Identity en access management
Lucca Entra ID koppeling: Microsoft-accounts vanuit Lucca, met het werkadres terug in Lucca
Met een koppeling tussen Lucca en Microsoft Entra ID krijgt elke nieuwe medewerker uit Lucca een Microsoft-account met functie, afdeling, vestiging en leidinggevende, en wordt het account geblokkeerd zodra het dienstverband in Lucca is afgelopen. Het nieuwe Microsoft-adres gaat terug naar Lucca als professioneel e-mailadres.
Wat de koppeling doet
Organisaties die Lucca gebruiken voor HR, vaak vanwege een Franse vestiging, en Microsoft 365 voor hun werkplek, maken accounts in Entra ID met de hand. Het werkadres moet daarna nog in Lucca, en een einde van een dienstverband komt pas bij IT als iemand dat doorgeeft.
- In Lucca maakt de beheerder een OAuth-client voor KoppelHet met leesrechten op medewerkers en dienstverbanden en schrijfrechten op medewerkers voor het e-mailadres.
- KoppelHet meldt een webhook-endpoint aan in Lucca voor medewerker- en dienstverbandmeldingen.
- Een medewerker met status upcoming krijgt een uitgeschakeld account, dat op de eerste dag van het dienstverband aangaat.
- Het Microsoft-adres gaat terug naar het e-mailveld in Lucca.
- Wordt de status deactivated, dan blokkeert KoppelHet het account en zet de vertrekdatum in Entra ID.
Waar je op let bij Lucca en Microsoft Entra ID
- Lucca berekent de status van een medewerker uit zijn dienstverbanden, als upcoming, active of deactivated. Alleen een medewerker met een lopend dienstverband kan bij Lucca zelf inloggen. KoppelHet volgt diezelfde status voor het Microsoft-account, zodat HR met één handeling in Lucca de toegang tot beide regelt.
- Lucca wijst bij elke medewerker de functie aan die nu geldt, of bij een nieuwe collega de eerstvolgende. Functie, afdeling, vestiging en leidinggevende hangen aan die functie. KoppelHet leest ze daar, zodat een nieuwe collega al vóór de start de juiste afdeling en manager in Entra ID heeft.
- In Lucca volgt de juridische entiteit uit de vestiging van de eerste functie. KoppelHet gebruikt de entiteit voor de bedrijfsnaam in Entra ID en het land van de vestiging voor de gebruikslocatie, die Microsoft nodig heeft voordat er een licentie op het account kan.
- Het professionele e-mailadres is in Lucca via de API te schrijven, maar Lucca weigert sommige domeinen. KoppelHet zet het Microsoft-adres terug in Lucca en meldt het aan HR als Lucca het adres weigert, in plaats van het stil over te slaan.
- Lucca stuurt een melding met een time-out van drie seconden en probeert hooguit vijf keer binnen ongeveer een etmaal. KoppelHet bevestigt elke melding direct en verwerkt hem daarna, en vergelijkt elke dag alle medewerkers met Entra ID, zodat een vertrek niet aan één melding hangt.
- Lucca staat vijftig verzoeken per minuut toe per omgeving, gedeeld door alle koppelingen, en een testomgeving op een ander domein heeft een eigen limiet. KoppelHet haalt functies samen met de medewerker op en test eerst in de testomgeving, zodat salaris- of verlofkoppelingen niet worden afgeremd.
- Lucca wordt veel gebruikt door organisaties met Franse collega's, met namen als Hélène of François. Entra ID accepteert accenten in de weergavenaam maar niet in het lokale deel van een userPrincipalName. KoppelHet zet accenten om voor het adres en laat de weergavenaam zoals Lucca hem heeft.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Werkt dit ook met Active Directory on-premise?
Ja, die koppeling bouwen we ook, met een klein programma in jullie netwerk.
Leest de koppeling salarissen of verlof in Lucca?
Nee. Alleen medewerkers, dienstverbanden en functies; het e-mailadres is het enige dat KoppelHet in Lucca schrijft.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Lucca API (v5, header Api-Version 2024-11-01) met OAuth 2.0: employees (status upcoming/active/deactivated, email schrijfbaar met scope employees.readwrite, remoteId uniek), employments (start.date, end.date, legalEntity), job-positions (jobTitle, department, businessEstablishment, manager). Webhooks employee.created, employee.updated, employment.created, employment.updated en employment.deleted; drie seconden time-out, tot vijf pogingen in ongeveer 24 uur, events twee maanden bewaard. Limiet 50 verzoeken per minuut per tenant, 429 met Retry-After.
- Naar Entra ID via API-driven inbound provisioning (POST /bulkUpload met SCIM, vraagt Entra ID P1 of hoger) of Microsoft Graph (user met employeeId, givenName, surname, userPrincipalName, jobTitle, department, officeLocation, companyName, manager, usageLocation, employeeHireDate, employeeLeaveDateTime en accountEnabled).
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Lucca | Veld in Microsoft Entra ID | Toelichting |
|---|---|---|
employee.id | employeeId | Maximaal 16 tekens in Entra ID |
givenName en familyName | givenName, surname en displayName | |
Naamgevingsregel | userPrincipalName en mailNickname | |
applicableJobPosition.jobTitle | jobTitle | |
applicableJobPosition.department | department | |
applicableJobPosition.businessEstablishment | officeLocation | |
applicableJobPosition.manager | manager | |
employment.legalEntity | companyName en usageLocation | |
employment.start.date en end.date | employeeHireDate en employeeLeaveDateTime | |
userPrincipalName (Entra ID) | employee.email |
Gerelateerd
Lucca → Active Directory
Lucca Active Directory koppeling: accounts in je eigen domein op basis van Lucca
Lucca → ADP iHCM
Lucca ADP iHCM koppeling: vaste en variabele beloning uit Lucca Compensation naar de Nederlandse ADP-payroll
Lucca → AFAS Profit
Lucca AFAS koppeling: medewerkers en beloning van de Nederlandse entiteit uit Lucca in AFAS
ASLucca → Arbodienst (SIVI)
Lucca koppelen met de arbodienst via SIVI: bevestigde ziekte per halve dag als verzuimmelding