Identity en access management
Oracle HCM OneLogin koppeling: OneLogin-gebruikers en rollen vanuit Oracle HCM Cloud
Met een koppeling tussen Oracle HCM Cloud en OneLogin wordt elke medewerker uit Oracle een OneLogin-gebruiker met functie, afdeling, legal employer en lijnmanager, nog niet geactiveerd tot de startdatum en geschorst bij vertrek. OneLogin heeft HR-gestuurde provisioning voor onder meer Workday en UKG, maar niet voor Oracle; KoppelHet schrijft daarom via de OneLogin-API en laat jullie mappings de rollen toekennen.
Wat de koppeling doet
Organisaties met Oracle HCM Cloud als HR-systeem en OneLogin als identity provider zien in OneLogin wel Oracle EBS en PeopleSoft als apps, maar geen Oracle HCM als bron. IT maakt gebruikers dan na een mail van HR aan, en rollen hangen af van wie de gebruiker aanmaakt.
- In Oracle krijgt KoppelHet een integratiegebruiker met leesrechten op workers en de employee Atom feeds.
- In OneLogin maakt de beheerder een API-credential met Manage Users en de eigen attributen die de koppeling vult.
- Met jullie leggen we vast welke mappings in OneLogin rollen geven op functie, afdeling, werkgever en soort medewerker.
- Bij een aanname maakt KoppelHet de gebruiker aan als niet geactiveerd en laat de mappings direct draaien; op de startdatum gaat hij op actief.
- Bij beëindiging zet KoppelHet de gebruiker op geschorst op de laatste werkdag.
Waar je op let bij Oracle HCM Cloud en OneLogin
- OneLogin noemt voor HR-gestuurde provisioning Workday, UKG, Namely, BambooHR, HiBob en Sapling. Oracle komt op de directorypagina alleen voor als Oracle EBS en PeopleSoft, applicaties waar OneLogin de toegang toe beveiligt. De route vanuit Oracle HCM Cloud loopt dus via de API van OneLogin.
- Oracle meldt een aanname al zodra de toekomstige startdatum vastligt. OneLogin kent de status 0, niet geactiveerd. KoppelHet maakt de gebruiker in die status aan met rollen via de mappings, en zet hem op de startdatum op 1, actief. Een gebruiker die via de API ontstaat, krijgt geen uitnodigingsmail; de eerste aanmelding regelen jullie zelf.
- Annuleert HR de arbeidsrelatie voor de start, dan stuurt Oracle daar een eigen melding voor. KoppelHet zet de OneLogin-gebruiker dan op geschorst en meldt het aan IT, zodat de gebruikersnaam niet ongemerkt bezet blijft. Gebruikersnamen moeten binnen het OneLogin-subdomein uniek zijn.
- Oracle kan een lijnmanager en andere managers per assignment hebben, terwijl OneLogin één manager_user_id kent met een OneLogin-id. KoppelHet neemt de lijnmanager van de primaire assignment, zoekt diens OneLogin-gebruiker op via external_id en vult pas daarna het veld.
- OneLogin weigert de hele gebruiker als er een eigen attribuut in de aanroep staat dat nog niet bestaat. Het soort medewerker uit Oracle, nodig om inhuur andere rollen te geven, maakt de beheerder daarom eerst aan als eigen attribuut voordat KoppelHet het vult.
- Een overplaatsing naar een andere legal employer is in Oracle een nieuwe arbeidsrelatie met hetzelfde PersonNumber. KoppelHet past alleen company aan en laat de mappings opnieuw draaien, zodat de collega zijn OneLogin-gebruiker en MFA houdt en alleen de rollen van de nieuwe werkgever krijgt.
- OneLogin staat per account 5.000 API-aanroepen per uur toe, voor alle koppelingen samen. Een herindeling in Oracle met één ingangsdatum kan honderden assignments tegelijk wijzigen. KoppelHet spreidt zo'n golf over meerdere uren en kijkt naar de resterende ruimte die OneLogin in elke reactie teruggeeft.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Wie bepaalt de rollen in OneLogin?
Jullie mappings in OneLogin. KoppelHet levert de velden uit Oracle en laat de mappings bij elke wijziging direct draaien.
Wordt een vertrekker verwijderd uit OneLogin?
Nee, de gebruiker gaat op geschorst. Verwijderen na de bewaartermijn blijft een keuze van IT.
Schrijft de koppeling iets terug naar Oracle?
Niet standaard. Het werkadres terugzetten in Oracle kan later als uitbreiding.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Oracle HCM Cloud: employee Atom feeds newhire, empassignment, termination en cancelworkrelship; workers-resource met names, workRelationships (LegalEmployerName, PrimaryFlag), assignments (JobName, DepartmentName) en managers; paginering met limit, offset en hasMore.
- OneLogin API v2 met een token van een credential met Manage Users: POST /api/2/users?mappings=sync en PUT /api/2/users/{id} met username, email, firstname, lastname, title, department, company, external_id, manager_user_id, custom_attributes en status (0 Unactivated, 1 Active, 2 Suspended); onbekend eigen attribuut geeft 400, dubbele gebruikersnaam 422; 5.000 aanroepen per uur per account (X-RateLimit-Remaining).
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Oracle HCM Cloud | Veld in OneLogin | Toelichting |
|---|---|---|
PersonNumber | external_id | |
names (KnownAs of FirstName, LastName) | firstname, lastname | |
Naamgevingsregel | username en email | |
assignments: JobName | title | |
assignments: DepartmentName | department | |
workRelationships: LegalEmployerName | company | |
Lijnmanager van de primaire assignment | manager_user_id | |
WorkerType | custom_attributes.worker_type | |
Feeds newhire, termination en cancelworkrelship | status (0, 1 of 2) |
Gerelateerd
Ashby → Oracle HCM Cloud
Ashby Oracle HCM koppeling: geaccepteerd aanbod op een opening wordt een pending worker
Bullhorn → Oracle HCM Cloud
Bullhorn Oracle HCM koppeling: goedgekeurde plaatsing van een werknemer wordt een pending worker
Carerix → Oracle HCM Cloud
Carerix Oracle HCM koppeling: geslaagde plaatsing als pending worker in Oracle HCM Cloud
Greenhouse → Oracle HCM Cloud
Greenhouse Oracle HCM koppeling: geaccepteerd aanbod als pending worker in Oracle HCM Cloud