Identity en access management
Nedap ONS koppelen met OneLogin: zorgmedewerkers en teamrollen in OneLogin
Met een koppeling tussen Nedap ONS en OneLogin krijgt elke zorgmedewerker uit ONS een OneLogin-gebruiker, en bepalen de teams uit ONS via mappings welke rollen en apps hij krijgt. Eindigt een teamtoewijzing, dan verdwijnt de rol; na het laatste contract zet KoppelHet de gebruiker op geschorst.
Wat de koppeling doet
Zorgorganisaties die Nedap ONS gebruiken en OneLogin als aanmeldportaal voor hun applicaties, zetten nieuwe collega's en teamwissels vaak met de hand in OneLogin. Zo houdt iemand na een overstap naar een ander team toegang tot de applicaties van het oude team.
- De zorgorganisatie vraagt de koppeling aan via het Ons API Dashboard; Nedap beoordeelt de aanvraag.
- Met de OneLogin-beheerder leggen we de eigen velden voor teams en soort medewerker vast, en de mappings van team naar rol.
- Bij een nieuwe medewerker of een teamwissel in ONS maakt of wijzigt KoppelHet de OneLogin-gebruiker en laat de mappings direct draaien.
- Op de einddatum van een teamtoewijzing haalt KoppelHet dat team uit het veld, zodat de mapping de rol weghaalt.
- Na het laatste contract zet KoppelHet de gebruiker op geschorst.
Waar je op let bij Nedap ONS en OneLogin
- OneLogin heeft directories voor onder meer Active Directory en Workday, maar niet voor Nedap ONS. KoppelHet schrijft daarom zelf via de OneLogin API, met het ONS-nummer als external_id, zodat dezelfde medewerker bij elke melding de bestaande gebruiker terugvindt.
- Rollen rechtstreeks aan gebruikers toewijzen vraagt in OneLogin het brede recht Manage All. Gebruikers aanmaken en wijzigen kan met Manage Users. KoppelHet zet de teams daarom in een eigen veld en laat mappings in OneLogin de rollen geven, zodat de koppeling met het smallere recht toe kan.
- OneLogin voert mappings standaard pas na het antwoord uit. Bij een teamwissel vraagt KoppelHet om ze direct uit te voeren, zodat de nieuwe rol er staat voordat de volgende melding uit ONS wordt verwerkt.
- Een veldnaam die OneLogin niet kent, laat de hele aanmaak of wijziging mislukken. De velden voor teams en soort medewerker moeten dus in OneLogin bestaan voordat de eerste zorgmedewerker uit ONS binnenkomt; dat regelen we bij de start met de beheerder.
- Een gebruikersnaam is in OneLogin uniek binnen het subdomein. KoppelHet bouwt hem uit de geboortenaam in ONS, met een volgnummer bij een dubbele naam, zodat twee collega's met dezelfde naam elk een eigen login krijgen en een huwelijk de login niet verandert.
- Via de API aangemaakte gebruikers krijgen van OneLogin geen uitnodigingsmail. Hoe een nieuwe zorgmedewerker zijn eerste aanmelding krijgt, bijvoorbeeld via de leidinggevende of een activatielink, spreken we vooraf af.
- ONS stuurt een mislukte melding niet opnieuw en bewaart haar een dag. KoppelHet bevestigt elke melding direct en vergelijkt dagelijks ONS met OneLogin, zodat een gemiste teamwissel de volgende dag alsnog in OneLogin komt.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Moet Nedap de koppeling goedkeuren?
Ja. De zorgorganisatie vraagt haar aan via het Ons API Dashboard en Nedap beoordeelt de aanvraag.
Wie onderhoudt de mappings van team naar rol?
Jullie OneLogin-beheerder. Een nieuw team in ONS vraagt dus ook een mapping in OneLogin; KoppelHet meldt het als er een team zonder mapping verschijnt.
Gaan er cliëntgegevens naar OneLogin?
Nee. De koppeling vraagt bij Nedap alleen medewerkers, contracten en teamtoewijzingen aan.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Nedap ONS via de Ons API met webhooks (CREATE, UPDATE en DELETE voor employee, contract en team_assignment; HMAC-SHA512 in X-Signature-SHA512, bevestiging met 200 binnen drie seconden, geen automatische herhaling) en /v0/xstream/api/employees/updates voor de dagelijkse controle. Toegang met een door Nedap ondertekend clientcertificaat, aangevraagd via het Ons API Dashboard.
- OneLogin API v2 met een API-credential met Manage Users: POST /api/2/users en PUT /api/2/users/:id met username, email, firstname, lastname, department, external_id, custom_attributes en status (1 Active, 2 Suspended), met de parameter mappings=sync. Opzoeken met GET /api/2/users?external_id=…. Rollen via mappings op de eigen velden; POST /api/2/roles/:id/users zou Manage All vragen en wordt niet gebruikt.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Nedap ONS | Veld in OneLogin | Toelichting |
|---|---|---|
identificationNo | external_id | |
Roepnaam | firstname | |
Achternaam volgens naamgebruik | lastname | |
birthName en birthNamePrefix | username en email | Uniek binnen het subdomein |
TeamAssignment (lopende teams) | custom_attributes (teams) | Basis voor mappings naar rollen |
type (0 Regular, 1 External) | custom_attributes (soort medewerker) | |
Team van het hoofdcontract | department | |
Einde laatste contract | status 2 (Suspended) |
Gerelateerd
AFAS Profit → Nedap ONS
AFAS Nedap ONS koppeling: contracten naar de planning, uren terug naar salaris
HR2day → Nedap ONS
HR2day Nedap ONS koppeling: arbeidsrelaties, cao en contracturen automatisch in de zorgplanning
Nedap ONS → Active Directory
Nedap ONS Active Directory koppeling: accounts per zorglocatie, automatisch
Nedap ONS → Microsoft Entra ID
Nedap ONS Entra ID koppeling: Microsoft-accounts en teamgroepen voor zorgmedewerkers