Identity en access management
Loket Ping Identity koppeling: PingOne-gebruikers per werkgever uit Loket.nl
Met een koppeling tussen Loket.nl en Ping Identity krijgt elke nieuwe werknemer uit Loket een gebruiker in PingOne, in de populatie van zijn werkgever en met zijn organisatorische eenheid als groep. Na de einddatum van het laatste dienstverband zet KoppelHet de gebruiker in PingOne uit, zodat de applicaties achter PingOne dichtgaan.
Wat de koppeling doet
Organisaties met de salarisadministratie in Loket.nl, vaak bij een salarisbureau, en PingOne voor inloggen, hebben geen verbinding tussen die twee. IT hoort van een nieuwe collega via de mail, maakt de PingOne-gebruiker met de hand en zet hem pas uit als iemand eraan denkt.
- Een eigen Loket-gebruiker met alleen leesrechten geeft KoppelHet toestemming, en in PingOne komt een Worker-app met de rol Identity Data Admin.
- KoppelHet vraagt per werkgever de gewijzigde werknemers en dienstverbanden op en slaat concepten over.
- Voor een nieuwe werknemer maakt KoppelHet een gebruiker in de populatie van zijn werkgever, die op de begindatum aangaat.
- KoppelHet zet de gebruiker in de groep van zijn organisatorische eenheid en verhuist hem bij een overplaatsing.
- Na de einddatum van het laatste dienstverband zet KoppelHet de gebruiker uit en verwijdert hem na de afgesproken termijn.
Waar je op let bij Loket en Ping Identity
- Een salarisbureau beheert in Loket vaak meer werkgevers, elk met eigen personeelsnummers. KoppelHet geeft elke werkgever een eigen populatie in PingOne en zet de werkgevercode in de externe sleutel, zodat wachtwoordbeleid en inlogregels per werkgever kunnen verschillen en nummers niet botsen.
- Loket geeft toegang via de toestemming van een gebruiker, die met een refresh token steeds wordt vernieuwd. PingOne werkt met een Worker-app die zelf een token haalt. KoppelHet beheert beide, en laat de Loket-toestemming geven door een eigen gebruiker met alleen leesrechten, zodat de koppeling blijft werken als er bij het bureau iemand vertrekt.
- De SCIM-ingang van PingOne beheert geen groepen. KoppelHet maakt per organisatorische eenheid uit Loket een groep via de gewone PingOne-API en houdt het lidmaatschap bij, zodat toegang tot applicaties per afdeling meeverhuist bij een overplaatsing.
- Een zoekvraag op de SCIM-ingang van PingOne geeft hoogstens 200 gebruikers terug, zonder vervolgpagina. Loket meldt wijzigingen alleen per e-mail en niet aan systemen. KoppelHet vraagt daarom per werkgever de gewijzigde werknemers op en zoekt in PingOne gericht op de externe sleutel, in plaats van alle gebruikers te vergelijken.
- In Loket staan voorvoegsel, achternaam en partnernaam los. KoppelHet zet het voorvoegsel voor de achternaam in de familienaam in PingOne, zodat applicaties achter PingOne "van Bergen" tonen en het voorvoegsel niet als tweede voornaam behandelen.
- PingOne neemt één e-mailadres per gebruiker aan. Een nieuwe werknemer heeft in Loket vaak nog geen zakelijk adres. KoppelHet maakt het adres volgens de naamgevingsregel met het domein van de werkgever, en zet nooit een privéadres uit Loket in PingOne.
- Een werknemer kan in Loket eerst als concept bestaan, en een dienstverband kan na een gat weer doorlopen. KoppelHet maakt pas een PingOne-gebruiker als het concept is omgezet, en zet hem pas uit na de laatste periode van de keten, zodat een herintreder dezelfde gebruiker terugkrijgt.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Ons salarisbureau werkt in Loket. Kan dat?
Ja, met een eigen Loket-gebruiker voor de koppeling die alleen jullie werkgevers leest.
Gaan er loongegevens naar PingOne?
Nee. Alleen naam, werkgever, eenheid, werkadres en de status uit het dienstverband.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Loket wordt gelezen via de Loket REST API (oauth.loket.nl, authorization code en refresh token) per werkgever via de mutaties op werknemer en dienstverband; velden onder meer employeeNumber, firstName, prefix, lastName, prefixPartner, lastNamePartner, organisatorische eenheid en begin- en einddatum. Event notifications zijn alleen e-mailontvangers.
- PingOne via een Worker-app met de rol Identity Data Admin: gebruikers via de SCIM API (/v2/DirectMappedUsers, population.id per werkgever, externalId, één e-mailwaarde; zoeken met .search op de sleutel, maximaal 200 resultaten, geen paginering), groepen en lidmaatschappen via de PingOne Platform API, uitzetten via enabled.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Loket | Veld in Ping Identity | Toelichting |
|---|---|---|
Werkgevercode + employeeNumber | externalId | Uniek over alle werkgevers |
Naamgevingsregel | username | |
firstName | name.given | |
prefix, lastName, prefixPartner, lastNamePartner | name.family | Volgens naamgebruik, voorvoegsel voorop |
Naamgevingsregel met domein per werkgever | email | |
Werkgever | population.id | |
Organisatorische eenheid | Groep (Platform API) | |
Einddatum laatste dienstverband | enabled = false |
Gerelateerd
ADP Workforce Now → Loket
ADP Workforce Now koppelen met Loket: aanname, loon, uren en bonussen uit ADP naar de Nederlandse loonrun
AlexisHR → Loket
AlexisHR Loket koppeling: medewerkers van het Nederlandse bedrijf uit AlexisHR in de salarisadministratie
BambooHR → Loket
BambooHR koppelen met Loket: HR-mutaties uit BambooHR voor de Nederlandse salarisverwerking
Bullhorn → Loket
Bullhorn Loket koppeling: plaatsing als conceptwerknemer in de juiste loonadministratie