Identity en access management
Loket SailPoint koppeling: werknemers uit Loket als gezaghebbende bron in SailPoint
Met een koppeling tussen Loket en SailPoint wordt elke werknemer uit Loket een identiteit in SailPoint, met werkgever, afdeling, functie en de datums van het dienstverband, zodat SailPoint toegang toekent bij de start en intrekt na het vertrek. KoppelHet levert de Loket-gegevens aan in een vorm die SailPoint zonder eigen Loket-connector kan lezen, zonder BSN of salaris.
Wat de koppeling doet
Organisaties met hun Nederlandse salarisadministratie in Loket en een SailPoint-omgeving voor toegangsbeheer, laden werknemers vaak met de hand in SailPoint via een export uit Loket. Zo'n export loopt achter, mist werknemers van een tweede werkgever en bevat soms meer loongegevens dan SailPoint nodig heeft.
- Een aparte Loket-gebruiker met alleen leesrechten geeft eenmalig toestemming, voor alle werkgevers die meedoen.
- KoppelHet leest per werkgever werknemers en dienstverbanden en vult aan wat SailPoint verplicht stelt.
- Een werknemer zonder werkadres of met een dubbele gebruikersnaam meldt KoppelHet, in plaats van hem door te sturen.
- KoppelHet laadt het nieuwe bestand in de SailPoint-bron, waarna SailPoint de identiteiten bijwerkt.
- De lifecycle state volgt de begin- en einddatum, en SailPoint trekt de toegang in als de werknemer uit dienst is.
Waar je op let bij Loket en SailPoint
- Loket kent geen client credentials voor koppelingen. Toegang loopt via toestemming van een Loket-gebruiker, met een refresh token. Een SailPoint-connector die zelf bij Loket wil aanmelden, heeft dat niet; KoppelHet beheert de toestemming en levert SailPoint een kant-en-klaar bestand.
- SailPoint wijst elke identiteit toe aan precies één identity profile, en bij meer HR-bronnen wint het profiel met de hoogste prioriteit. Die volgt standaard de volgorde van aanmaken. Komt Loket naast een wereldwijde HR-bron, dan zetten we de prioriteit bewust, zodat een Nederlandse werknemer niet door de verkeerde bron wordt bepaald.
- Dienstverbanden staan in Loket als een keten van perioden, met of zonder gaten ertussen. Een werknemer die na een pauze terugkomt, heeft dus een nieuwe periode in dezelfde keten. KoppelHet berekent de lifecycle state over de hele keten, zodat een herintreder zijn bestaande identiteit terugkrijgt.
- Een nieuwe werknemer kan in Loket eerst als concept bestaan, als sollicitant die nog niet is omgezet. KoppelHet neemt alleen omgezette werknemers op in het bestand voor SailPoint, zodat een ingetrokken aanbod geen identiteit met toegang oplevert.
- SailPoint eist bij elke identiteit een gebruikersnaam, werkadres en achternaam, en een leeg verplicht veld wordt een identity exception. Loket heeft bij een nieuwe werknemer vaak nog geen zakelijk adres. KoppelHet vult het aan volgens de naamgevingsregel, of meldt de werknemer voordat SailPoint hem weigert.
- Wie in SailPoint met lifecycle states toegang wil regelen, moet het attribuut Lifecycle State in het identity profile mappen. KoppelHet levert begin- en einddatum uit Loket in een vaste datumnotatie, zodat een transform in SailPoint daar betrouwbaar de state uit berekent.
- Een salarisbureau beheert in Loket vaak meerdere werkgevers. De toestemming geldt voor de werkgevers die de Loket-gebruiker mag zien, dus KoppelHet laat een gebruiker aanmaken die alleen jullie werkgevers leest, en zet de werkgever als entiteit in SailPoint.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Komen loongegevens in SailPoint?
Nee. Het bestand bevat alleen naam, nummer, werkgever, afdeling, functie, werkadres en de datums van het dienstverband.
Wie beheert de rollen?
Het SailPoint-team. KoppelHet zorgt dat de Loket-gegevens volledig en op tijd in de bron staan en meldt werknemers die SailPoint zou weigeren.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Loket wordt gelezen via de Loket REST API (oauth.loket.nl, authorization code en refresh token) onder /v2/providers/employers/{employerId}/employees en de dienstverbanden met startDate en endDate; paginering met pageNumber en pageSize. Geen BSN, loon of bankgegevens in de uitvoer.
- Doel is SailPoint Identity Security Cloud met een Delimited File-bron (.csv) als gezaghebbende bron. Verplichte identity attributes uid, email en lastname; één identity profile per identiteit met prioriteit; Lifecycle State gemapt via een transform op de datums.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Loket | Veld in SailPoint | Toelichting |
|---|---|---|
Werkgeverscode + employeeNumber | uid (User Name) | Een dubbele uid geeft een identity exception |
Zakelijk e-mailadres of naamgevingsregel | email (Work Email) | |
Voorvoegsel en achternaam | lastname | |
firstName | firstname | |
Werkgever | Identity attribute voor entiteit | |
Afdeling | Identity attribute voor afdeling | |
Functie | Identity attribute voor functie | |
startDate en endDate van het dienstverband | Lifecycle state (via transform) |
Gerelateerd
ADP Workforce Now → Loket
ADP Workforce Now koppelen met Loket: aanname, loon, uren en bonussen uit ADP naar de Nederlandse loonrun
AlexisHR → Loket
AlexisHR Loket koppeling: medewerkers van het Nederlandse bedrijf uit AlexisHR in de salarisadministratie
BambooHR → Loket
BambooHR koppelen met Loket: HR-mutaties uit BambooHR voor de Nederlandse salarisverwerking
Bullhorn → Loket
Bullhorn Loket koppeling: plaatsing als conceptwerknemer in de juiste loonadministratie