Identity en access management
Nedap ONS Active Directory koppeling: accounts per zorglocatie, automatisch
Met een koppeling tussen Nedap ONS en Active Directory krijgt een zorgmedewerker die in ONS staat automatisch een account in Active Directory, op de juiste locatie en in de groepen van zijn teams. Na het laatste contract gaat het account dicht, en elke locatie werkt volgens dezelfde regels in plaats van elk op zijn eigen manier.
Wat de koppeling doet
Organisaties die diensten in Nedap ONS plannen en een eigen Active Directory hebben, gekoppeld aan Microsoft 365, hebben medewerkers en teams al in ONS staan. Toch beheert vaak per locatie een sleutelgebruiker de accounts, en elke locatie doet het net anders.
- IT installeert eenmalig een klein programma van KoppelHet in het eigen netwerk.
- Een nieuwe medewerker wordt in ONS aan een team gekoppeld. KoppelHet bedenkt de gebruikersnaam.
- Het account staat daarna in Active Directory bij de locatie van het hoofdteam, en in de groepen van elk team waarin de medewerker werkt.
- Wisselt iemand van team of locatie, dan verhuist het account mee en passen de groepen zich aan op de datum uit ONS.
- Na het laatste contract wordt het account uitgeschakeld, ook in Microsoft 365.
Waar je op let bij Nedap ONS en Active Directory
- De sleutel voor toegang tot ONS blijft op het KoppelHet platform en staat nooit op de server in jullie netwerk. Het programma daar ziet dus geen cliëntgegevens, alleen de accountopdrachten.
- ONS houdt teams en locaties apart bij. De locatie van het hoofdteam bepaalt waar het account staat, en elk team wordt een groep. Wie op twee woonlocaties werkt, heeft één account met de groepen van beide.
- Wordt een medewerker in ONS verwijderd, dan verwijdert de koppeling het account niet zelf. Het wordt uitgeschakeld en voorgelegd aan ICT, omdat een verwijdering in ONS ook een correctie van een dubbele invoer kan zijn.
- Dezelfde koppeling kan ook rollen in ONS zelf toekennen op basis van team of functie. Welke rollen daarvoor mogen, bepaalt de zorgorganisatie in ONS, en handmatig toegekende rollen blijven buiten schot.
- ONS geeft niet terug welke rollen de koppeling eerder heeft toegekend. KoppelHet houdt daarom zelf bij welke rollen het per gebruiker heeft gezet.
- De gebruikersnaam volgt de geboortenaam uit ONS, niet de naam die iemand gebruikt. Wie na een huwelijk de partnernaam gaat gebruiken, houdt dezelfde login en krijgt alleen een nieuwe weergavenaam.
- Uitzendkrachten en zzp'ers in ONS komen in een aparte map. Voor hen gelden andere regels, en ICT ziet in één oogopslag welke accounts niet van eigen personeel zijn.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Kan de koppeling bij het cliëntdossier?
Nee. De koppeling vraagt alleen medewerker- en teamgegevens op, en het programma in jullie netwerk krijgt alleen de accountopdrachten.
Kunnen rollen in ONS ook automatisch?
Ja. Welke rollen de koppeling mag toekennen, bepalen jullie zelf in ONS; de inhoud van een rol blijft in ONS ingericht.
Wat als een invaller maar één dienst draait?
Dan bepalen jullie of die een account krijgt. Per contractsoort of team leggen we vast wie een account nodig heeft.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Nedap ONS wordt gelezen via de Ons API met webhooks, aangevuld met de updates- en deletes-endpoints op datum. Toegang met een clientcertificaat dat alleen op het KoppelHet platform staat.
- Een KoppelHet-agent in het domein voert de wijzigingen in AD uit. Organizational unit (OU) per locatie van het hoofdteam; aparte OU voor type 1 External; beveiligingsgroep per TeamAssignment.
- AD-attributen onder meer employeeID (identificationNo), sAMAccountName en userPrincipalName (op birthName), givenName, sn, displayName, department (teamName) en userAccountControl. Entra Connect synchroniseert naar Entra ID.
- Rollen via de provisioning-API van Ons Autorisatie, met een whitelist. Die API overschrijft steeds de volledige set rollen van de koppeling en kan ze niet teruglezen.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Nedap ONS | Veld in Active Directory | Toelichting |
|---|---|---|
identificationNo | employeeID | |
firstName | givenName | |
lastName en prefix | sn en displayName | Volgens het naamgebruik in Ons |
birthName | sAMAccountName en userPrincipalName | Op de geboortenaam, zodat de login stabiel blijft |
Locatie van het hoofdteam | OU en physicalDeliveryOfficeName | |
teamName | department | |
TeamAssignment | Groepslidmaatschap per team | |
type (1 External) | OU voor externen | |
Contract endDate (laatste) | userAccountControl (uitgeschakeld) |
Gerelateerd
AFAS Profit → Nedap ONS
AFAS Nedap ONS koppeling: contracten naar de planning, uren terug naar salaris
HR2day → Nedap ONS
HR2day Nedap ONS koppeling: arbeidsrelaties, cao en contracturen automatisch in de zorgplanning
Nedap ONS → Microsoft Entra ID
Nedap ONS Entra ID koppeling: Microsoft-accounts en teamgroepen voor zorgmedewerkers
Nedap ONS → Google Workspace
Nedap ONS koppelen met Google Workspace: Google-accounts en teamgroepen voor zorgmedewerkers