Identity en access management
Loket Okta koppeling: werknemers uit Loket.nl als HR-bron voor Okta, per werkgever
Met een koppeling tussen Loket.nl en Okta krijgt elke nieuwe werknemer uit Loket automatisch een Okta-gebruiker met de naam zoals hij die gebruikt, afdeling en werkgever, en komt hij in de groepen die toegang geven tot zijn apps. Na de einddatum van het dienstverband deactiveert Okta de gebruiker, en een werknemer die nog als concept in Loket staat krijgt nog geen toegang.
Wat de koppeling doet
Organisaties die de salarisadministratie in Loket.nl doen, vaak via een salarisbureau, en Okta gebruiken als toegangspoort, horen meestal via een mail dat iemand begint of vertrekt. Okta-gebruikers worden dan met de hand aangemaakt, met namen die niet kloppen, en vertrekkers houden toegang tot iemand ze uitzet.
- Een Loket-gebruiker met alleen leesrechten geeft KoppelHet eenmalig toestemming, en het Okta-accountteam zet een eigen HR-bron aan.
- KoppelHet vraagt per werkgever op wat er sinds de vorige ronde is gewijzigd aan werknemers en dienstverbanden.
- Een werknemer die geen concept meer is, levert KoppelHet aan de HR-bron in Okta, met afdeling en werkgever als groepen.
- Okta maakt de gebruiker aan en wijst de apps toe die bij de groepen horen.
- Na de einddatum haalt KoppelHet de werknemer uit de HR-bron en deactiveert Okta de gebruiker.
Waar je op let bij Loket en Okta
- KoppelHet levert de werknemers aan via Anything-as-a-Source, de ingang die Okta biedt voor een eigen HR-bron. Zo wordt Loket in Okta de bron voor wie er werkt.
- Loket meldt gebeurtenissen alleen per e-mail aan mensen, niet aan andere systemen. KoppelHet vraagt daarom per werkgever de vastgelegde wijzigingen op en levert alleen die aan Okta, in plaats van elke keer alle werknemers opnieuw.
- In Loket staan voorvoegsel, achternaam en partnernaam los, met daarnaast een formele naam voor de loonstrook. Okta toont de naam in het dashboard en geeft hem door aan apps. KoppelHet stelt de naam samen zoals de werknemer hem gebruikt, zodat apps achter Okta niet "Bergen S.L. van" tonen.
- Een personeelsnummer is in Loket alleen uniek binnen één werkgever, terwijl Okta per gebruiker één vaste sleutel uit de bron wil. KoppelHet bouwt die sleutel uit werkgevercode en nummer, zodat twee werknemers met nummer 12 bij twee werkgevers niet als één gebruiker worden gezien.
- Een nieuwe werknemer kan in Loket eerst als concept bestaan. KoppelHet levert hem pas aan Okta als het concept is omgezet, zodat een aanname die niet doorgaat geen Okta-gebruiker en geen licenties in apps oplevert.
- Toegang tot Loket loopt via de toestemming van een Loket-gebruiker die daarna steeds wordt vernieuwd. Werkt een salarisbureau in jullie Loket, dan laten we die toestemming geven door een eigen gebruiker met alleen leesrechten, zodat de koppeling met Okta niet stopt als er bij het bureau iemand vertrekt.
- Okta bewaart velden uit een eigen HR-bron alleen als tekst. KoppelHet schrijft begin- en einddatum uit Loket in een vaste notatie, zodat Okta-regels kunnen werken met de startdatum, bijvoorbeeld voor een welkomstmail.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Ziet Okta salarisgegevens uit Loket?
Nee. KoppelHet leest alleen naam, dienstverband en organisatie, en levert alleen die aan Okta.
Wat gebeurt er met Okta-gebruikers die niet in Loket staan?
Die laat de koppeling met rust, zoals externen en beheeraccounts.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Loket wordt gelezen via de Loket REST API met OAuth (authorization code flow met refresh token), per werkgever via de mutaties op werknemer en dienstverband; velden onder meer employeeNumber, firstName, prefix, lastName, prefixPartner, lastNamePartner, formattedName, organisatorische eenheid en begin- en einddatum van het dienstverband. Event notifications zijn alleen e-mailontvangers.
- Okta wordt gevoed via de Identity Sources API (Custom Identity Source) met sessions, bulk-upsert voor gebruikers, bulk-groups-upsert en bulk-group-memberships-upsert voor afdeling en werkgever, en bulk-delete bij einde dienstverband (Okta deactiveert). Profielattributen alleen als string, maximaal 200 per verzoek.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Loket | Veld in Okta | Toelichting |
|---|---|---|
Werkgever en employeeNumber | externalId en employeeNumber | Werkgevercode voor het nummer |
firstName | firstName | |
prefix, lastName, prefixPartner, lastNamePartner | lastName en displayName | Volgens naamgebruik |
Naamgevingsregel | login en email | |
Organisatorische eenheid | department en groep | |
Werkgever | organization en groep | |
Begindatum dienstverband | Eigen attribuut startdatum (tekst) | |
Einddatum dienstverband | Uit de HR-bron (deactiveren) |
Gerelateerd
ADP Workforce Now → Loket
ADP Workforce Now koppelen met Loket: aanname, loon, uren en bonussen uit ADP naar de Nederlandse loonrun
AlexisHR → Loket
AlexisHR Loket koppeling: medewerkers van het Nederlandse bedrijf uit AlexisHR in de salarisadministratie
BambooHR → Loket
BambooHR koppelen met Loket: HR-mutaties uit BambooHR voor de Nederlandse salarisverwerking
Bullhorn → Loket
Bullhorn Loket koppeling: plaatsing als conceptwerknemer in de juiste loonadministratie