Identity en access management
Oracle HCM Ping Identity koppeling: Oracle HCM Cloud als bron voor de PingOne-directory
Met een koppeling tussen Oracle HCM Cloud en Ping Identity krijgt elke nieuwe medewerker uit Oracle een gebruiker in PingOne, in de populatie van zijn legal employer en met functie, roepnaam en soort medewerker. PingOne kan Oracle HCM Cloud niet zelf inlezen; KoppelHet levert de gebruikers aan via de SCIM-ingang, zet ze aan op de startdatum en uit op de einddatum.
Wat de koppeling doet
Organisaties die PingOne gebruiken voor single sign-on en MFA en Oracle HCM Cloud als HR-systeem, zoeken in PingOne naar een Oracle-bron en vinden alleen Workday. In Advanced Identity Cloud staan wel Oracle-sjablonen, maar die zijn voor E-Business Suite en PeopleSoft. Zonder koppeling maakt IT gebruikers aan op basis van een mail van HR, en een geannuleerde aanname blijft als actieve gebruiker staan.
- In Oracle maken we een integratiegebruiker met leesrechten op de employee-feeds en op workers.
- In PingOne maakt de beheerder een Worker-app met de rol Identity Data Admin, beperkt tot de populaties van deze koppeling.
- KoppelHet volgt de Oracle-feeds en leest per melding de persoon met zijn primaire arbeidsrelatie.
- Een nieuwe medewerker wordt een uitgeschakelde gebruiker in de populatie van zijn legal employer; op de startdatum zet KoppelHet hem aan.
- Bij een overplaatsing verhuist KoppelHet de gebruiker naar de nieuwe populatie, en op de einddatum zet KoppelHet hem uit.
Waar je op let bij Oracle HCM Cloud en Ping Identity
- PingOne kan als inkomende bron alleen Workday, een LDAP-gateway en SCIM gebruiken. Ping Advanced Identity Cloud heeft sjablonen voor Oracle E-Business Suite en Oracle PeopleSoft, maar niet voor Oracle HCM Cloud. KoppelHet levert daarom zelf aan via de SCIM-API van PingOne, die Ping voor het importeren van identiteiten aanraadt.
- Een gebruiker die PingOne aanmaakt, staat standaard aan. Oracle meldt een aanname al zodra HR hem met een toekomstige startdatum vastlegt. KoppelHet maakt zo iemand daarom expliciet uitgeschakeld aan en zet hem pas op de startdatum aan, zodat een nieuwe collega niet weken voor zijn eerste werkdag kan inloggen.
- Elke PingOne-gebruiker hoort bij één populatie, en die is alleen via een aparte aanroep te wijzigen. In Oracle betekent een overplaatsing naar een andere legal employer een nieuwe arbeidsrelatie. KoppelHet verplaatst de bestaande gebruiker met die aparte aanroep naar de populatie van de nieuwe werkgever, zodat login en MFA-registratie blijven.
- Oracle bewaart naast de officiële voornaam een roepnaam. PingOne heeft voor een gebruiker zowel een voornaam als een nickname. KoppelHet vult beide, zodat apps achter PingOne de naam kunnen tonen die collega's gebruiken, terwijl de officiële naam beschikbaar blijft voor apps die die nodig hebben.
- Het soort medewerker uit Oracle, zoals employee of contingent worker, past op het type-attribuut van PingOne, dat Ping zelf met voorbeelden als Employee en Contractor beschrijft. KoppelHet zet het daar, zodat beleid in PingOne inhuur bijvoorbeeld een kortere sessieduur kan geven.
- Haakt een kandidaat voor de start af, dan stuurt Oracle een annulering van de arbeidsrelatie. De klaargezette PingOne-gebruiker heeft dan nooit ingelogd. KoppelHet verwijdert hem, in plaats van hem uitgeschakeld te laten staan, zodat de gebruikersnaam vrij is als dezelfde persoon later toch begint.
- Lijsten via de SCIM-API van PingOne stoppen bij tweehonderd resultaten zonder volgende pagina. Een dagelijkse controle van alle Oracle-medewerkers tegen PingOne kan daarom niet via één lijst. KoppelHet zoekt per persoon gericht op externalId en meldt verschillen.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Welke rechten krijgt KoppelHet in PingOne?
Een Worker-app met de rol Identity Data Admin voor de populaties van deze koppeling. Geen rechten op beleid of applicaties.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Oracle HCM Cloud via de employee Atom feeds (newhire, ook future-dated, empassignment, termination, cancelworkrelship) en de workers-resource met names (KnownAs), emails, workRelationships (PrimaryFlag, LegalEmployerName, WorkerType) en assignments.
- PingOne via een Worker-app met de rol Identity Data Admin: SCIM /v2/Users met externalId, userName, één e-mailwaarde, nickName, title, userType, active en population.id in de extensie urn:pingidentity:schemas:extension:2.0:PingOneUser; lijsten tot 200 resultaten zonder paginering; populatie wijzigen via PUT /users/{id}/population van de Platform API.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Oracle HCM Cloud | Veld in Ping Identity | Toelichting |
|---|---|---|
PersonNumber | externalId | Vaste sleutel, tot 1.024 tekens |
FirstName, LastName | name.givenName, name.familyName | |
KnownAs | nickName | |
Naamgevingsregel | userName | |
Werk-e-mailadres (emails) | emails (één waarde) | |
JobName (primaire assignment) | title | |
WorkerType | userType | Bijvoorbeeld Employee of Contractor |
LegalEmployerName | population.id | |
StartDate en TerminationDate | active (enabled) |
Gerelateerd
Ashby → Oracle HCM Cloud
Ashby Oracle HCM koppeling: geaccepteerd aanbod op een opening wordt een pending worker
Bullhorn → Oracle HCM Cloud
Bullhorn Oracle HCM koppeling: goedgekeurde plaatsing van een werknemer wordt een pending worker
Carerix → Oracle HCM Cloud
Carerix Oracle HCM koppeling: geslaagde plaatsing als pending worker in Oracle HCM Cloud
Greenhouse → Oracle HCM Cloud
Greenhouse Oracle HCM koppeling: geaccepteerd aanbod als pending worker in Oracle HCM Cloud