Identity en access management
Officient Okta koppeling: Okta-gebruikers uit Exact Officient, met taal en leidinggevende
Met een koppeling tussen Officient en Okta krijgt elke nieuwe persoon in Exact Officient een Okta-gebruiker met team, functie, leidinggevende en voorkeurstaal, en deactiveert Okta die gebruiker na de laatste dag van het dienstverband. KoppelHet doet dat op basis van de webhooks van Officient.
Wat de koppeling doet
Organisaties die Exact Officient voor HR en payroll gebruiken en Okta als identity provider, zetten nieuwe collega's vaak met de hand in Okta. Een vertrek in Officient bereikt Okta dan pas als iemand eraan denkt.
- In Officient maken we een client app voor KoppelHet met alleen leesrechten op persoonsgegevens, en registreren we de webhooks.
- In Okta zet het accountteam een eigen HR-bron aan voor KoppelHet.
- Bij een melding haalt KoppelHet het detail van de persoon op en levert de wijziging aan Okta.
- Team en functie bepalen de Okta-groepen, en daarmee de apps.
- Na de laatste dag van het dienstverband deactiveert Okta de gebruiker; bij een heractivering wordt hij weer actief.
Waar je op let bij Officient en Okta
- KoppelHet vult Okta vanuit Officient, zodat de medewerker in Okta bestaat voordat hij voor het eerst inlogt.
- Officient heeft aparte webhooks voor een andere functie, een ander team en een nieuwe leidinggevende, en de body bevat alleen het id van de persoon. KoppelHet haalt bij elke melding het detail op en levert alleen het gewijzigde deel aan Okta, zodat een teamwissel binnen minuten de Okta-groep aanpast.
- Officient bewaart de voorkeurstaal als tweeletterige code, zoals nl of fr. Okta kent in het standaardprofiel preferredLanguage en locale. KoppelHet zet de code daarin, zodat het Okta-dashboard en de Okta-mails voor een Franstalige collega in het Frans verschijnen.
- Naast de gewone leidinggevende kent Officient een extra leidinggevende. Okta heeft in het standaardprofiel maar één managerId. KoppelHet zet de gewone leidinggevende in managerId en de extra leidinggevende in een eigen attribuut, zodat Okta Workflows beide kan gebruiken voor goedkeuringen.
- Met person_reactivated meldt Officient dat iemand terugkomt. KoppelHet zoekt de gedeactiveerde Okta-gebruiker op via het Officient-id en zet hem weer actief, in plaats van een tweede gebruiker met een nieuw adres te maken.
- Verwijdert HR een persoon in Officient, dan volgt person_deleted. KoppelHet deactiveert de Okta-gebruiker op die melding en verwijdert niet, zodat de toewijzingen en het logboek in Okta bewaard blijven tot IT besluit.
- Het nummer bij de payrollprovider vult Officient alleen bij een deel van de Nederlandse koppelingen. KoppelHet gebruikt daarom het eigen Officient-id als sleutel in Okta, dat ook bij Belgische medewerkers altijd bestaat.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Wat als een nieuwe persoon nog geen werkadres heeft?
Dan maakt KoppelHet de Okta-login met de afgesproken naamgevingsregel.
Leest de koppeling salarissen in Officient?
Nee. De client app heeft alleen leesrechten op persoonsgegevens.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Officient REST API (api.officient.io/1.0) met een bearer token van een eigen client app (scope personal.info:read): GET /people/{id}/detail met email, team, current_role, current_reports_to (person_id, extra_manager_id), employment (first_employment_date, last_employment_date) en preferred_language_code. Webhooks person_added, person_updated, person_deleted, person_reactivated, person_team_updated, person_manager_updated en person_role_updated; opnieuw verstuurd bij een andere status dan 200; maximaal 30 aanroepen per 5 seconden.
- Okta via een Custom Identity Source (bulk-upsert van maximaal 200 profielen per verzoek, alleen tekstwaarden, bulk-delete deactiveert) of via de Users API met een OAuth 2.0 service app (lifecycle activate, deactivate, reactivate). Inloggen op de self-service-app van Officient via een SAML-app in Okta.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Officient | Veld in Okta | Toelichting |
|---|---|---|
id (Officient) | externalId en employeeNumber | |
Voornaam en achternaam | firstName en lastName | |
email of naamgevingsregel | login en email | |
team | department en groep per team | |
current_role | title | |
current_reports_to.person_id | managerId | |
current_reports_to.extra_manager_id | Eigen attribuut tweede leidinggevende | |
preferred_language_code | preferredLanguage en locale | |
employment.last_employment_date | Deactiveren |
Gerelateerd
Officient → Active Directory
Officient Active Directory koppeling: AD-accounts uit Exact Officient
Officient → ADP iHCM
Officient ADP iHCM koppeling: Nederlands loon en vertrek uit Exact Officient naar ADP iHCM
Officient → AFAS Profit
Officient koppelen met AFAS: Nederlandse medewerkers uit Exact Officient in AFAS Profit Payroll
ASOfficient → Arbodienst (SIVI)
Officient koppelen met de arbodienst via SIVI: verzuimperiodes uit Exact Officient als verzuimmelding