Identity en access management
Personio Entra ID koppeling: Microsoft-accounts die meebewegen met Personio
Met een koppeling tussen Personio en Microsoft Entra ID krijgt elke nieuwe collega in Personio automatisch een Microsoft-account, met leidinggevende, groepen en licentie, en past dat account zich aan bij een nieuwe functie of afdeling. Op de laatste werkdag gaat de aanmelding dicht, ook als IT het bericht van HR niet heeft gezien.
Wat de koppeling doet
Organisaties met Personio voor HR en Microsoft 365 voor het werk hebben de onboarding netjes in Personio staan, maar het account in Entra ID maakt IT vaak pas als de nieuwe collega belt dat inloggen niet lukt. Bij vertrek hangt het ervan af of IT het bericht van HR heeft gezien.
- HR voert een nieuwe collega in in Personio, met startdatum, afdeling, functie en leidinggevende.
- KoppelHet ziet de wijziging direct en bedenkt met de afgesproken naamgevingsregels het e-mailadres.
- Het Microsoft-account staat klaar, met leidinggevende en groepen per afdeling en land; de licentie volgt via de groep.
- Een nieuwe afdeling, functie of leidinggevende in Personio werkt het account en de groepen bij.
- Zodra HR het vertrek invult, staat de vertrekdatum ook in Entra ID. Op de laatste werkdag wordt de aanmelding geblokkeerd.
Waar je op let bij Personio en Microsoft Entra ID
- Personio kent een laatste werkdag en een datum uit dienst, die door opgenomen verlof weken uit elkaar kunnen liggen. KoppelHet blokkeert op de laatste werkdag; de datum uit dienst bepaalt alleen wanneer het account daarna wordt opgeruimd.
- Personio meldt alleen wijzigingen die voor het account tellen, zoals afdeling, functie, leidinggevende, status en vertrekdata. Een nieuw adres of salaris levert dus geen onnodige wijziging in Entra ID op.
- Personio probeert een melding tot drie dagen opnieuw, en meldingen van de laatste dertig dagen zijn opnieuw op te vragen. Na een storing aan onze kant halen we gemiste wijzigingen zo alsnog op.
- Personio weet of iemand eigen personeel of extern is. Dat gaat mee naar Entra ID, zodat IT externen met aparte groepen en toegangsregels kan beperken.
- Omdat de vertrekdatum in Entra ID staat, kan een organisatie met Entra ID Governance daar zelf automatische acties voor vertrekkers aan hangen.
- De koppeling mag in Personio alleen personen en dienstverbanden lezen. Salarissen en afwezigheden vallen erbuiten, zodat salarisgegevens nooit in de accountkoppeling terechtkomen.
- Personio heeft per land een eigen juridische entiteit. Het land bepaalt het e-maildomein en welke licentie mogelijk is, zodat een collega in een ander land het juiste domein en de juiste licentie krijgt.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Kan het e-mailadres terug naar Personio?
Dat kan, maar dan moet de koppeling in Personio ook mogen schrijven. We doen het alleen als jullie dat willen; standaard leest de koppeling alleen.
Wat als HR de laatste werkdag vergeet in te vullen?
Dan blokkeren we op de datum uit dienst en krijgt HR een melding in het platform dat de laatste werkdag ontbreekt.
Gaan medewerkers met status inactief of verlof ook mee?
Een medewerker met langdurig verlof houdt zijn account. Status inactief zonder datum uit dienst behandelen we als uitzondering die HR eerst bevestigt.
Werkt dit ook als we hybride zijn, met Active Directory on-premise?
Ja, dan schrijft KoppelHet naar Active Directory via een klein programma in jullie netwerk.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Personio wordt gelezen via webhooks (employment.updated vuurt onder meer bij afdeling, functie, leidinggevende, status, last_working_day en uitdienstdatum) en de Personio API v2, met alleen leesscopes op personen en dienstverbanden. Webhooks worden tot drie dagen opnieuw afgeleverd; events van dertig dagen zijn opnieuw op te vragen.
- Naar Entra ID schrijven we via Microsoft Graph. employeeId (Personio-id), givenName, surname, userPrincipalName, mail, mailNickname, jobTitle, department, manager, companyName, employeeType (INTERNAL of EXTERNAL naar Employee of Contractor), employeeHireDate, usageLocation, employeeLeaveDateTime en accountEnabled.
- employeeLeaveDateTime schrijven vereist het Graph-recht User-LifeCycleInfo.ReadWrite.All; daarmee kunnen Lifecycle Workflows in Entra ID Governance draaien.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Personio | Veld in Microsoft Entra ID | Toelichting |
|---|---|---|
id (person) | employeeId | Het Personio-ID is de vaste sleutel tussen beide systemen |
preferred_name of first_name | givenName | Roepnaam als die is ingevuld |
last_name | surname | |
Naamgevingsregel | userPrincipalName, mail en mailNickname | |
position | jobTitle | |
org_units (afdeling) | department | |
supervisor | manager | Via het Entra-account met het employeeId van de leidinggevende |
legal_entity | companyName | |
type (INTERNAL/EXTERNAL) | employeeType | Employee of Contractor |
employment_start_date | employeeHireDate | |
last_working_day | employeeLeaveDateTime en accountEnabled | Blokkeren op de laatste werkdag, niet op de einddatum van het contract |
Gerelateerd
Ashby → Personio
Ashby Personio koppeling: aannames met uren en entiteit als nieuwe medewerker in Personio
Bullhorn → Personio
Bullhorn Personio koppeling: plaatsingen als persoon met dienstverband in Personio
Carerix → Personio
Carerix Personio koppeling: geslaagde plaatsing als nieuwe medewerker in Personio
Greenhouse → Personio
Greenhouse Personio koppeling: aangenomen kandidaten als medewerker in Personio