Identity en access management
Loket OneLogin koppeling: OneLogin-gebruikers per werkgever uit Loket.nl
Met een koppeling tussen Loket.nl en OneLogin krijgt elke nieuwe werknemer uit Loket een OneLogin-gebruiker met werkgever, organisatorische eenheid en functie, zodat de rollen en apps uit OneLogin klaarstaan op de eerste werkdag. Na het laatste dienstverband zet KoppelHet de gebruiker in OneLogin op geschorst.
Wat de koppeling doet
Organisaties die het salaris in Loket.nl hebben en OneLogin voor inloggen op hun apps, krijgen een nieuwe collega pas in OneLogin als iemand een ticket aanmaakt. Een uitzendkracht of seizoenskracht met meer perioden in Loket houdt intussen toegang tussen twee contracten door.
- Een eigen Loket-gebruiker met alleen leesrechten geeft KoppelHet toestemming; in OneLogin maken we een API-credential met het recht Manage Users.
- KoppelHet leest per werkgever de gewijzigde werknemers en dienstverbanden en slaat conceptwerknemers over.
- KoppelHet zoekt de werknemer in OneLogin op external_id en maakt hem aan als hij nog niet bestaat, met de mappings direct uitgevoerd.
- Bij een overplaatsing werkt KoppelHet department en title bij, zodat de mappings in OneLogin de rollen aanpassen.
- In een gat tussen twee perioden en na het laatste dienstverband zet KoppelHet de status op geschorst; bij een nieuwe periode weer op actief.
Waar je op let bij Loket en OneLogin
- OneLogin heeft geen directory of app die werknemers uit Loket inleest. KoppelHet schrijft via de OneLogin API en zet werkgevercode en personeelsnummer in external_id, het veld dat OneLogin voor een ID uit een andere directory heeft. Daarop zoekt KoppelHet de gebruiker bij elke ronde terug.
- Loket kent geen client credentials, OneLogin wel. KoppelHet beheert het refresh token van Loket en een aparte OneLogin-credential met alleen Manage Users, zodat jullie de leeskant en de schrijfkant los van elkaar kunnen intrekken.
- Een dienstverband in Loket kan uit meer perioden bestaan, met een gat ertussen. KoppelHet zet de OneLogin-gebruiker tijdens zo'n gat op geschorst en bij de volgende periode weer op actief, zodat iemand die terugkomt dezelfde gebruiker en dezelfde app-toewijzingen houdt.
- OneLogin stuurt geen uitnodigingsmail naar een gebruiker die via de API ontstaat. Omdat een nieuwe werknemer in Loket vaak pas kort voor de start wordt ingevoerd, maakt KoppelHet de gebruiker direct aan en spreken we af hoe het eerste wachtwoord bij de werknemer komt.
- Rollen volgen in OneLogin uit mappings op velden als company en department. Een salarisbureau beheert in Loket vaak meer werkgevers; KoppelHet zet de werkgever in company en laat de mappings bij het aanmaken direct draaien, zodat elke werkgever zijn eigen apps krijgt vanaf de eerste aanmelding.
- Een gebruikersnaam moet binnen het OneLogin-subdomein uniek zijn, en Loket bewaart naast de eigen achternaam ook die van de partner. KoppelHet bouwt de naam uit de naam die de werknemer gebruikt, met het voorvoegsel ervoor, en kiest bij een dubbele naam de afgesproken variant in plaats van een fout te laten ontstaan.
- Een conceptwerknemer in Loket is nog een sollicitant. KoppelHet maakt pas een OneLogin-gebruiker als het concept is omgezet, zodat een aanbod dat niet doorgaat geen gebruiker oplevert die de mappings al aan apps hebben gekoppeld.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Komt de leidinggevende mee naar OneLogin?
Alleen als jullie die in Loket vastleggen; dat kijken we in de intake na. OneLogin verwacht daarvoor een OneLogin-ID, dat KoppelHet dan opzoekt.
Gaan er loongegevens naar OneLogin?
Nee. Alleen naam, werkgever, eenheid, functie, werkadres en de datums van het dienstverband.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Loket via de Loket REST API (oauth.loket.nl, authorization code en refresh token) per werkgever via de mutaties op werknemer en dienstverband; velden onder meer employeeNumber, firstName, prefix, lastName, prefixPartner, lastNamePartner, functie, organisatorische eenheid en de perioden van het dienstverband. Geen BSN, loon of bankgegevens.
- OneLogin API v2 met een OAuth 2.0-token van een API-credential met Manage Users: POST /api/2/users?mappings=sync met username, email, firstname, lastname, title, department, company, external_id en custom_attributes; opzoeken met GET /api/2/users?external_id=… (maximaal 50 per pagina, updated_since); status 1 Active en 2 Suspended; geen uitnodigingsmail via de API; dubbele username geeft 422.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Loket | Veld in OneLogin | Toelichting |
|---|---|---|
Werkgevercode + employeeNumber | external_id | Uniek over alle werkgevers |
Naamgevingsregel | username en email | |
firstName | firstname | |
prefix, lastName, prefixPartner, lastNamePartner | lastname | Volgens naamgebruik |
Functie | title | |
Organisatorische eenheid | department | |
Werkgever | company | |
Begindatum dienstverband | custom_attributes (startdatum) | |
Gat of einddatum in de keten | status 2 (Suspended) |
Gerelateerd
ADP Workforce Now → Loket
ADP Workforce Now koppelen met Loket: aanname, loon, uren en bonussen uit ADP naar de Nederlandse loonrun
AlexisHR → Loket
AlexisHR Loket koppeling: medewerkers van het Nederlandse bedrijf uit AlexisHR in de salarisadministratie
BambooHR → Loket
BambooHR koppelen met Loket: HR-mutaties uit BambooHR voor de Nederlandse salarisverwerking
Bullhorn → Loket
Bullhorn Loket koppeling: plaatsing als conceptwerknemer in de juiste loonadministratie