Identity en access management
Personio OneLogin koppeling: OneLogin-gebruikers met rollen uit Personio
Met een koppeling tussen Personio en OneLogin wordt elke medewerker uit Personio een OneLogin-gebruiker met functie, afdeling, juridische entiteit, leidinggevende en rollen, en wordt die gebruiker geschorst na de laatste werkdag. Personio heeft geen eigen integratie met OneLogin, dus KoppelHet schrijft rechtstreeks via de OneLogin-API, met het Personio-id als vaste sleutel.
Wat de koppeling doet
Organisaties met Personio als HR-systeem en OneLogin voor single sign-on vinden in de Marketplace van Personio wel integraties voor Okta en Entra ID, maar niet voor OneLogin. IT maakt OneLogin-gebruikers daarom aan op basis van een melding van HR, en ziet een vertrek pas als iemand eraan denkt.
- In Personio komt een API-client met alleen leesrechten op personen, dienstverbanden en organisatie-eenheden; in OneLogin een API-credential met Manage Users.
- Met de OneLogin-beheerder leggen we de rollen per afdeling, team en soort medewerker vast, en de eigen velden die vooraf moeten bestaan.
- Zodra iemand in Personio in onboarding staat, maakt KoppelHet de OneLogin-gebruiker geschorst aan, met rollen en werkadres.
- Op de startdatum zet KoppelHet de status op actief; een wissel van afdeling of team past de rollen aan.
- Na de laatste werkdag zet KoppelHet de gebruiker op geschorst; verwijderen volgt pas na de bewaartermijn.
Waar je op let bij Personio en OneLogin
- Personio heeft in de eigen Marketplace provisioningintegraties voor Okta en Entra ID, maar we vonden er geen voor OneLogin. OneLogin heeft omgekeerd geen directory voor Personio. KoppelHet vult OneLogin daarom zelf via de gebruikers-API, zonder tussenkomst van een andere identity provider.
- Een dienstverband in Personio staat op ONBOARDING, ACTIVE, LEAVE of INACTIVE, terwijl OneLogin werkt met statuscodes zoals 1 voor actief en 2 voor geschorst. KoppelHet vertaalt ONBOARDING naar geschorst tot de startdatum, LEAVE naar actief en INACTIVE naar geschorst, tenzij jullie voor een soort verlof iets anders kiezen.
- De leidinggevende staat in Personio als verwijzing naar een andere persoon. OneLogin wil een OneLogin-gebruikers-id in manager_user_id. Omdat het Personio-id in external_id staat, vindt KoppelHet de leidinggevende met één zoekvraag terug.
- Personio geeft afdelingen en teams als losse organisatie-eenheden. OneLogin heeft één veld voor afdeling maar kan meerdere rollen per gebruiker hebben. KoppelHet zet de afdeling in het afdelingsveld en vertaalt team en afdeling samen naar rollen, zodat apps op beide kunnen sturen.
- Personio weet of iemand intern of extern is. In OneLogin bepaalt een rol welke apps en welk beleid gelden. KoppelHet geeft externen een eigen rol, zodat jullie daar bijvoorbeeld strengere MFA of minder apps aan kunnen hangen.
- OneLogin weigert een tweede gebruiker met dezelfde gebruikersnaam binnen het subdomein, en Personio accepteert een e-mailadres maar bij één persoon. KoppelHet bouwt de gebruikersnaam met jullie naamgevingsregel en controleert vooraf of die al bestaat, zodat twee collega's met dezelfde naam allebei een account krijgen.
- Personio bewaart meldingen dertig dagen en kan ze opnieuw versturen. Was OneLogin even onbereikbaar, dan haalt KoppelHet de gemiste meldingen op en verwerkt ze op volgorde, zodat een schorsing niet door een oudere wijziging wordt teruggedraaid.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Kan OneLogin Personio zelf uitlezen?
We vonden geen kant-en-klare OneLogin-directory voor Personio. Daarom levert KoppelHet de gebruikers rechtstreeks aan.
Wat gebeurt er met beheerders en servicegebruikers in OneLogin?
Die laat de koppeling met rust. KoppelHet raakt alleen gebruikers aan met een Personio-id in external_id.
Leest de koppeling salarissen in Personio?
Nee. De API-client heeft alleen leesrechten op personen, dienstverbanden en organisatie-eenheden.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Personio via webhooks en de Personio API v2: /v2/persons en /v2/persons/{id}/employments (status ONBOARDING, ACTIVE, LEAVE, INACTIVE; type INTERNAL of EXTERNAL; org_units met type department of team; legal_entity, supervisor, position.title, termination; filter updated_at.gt, limit maximaal 50, cursor). Gemiste meldingen tot dertig dagen terug opnieuw op te vragen.
- OneLogin API v2 met een API-credential met Manage Users: POST /api/2/users en PUT /api/2/users/{id} met username, email, firstname, lastname, title, department, company, external_id, manager_user_id, role_ids, status en custom_attributes, met mappings=sync. Gebruikersnaam uniek per subdomein; onbekend eigen veld geeft 400; geen uitnodigingsmail via de API.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Personio | Veld in OneLogin | Toelichting |
|---|---|---|
person.id | external_id | |
preferred_name of first_name | firstname | |
last_name | lastname | |
Naamgevingsregel | username en email | |
position.title | title | |
org_units (type department) | department | |
legal_entity | company | |
supervisor.id | manager_user_id | Via external_id opgezocht |
org_units (type team) en type | role_ids | |
status en last_working_day | status (1 actief, 2 geschorst) |
Gerelateerd
Ashby → Personio
Ashby Personio koppeling: aannames met uren en entiteit als nieuwe medewerker in Personio
Bullhorn → Personio
Bullhorn Personio koppeling: plaatsingen als persoon met dienstverband in Personio
Carerix → Personio
Carerix Personio koppeling: geslaagde plaatsing als nieuwe medewerker in Personio
Greenhouse → Personio
Greenhouse Personio koppeling: aangenomen kandidaten als medewerker in Personio