Identity en access management
Personio Okta koppeling: Okta-accounts vanuit Personio, met de Marketplace-integratie of maatwerk
Met een koppeling tussen Personio en Okta krijgt elke nieuwe medewerker in Personio een Okta-gebruiker met afdeling, functie, entiteit en leidinggevende, en gaat de toegang na vertrek dicht. Personio biedt zelf een Okta-integratie in de Marketplace die gebruikers aanmaakt en bijwerkt en ze na de datum uit dienst deactiveert; KoppelHet komt erbij als toegang al op de laatste werkdag moet stoppen, als externen en meerdere entiteiten eigen regels hebben of als dezelfde mutatie ook naar andere systemen moet.
Wat de koppeling doet
Organisaties die Personio en Okta verbinden met de Okta-integratie uit de Personio Marketplace, zien vertrekkers vaak hun resterende verlof opnemen aan het einde van het contract. Het Okta-account blijft dan weken actief na de laatste werkdag.
- HR legt in Personio een nieuwe medewerker vast met entiteit, afdeling, functie en startdatum.
- KoppelHet zet de gebruiker klaar in Okta, met een inlognaam volgens de regel voor die entiteit.
- Op de startdatum wordt de gebruiker actief; groepen voor entiteit, afdeling en intern of extern bepalen de apps.
- Wijzigt de afdeling of leidinggevende, dan past Okta groepen en manager aan op de ingangsdatum.
- Na de laatste werkdag deactiveert KoppelHet de gebruiker; de datum uit dienst bepaalt alleen wanneer die wordt opgeruimd.
Waar je op let bij Personio en Okta
- De Personio-integratie deactiveert de Okta-gebruiker aan het einde van de datum uit dienst. Personio kent daarnaast een laatste werkdag, die door opgenomen verlof weken eerder kan liggen. KoppelHet sluit de toegang op de laatste werkdag en gebruikt de datum uit dienst alleen om het account daarna op te ruimen.
- Om een Okta-profiel te maken, vraagt de Personio-integratie een voornaam, achternaam en e-mailadres in Personio. Staat daar bij indiensttreding het privéadres, dan wordt dat het Okta-adres. KoppelHet bepaalt de inlognaam met een naamgevingsregel en laat het privéadres buiten Okta.
- Een veld komt alleen via de Personio-integratie in Okta als het ook is aangevinkt in de instellingen van de API-gegevens in Personio. Een nieuw veld dat daar ontbreekt, blijft stil leeg. KoppelHet controleert bij elke ronde of alle verwachte velden zijn gevuld en meldt het als er een ontbreekt.
- Personio weet of iemand intern of extern is. KoppelHet zet dat in Okta, zodat groepsregels externen minder apps en een eigen einddatum kunnen geven.
- Elke entiteit in Personio kan een eigen e-maildomein en eigen groepen hebben. Verhuist iemand naar een andere entiteit, dan past KoppelHet domein en groepen aan en houdt dezelfde Okta-gebruiker aan.
- Okta Workflows heeft een Personio-connector om zelf flows te bouwen. Okta vraagt daarin geen gevoelige gegevens zoals gezondheidsgegevens te verwerken en bewaart de uitvoeringshistorie dertig dagen. Verzuim en salaris horen daar dus niet in; KoppelHet leest alleen personen en dienstverbanden.
- Personio probeert een melding tot drie dagen opnieuw af te leveren. KoppelHet vergelijkt daarnaast elke dag alle actieve medewerkers met Okta, zodat een vertrek niet van één melding afhangt.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Hoe zit het met auditlogging, AVG en ons integratieplatform?
Elke actie van de koppeling staat in de auditlogging van het KoppelHet-platform, dat in de EU draait en ISO 27001-gecertificeerd is. Jullie zijn verwerkingsverantwoordelijke en KoppelHet is verwerker, onder een verwerkersovereenkomst; salaris en verzuim blijven buiten de koppeling. Een bestaand integratieplatform blijft ongemoeid.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- De Okta-integratie wordt in Personio geactiveerd via Marketplace, Connect Okta, met een Okta API-token en het Okta-domein. De synchronisatie loopt alleen van Personio naar Okta; attributen moeten in de Personio API-gegevens zijn vrijgegeven. Okta Workflows heeft een Personio-connector met List Employees, Read Employee en Update Employee.
- KoppelHet leest Personio via webhooks (employment.updated vuurt onder meer bij afdeling, functie, leidinggevende, status, last_working_day en uitdienstdatum) en de Personio API v2, met alleen leesscopes op personen en dienstverbanden.
- Naar Okta schrijven we via de Users API met een OAuth 2.0 service app, of via een Custom Identity Source met de Identity Sources API als KoppelHet de Personio-integratie vervangt.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Personio | Veld in Okta | Toelichting |
|---|---|---|
id | employeeNumber | |
first_name of preferred_name | firstName | |
last_name | lastName | |
Naamgevingsregel per entiteit | login en email | |
position | title | |
department | department | |
legal_entity | organization | |
supervisor | managerId en manager | |
employment type (INTERNAL, EXTERNAL) | userType | |
last_working_day en termination_date | status (ACTIVE, DEPROVISIONED) |
Gerelateerd
Ashby → Personio
Ashby Personio koppeling: aannames met uren en entiteit als nieuwe medewerker in Personio
Bullhorn → Personio
Bullhorn Personio koppeling: plaatsingen als persoon met dienstverband in Personio
Carerix → Personio
Carerix Personio koppeling: geslaagde plaatsing als nieuwe medewerker in Personio
Greenhouse → Personio
Greenhouse Personio koppeling: aangenomen kandidaten als medewerker in Personio