Identity en access management
Officient Active Directory koppeling: AD-accounts uit Exact Officient
Met een koppeling tussen Officient en Active Directory maakt KoppelHet voor elke nieuwe persoon in Exact Officient een AD-account aan, in de organisatie-eenheid van zijn team en met functie en leidinggevende. De laatste dag van het dienstverband uit Officient wordt de vervaldatum van het account, zodat toegang op tijd stopt.
Wat de koppeling doet
Organisaties die Exact Officient als HR-systeem gebruiken en hun accounts in een eigen Active Directory beheren, houden die twee vaak met de hand gelijk. IT krijgt nieuwe collega's en vertrekkers door via mail of een ticket, en een teamwissel in Officient leidt zelden tot een andere map of groep in AD.
- In Officient zetten we webhooks voor personen, teams, functies en leidinggevenden op het KoppelHet platform.
- In het domein draait een klein programma van KoppelHet dat alleen uitgaand verbinding maakt en de opdrachten ophaalt.
- Voor een nieuwe persoon maakt het programma het account aan in de organisatie-eenheid van het team, met de afgesproken inlognaam.
- Bij een ander team verplaatst het programma het account en wisselt het de groepen; functie en leidinggevende worden bijgewerkt.
- De laatste dag van het dienstverband wordt de vervaldatum; daarna schakelt het programma het account uit en zet het in de map voor vertrekkers.
Waar je op let bij Officient en Active Directory
- Officient stuurt een webhook opnieuw zolang het geen status 200 terugkrijgt. De meldingen komen binnen op het KoppelHet platform, niet in het domein; staat het programma in het netwerk even uit, dan liggen de opdrachten klaar en hoeft Officient niet bij jullie servers te kunnen.
- Een persoon hoort in Officient bij één team, en een teamwissel heeft een eigen webhook. KoppelHet gebruikt het team als organisatie-eenheid, en verplaatst het account op die melding, zodat groepsbeleid en groepen meteen bij het nieuwe team horen.
- Officient bewaart een Nederlandse naam in delen, met tussenvoegsel en eventueel de naam van de partner. KoppelHet zet tussenvoegsel en achternaam samen in sn en laat het tussenvoegsel weg uit de inlognaam, zodat die onder de twintig tekens blijft.
- Het einde van het dienstverband staat in Officient als datum. accountExpires telt in UTC; KoppelHet rekent de datum om vanuit Belgische of Nederlandse tijd en zet de vervaldatum aan het einde van de laatste dag.
- Komt iemand terug, dan meldt Officient dat met person_reactivated. KoppelHet zet het oude account weer aan, haalt het uit de map voor vertrekkers en zet de vervaldatum terug op nooit.
- Verwijdert HR een persoon in Officient, dan komt er een melding person_deleted. KoppelHet verwijdert geen AD-account op die melding, maar schakelt het uit; zo blijft de koppeling met mailbox en bestanden bestaan tot IT besluit.
- Officient geeft de leidinggevende door als het id van een andere persoon. Active Directory verwacht de distinguished name van een account; KoppelHet zoekt die op via het Officient-id in employeeID, zodat ook een leidinggevende die van team wisselt goed blijft staan.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Ziet de koppeling loon of rijksregisternummer?
Ze gebruikt die velden niet en zet ze niet in Active Directory. Alleen naam, werkadres, team, functie, leidinggevende en datums gaan mee.
Werkt dit ook met alleen Entra ID?
Ja. Dan schrijft KoppelHet rechtstreeks naar Entra ID en is het programma in het domein niet nodig.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Officient via de REST API (api.officient.io/1.0, bearer token, scope personal.info:read): GET /people/{id}/detail met first_name, last_name, name_parts (insertion, last_name_partner), email, team, current_role, current_reports_to en employment.last_employment_date. Webhooks person_added, person_updated, person_deleted, person_reactivated, person_team_updated, person_manager_updated en person_role_updated; body met account, event_type en related_object_id. Maximaal 30 aanroepen per 5 seconden.
- Een KoppelHet-agent in het domein voert de wijzigingen uit via een uitgaande verbinding. AD-attributen onder meer employeeID, sAMAccountName (maximaal 20 tekens), userPrincipalName, mail, givenName, sn, displayName, title, department, manager en accountExpires (FILETIME in UTC; 0 of 0x7FFFFFFFFFFFFFFF betekent nooit); een OU per team en een OU voor vertrekkers.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Officient | Veld in Active Directory | Toelichting |
|---|---|---|
id (person) | employeeID | Sleutel tussen beide systemen |
first_name | givenName | |
name_parts.insertion en last_name | sn en displayName | |
Naamgevingsregel | sAMAccountName en userPrincipalName | Inlognaam maximaal 20 tekens |
email | mail | |
team.name | department, OU en groep | |
current_role.name | title | |
current_reports_to.person_id | manager | Distinguished name van de leidinggevende |
employment.last_employment_date | accountExpires |
Gerelateerd
Officient → ADP iHCM
Officient ADP iHCM koppeling: Nederlands loon en vertrek uit Exact Officient naar ADP iHCM
Officient → AFAS Profit
Officient koppelen met AFAS: Nederlandse medewerkers uit Exact Officient in AFAS Profit Payroll
ASOfficient → Arbodienst (SIVI)
Officient koppelen met de arbodienst via SIVI: verzuimperiodes uit Exact Officient als verzuimmelding
Officient → DATEV
Officient DATEV koppeling: Duitse medewerkers uit Officient naar de Steuerberater met DATEV