BiAccounts in applicaties
Okta Bitwarden koppeling: leden en groepen uit Okta, ingetrokken bij deactiveren
Met een koppeling tussen Okta en Bitwarden worden gebruikers die in Okta aan Bitwarden zijn toegewezen leden van de Bitwarden-organisatie, gaan Okta-groepen mee als Bitwarden-groepen, en wordt een lid ingetrokken zodra de gebruiker in Okta wordt gedeactiveerd. Bitwarden biedt daarvoor zelf een SCIM-app in de Okta-catalogus; KoppelHet vult aan waar die stopt, zoals bij geschorste gebruikers, gewijzigde e-mailadressen en het opruimen van ingetrokken leden.
Wat de koppeling doet
Organisaties die alle toegang in Okta beheren en Bitwarden via de Okta-catalogus hebben gekoppeld, lopen tegen twee gaten aan. Een medewerker met langdurig verlof wordt in Okta geschorst maar houdt in Bitwarden toegang tot gedeelde collecties, en na een naamswijziging krijgt iemand een tweede uitnodiging en een lege kluis.
- IT wijst Bitwarden in Okta toe aan de groepen die toegang nodig hebben, en pusht die groepen naar Bitwarden.
- De gebruikers komen in Bitwarden als lid, in hun groepen, en krijgen een uitnodiging.
- Het lid accepteert de uitnodiging en een beheerder bevestigt hem, waarna de collecties van zijn groepen zichtbaar worden.
- Wordt een gebruiker in Okta geschorst, dan trekt KoppelHet het lid in Bitwarden in; na de schorsing herstelt KoppelHet de toegang.
- Bij deactiveren trekt de Okta-app het lid in. Na een afgesproken termijn verwijdert KoppelHet ingetrokken leden uit de organisatie.
Waar je op let bij Okta en Bitwarden
- Schorsen in Okta leidt volgens Bitwarden niet tot intrekken in Bitwarden; alleen deactiveren of verwijderen doet dat. KoppelHet trekt een geschorste gebruiker zelf in en herstelt hem als de schorsing eindigt. Een herstelde gebruiker hoeft volgens Bitwarden niet opnieuw te worden uitgenodigd of bevestigd.
- Bitwarden ondersteunt het wijzigen van een e-mailadres na provisioning niet. Verandert de login in Okta, bijvoorbeeld na een naamswijziging in het HR-systeem, dan meldt KoppelHet dat aan de Bitwarden-beheerder voordat de Okta-app een tweede lid aanmaakt.
- Ook een gebruiker die in Okta wordt verwijderd, wordt in Bitwarden alleen ingetrokken en niet uit de organisatie gehaald. KoppelHet verwijdert ingetrokken leden na een termijn die jullie kiezen, zodat de ledenlijst klopt met Okta.
- Groepen komen pas in Bitwarden als ze in Okta zijn gepusht. Een nieuwe groep die alleen is toegewezen, levert wel leden op maar geen groep, en dus geen toegang tot de collectie. KoppelHet vergelijkt de toegewezen en de gepushte groepen en meldt verschillen.
- Nieuwe leden staan in Bitwarden standaard klaar zonder uitnodiging en tellen dan niet als licentie. Met de instelling voor automatische uitnodigingen bepalen jullie of de uitnodiging meteen uitgaat, bijvoorbeeld pas als Okta de gebruiker op de startdatum activeert.
- Bitwarden heeft naast SCIM ook de Directory Connector voor Okta. Die neemt geen geneste groepen mee, stopt standaard bij 2.000 gebruikers of groepen en synchroniseert alleen zolang de app draait. Voor organisaties met SCIM is de Okta-app de betere route.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Waarom niet alleen de Bitwarden-app in Okta?
Vaak is die genoeg. Gebruiken jullie schorsen in Okta voor verlof of onderzoek, of wisselen e-mailadressen bij naamswijzigingen, dan vult KoppelHet de gaten op.
Krijgt een geschorste medewerker na terugkomst een nieuwe uitnodiging?
Nee. KoppelHet herstelt het ingetrokken lid; volgens Bitwarden is opnieuw uitnodigen of bevestigen dan niet nodig.
Ziet KoppelHet de wachtwoorden in Bitwarden?
Nee. De Public API beheert leden, groepen en collecties, maar geen kluisitems. KoppelHet kan dus nergens bij de inhoud van de kluis.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Bitwarden-app in de Okta-catalogus met SCIM. Provisioning to App met Create Users en Deactivate Users; de SCIM URL van Bitwarden als Base URL en de SCIM API key als API Token. Groepen via Push Groups. Email en username moeten gelijk zijn; een ander e-mailtype dan primary wordt niet ondersteund.
- KoppelHet leest Okta via de Users API (status SUSPENDED en DEPROVISIONED, gewijzigde login) en de app-toewijzingen, met een OAuth 2.0 service app met alleen leesrechten. Naar Bitwarden schrijven we via de Public API (api.bitwarden.com of api.bitwarden.eu) met de organisatie-API-sleutel; intrekken en herstellen via de member-endpoints uit release 2026.2, leden en groepen opvragen met continuationToken.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Okta | Veld in Bitwarden | Toelichting |
|---|---|---|
Okta-gebruiker (id) | externalId van het lid | |
login | userName | Gelijk aan het e-mailadres |
email (primary) | emails | Na provisioning niet meer te wijzigen |
firstName en lastName | name | |
Status DEPROVISIONED | Lid ingetrokken (door de Okta-app) | |
Status SUSPENDED | Lid ingetrokken (door KoppelHet) | De Okta-app trekt bij schorsen niet in |
Gepushte groep met leden | Groep met leden |
Gerelateerd
ADP GlobalView → Okta
ADP GlobalView Okta koppeling: Okta-gebruikers uit alle landen in GlobalView
ADP iHCM → Okta
ADP iHCM Okta koppeling: ADP als HR-bron voor Okta, met groepen per land
ADP Workforce Now → Okta
ADP Workforce Now Okta koppeling: ADP als HR-bron voor Okta
AFAS Profit → Okta
AFAS koppelen met Okta: AFAS Profit als HR-bron voor alle accounts en apps