer in de juiste loonadministratie