Identity en access management
Loket koppelen met Entra ID: Microsoft-accounts vanuit de salarisadministratie
Met een koppeling tussen Loket en Microsoft Entra ID krijgt een nieuwe werknemer in Loket een Microsoft-account met de juiste naam, afdeling, werkgever en pasfoto, en wordt de aanmelding na het einde van het dienstverband geblokkeerd. IT hoeft niet meer te wachten op een bericht van de salarisadministratie.
Wat de koppeling doet
Werkgevers die de salarissen door een salarisbureau in Loket laten verwerken en in Microsoft 365 werken, geven nieuwe collega's vaak per mail aan IT door, soms pas na de eerste werkdag. Vertrekkers houden hun account tot iemand de lijst naloopt.
- Een gebruiker met de juiste rechten in Loket geeft de koppeling eenmalig toegang; die toegang wordt daarna vanzelf vernieuwd.
- KoppelHet haalt per werkgever de wijzigingen op sinds de vorige ronde.
- Voor een nieuwe werknemer maakt KoppelHet het Microsoft-account aan, met het domein van de werkgever, de naam zoals de werknemer die gebruikt en de afdeling uit Loket.
- Staat er in Loket een pasfoto, dan komt die op het account, zodat collega's hem in Teams en Outlook zien.
- Na het einde van het dienstverband blokkeert KoppelHet de aanmelding en haalt de werknemer uit de groepen.
Waar je op let bij Loket en Microsoft Entra ID
- Loket kent geen meldingen aan andere systemen; berichten over gebeurtenissen gaan alleen per e-mail naar mensen. KoppelHet vraagt daarom per werkgever de wijzigingen op die Loket sinds de vorige ronde heeft vastgelegd.
- Loket bewaart voorvoegsel, achternaam en de naam van de partner apart, en geeft daarnaast een formele weergave zoals "Wiel - van Bergen S.L. van de". Die is geschikt voor een loonstrook, niet voor Teams. KoppelHet stelt de weergavenaam samen zoals de werknemer zich noemt, bijvoorbeeld "Susan van de Wiel - van Bergen".
- Loket heeft een pasfoto per werknemer, bedoeld als profielfoto. KoppelHet zet die op het Microsoft-account, zodat de foto uit de personeelsadministratie ook in Teams en Outlook staat.
- Toegang tot Loket loopt via een eenmalige toestemming van een Loket-gebruiker, die daarna wordt vernieuwd. We laten die toestemming geven door een aparte gebruiker met alleen leesrechten, zodat de koppeling niet stopt als een medewerker van de salarisadministratie vertrekt.
- Personeelsnummers zijn in Loket per werkgever. Met meerdere werkgevers in één omgeving zet KoppelHet een werkgeverscode voor het nummer in Entra ID, zodat werknemer 156 van de ene werkgever niet samenvalt met 156 van de andere.
- Een nieuwe werknemer kan in Loket eerst als concept bestaan. KoppelHet maakt het account pas aan als de salarisadministratie het concept heeft omgezet, of al bij het concept als jullie dat afspreken, zodat een ingetrokken aanname geen account oplevert.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Een salarisbureau beheert ons Loket. Kan dat?
Ja. Het bureau of jullie eigen beheerder geeft de koppeling leestoegang tot jullie werkgevers; andere klanten van het bureau blijven buiten beeld.
Ziet de koppeling salarissen in Loket?
Ze leest alleen persoons- en dienstverbandgegevens en de pasfoto. Loon, BSN en bankgegevens gaan niet naar Entra ID.
Werkt dit ook met Active Directory in ons eigen netwerk?
Ja, die koppeling bouwen we ook.
Hoe zit het met de AVG?
Jullie zijn verwerkingsverantwoordelijke en KoppelHet is verwerker, onder een verwerkersovereenkomst. Elke actie van de koppeling staat in de auditlogging.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Loket wordt gelezen via de Loket REST API met OAuth (authorization code flow met refresh token), per werkgever via de mutaties op de tabellen van werknemer en dienstverband. Velden onder meer employeeNumber, firstName, prefix, lastName, prefixPartner, lastNamePartner, formattedName, photo, organisatorische eenheid en begin- en einddatum van het dienstverband. Event notifications in Loket zijn alleen e-mailontvangers.
- Naar Entra ID schrijven we via Microsoft Graph (user met employeeId, givenName, surname, displayName, userPrincipalName, jobTitle, department, companyName, employeeHireDate en accountEnabled; profielfoto via PUT photo/$value, maximaal 4 MB, met ProfilePhoto.ReadWrite.All).
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Loket | Veld in Microsoft Entra ID | Toelichting |
|---|---|---|
employeeNumber (per werkgever) | employeeId | Met werkgeverscode; maximaal 16 tekens |
firstName | givenName | |
prefix, lastName, prefixPartner en lastNamePartner | surname en displayName | Volgens naamgebruik, niet de formele weergave |
Naamgevingsregel met domein per werkgever | userPrincipalName en mail | |
Functie | jobTitle | |
Organisatorische eenheid | department | |
Werkgever | companyName | |
photo | Profielfoto | Maximaal 4 MB |
Begindatum dienstverband | employeeHireDate | |
Einddatum dienstverband | accountEnabled = false |
Gerelateerd
ADP Workforce Now → Loket
ADP Workforce Now koppelen met Loket: aanname, loon, uren en bonussen uit ADP naar de Nederlandse loonrun
AlexisHR → Loket
AlexisHR Loket koppeling: medewerkers van het Nederlandse bedrijf uit AlexisHR in de salarisadministratie
BambooHR → Loket
BambooHR koppelen met Loket: HR-mutaties uit BambooHR voor de Nederlandse salarisverwerking
Bullhorn → Loket
Bullhorn Loket koppeling: plaatsing als conceptwerknemer in de juiste loonadministratie