Identity en access management
Personio Active Directory koppeling: van cloud-HR naar je eigen domein
Met een koppeling tussen Personio en Active Directory krijgt een nieuwe collega in Personio automatisch een account in jullie eigen Active Directory, bij de juiste vestiging en met functie, afdeling en leidinggevende. Op de laatste werkdag wordt het account uitgeschakeld, zodat IT geen Excel-lijst met nieuwe collega's en vertrekkers meer bijhoudt.
Wat de koppeling doet
Organisaties die HR naar Personio in de cloud hebben verplaatst, terwijl het domein nog op Active Directory in het eigen serverpark draait, hebben tussen die twee niets. IT houdt een Excel-lijst bij van nieuwe collega's en vertrekkers, en de afdelingen in AD lopen uit de pas met Personio.
- IT installeert eenmalig een klein programma van KoppelHet in het domein, met alleen rechten op de mappen van de koppeling.
- HR voert een nieuwe collega in in Personio. KoppelHet bedenkt gebruikersnaam en e-mailadres.
- Het account staat klaar in Active Directory bij de vestiging uit Personio, met leidinggevende en afdelingsgroepen, maar nog uitgeschakeld.
- Op de startdatum gaat het account aan, en via Microsoft ook in Entra ID en Microsoft 365.
- Op de laatste werkdag wordt het account uitgeschakeld en apart gezet bij de vertrokken medewerkers.
Waar je op let bij Personio en Active Directory
- Personio kan geen verbinding maken met een server in jullie netwerk. De wijziging komt daarom binnen op het KoppelHet platform, en het programma in jullie netwerk haalt de opdracht daar zelf op.
- Naast uitschakelen krijgt het account een vervaldatum gelijk aan de laatste werkdag. Dan weigert Active Directory zelf de aanmelding, ook als het programma die dag een keer niet bereikbaar is.
- Personio wordt vaak internationaal gebruikt, met namen als Müller of Łukasz. Een gebruikersnaam in Active Directory mag hooguit 20 tekens hebben en geen bijzondere tekens. We zetten accenten om voor de gebruikersnaam en laten de weergavenaam zoals Personio hem heeft.
- Een medewerker die in Personio nog in onboarding staat, krijgt al een account, maar uitgeschakeld. Pas op de startdatum gaat het aan, zodat iemand die vroeg is ingevoerd niet al weken kan inloggen.
- Externen in Personio komen in een eigen map. Hun account vervalt ook op de einddatum van het contract, zodat een vergeten verlenging niet tot een vergeten account leidt.
- Personio kent afdelingen en teams. De afdeling staat in de adreslijst; het team bepaalt alleen in welke beveiligingsgroepen iemand zit. Zo blijft de afdeling in de adreslijst herkenbaar.
- De vestiging in Personio bepaalt de map. Verhuist iemand naar een andere vestiging, dan verhuist het account mee en gelden de regels van die locatie.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Waarom niet rechtstreeks naar Entra ID?
Werken jullie hybride, dan is Active Directory de bron voor de accounts, en zou een wijziging in Entra ID weer worden overschreven. Gaan jullie later volledig naar de cloud, dan zetten we het doel om.
Welke rechten heeft het programma in ons netwerk nodig?
Alleen rechten om accounts en groepen te beheren in de mappen die de koppeling beheert. Geen domeinbeheerder.
Wat gebeurt er als een melding uit Personio niet aankomt?
Een periodieke controle legt Personio naast Active Directory. Wat afwijkt, wordt alsnog verwerkt en staat in de logging.
Kunnen we bestaande accounts behouden?
Ja. Voor livegang koppelen we bestaande accounts aan de medewerkers in Personio. Accounts die niet te koppelen zijn, komen op een lijst voor IT.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Personio wordt gelezen via webhooks en de Personio API v2, met een periodieke controle via de API.
- Een KoppelHet-agent in het domein haalt opdrachten op via een uitgaande verbinding en heeft alleen rechten op de organizational units (OU's) van de koppeling, geen domeinbeheerder.
- AD-attributen onder meer employeeID (Personio-id, maximaal 16 tekens), sAMAccountName (maximaal 20 tekens, geen tekens als / of [), userPrincipalName, mail, title, department, physicalDeliveryOfficeName, company, manager, accountExpires en userAccountControl. Externen herkend aan type EXTERNAL.
- Entra Connect synchroniseert het account naar Entra ID.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Personio | Veld in Active Directory | Toelichting |
|---|---|---|
id (person) | employeeID | In AD maximaal 16 tekens |
preferred_name of first_name | givenName | |
last_name | sn | |
Naamgevingsregel | sAMAccountName | Zonder accenten en hooguit 20 tekens |
Naamgevingsregel | userPrincipalName en mail | |
position | title | |
org_units (afdeling) | department | |
office | physicalDeliveryOfficeName en OU | |
legal_entity | company | |
supervisor | manager | Distinguished name van het account van de leidinggevende |
last_working_day | accountExpires en userAccountControl |
Gerelateerd
Ashby → Personio
Ashby Personio koppeling: aannames met uren en entiteit als nieuwe medewerker in Personio
Bullhorn → Personio
Bullhorn Personio koppeling: plaatsingen als persoon met dienstverband in Personio
Carerix → Personio
Carerix Personio koppeling: geslaagde plaatsing als nieuwe medewerker in Personio
Greenhouse → Personio
Greenhouse Personio koppeling: aangenomen kandidaten als medewerker in Personio