Identity en access management
Personio Ping Identity koppeling: gebruikers in PingOne per juridische entiteit
Met een koppeling tussen Personio en Ping Identity krijgt elke nieuwe medewerker uit Personio een gebruiker in PingOne, in de populatie van zijn juridische entiteit en met functie, afdeling, team en leidinggevende. Na de laatste werkdag in Personio kan die gebruiker niet meer inloggen, en externen krijgen een eigen populatie met hun eigen regels.
Wat de koppeling doet
Organisaties met Personio als HR-systeem en PingOne als identity provider houden twee lijsten met medewerkers bij. IT maakt gebruikers aan op basis van een mail van HR, en wie met verlof zijn laatste weken afsluit, kan vaak tot de einddatum van het contract gewoon blijven inloggen.
- In Personio komt een API-client met alleen leesrechten op personen, dienstverbanden en organisatie-eenheden; in PingOne een Worker-app met de rol Identity Data Admin.
- Per juridische entiteit in Personio leggen we een populatie in PingOne vast, en één populatie voor externen.
- KoppelHet maakt de gebruiker aan zodra de medewerker in Personio in onboarding staat, met aanmelden geblokkeerd tot de startdatum.
- Afdeling en team uit Personio worden groepen in PingOne; een wissel past de leden aan.
- Na de laatste werkdag blokkeert KoppelHet het aanmelden; na de einddatum van het contract en de bewaartermijn volgt verwijderen.
Waar je op let bij Personio en Ping Identity
- KoppelHet vult PingOne via de gebruikers-API van Ping, zonder tussenkomst van een andere identity provider.
- Een dienstverband in Personio heeft de status ONBOARDING, ACTIVE, LEAVE of INACTIVE. Verlof telt als LEAVE, niet als vertrek. KoppelHet blokkeert het aanmelden in PingOne alleen bij INACTIVE of na de laatste werkdag, tenzij jullie voor een bepaald soort verlof iets anders afspreken.
- Personio geeft afdelingen en teams als losse organisatie-eenheden met een type en alleen een id. KoppelHet haalt de namen apart op en maakt in PingOne aparte groepen per afdeling en per team, zodat applicaties op het ene of het andere kunnen sturen.
- Personio weet of iemand intern of extern is. PingOne zet elke gebruiker in precies één populatie. KoppelHet geeft externen een eigen populatie, zodat jullie daar strengere MFA of een kortere sessie kunnen instellen dan voor eigen medewerkers.
- De lijst met dienstverbanden van Personio is te filteren op updated_at en geeft maximaal 50 resultaten per pagina, met een link naar de volgende pagina. De nachtelijke ronde vraagt alleen wat sinds de vorige ronde is gewijzigd, zodat een grote omgeving niet elke nacht helemaal wordt opgevraagd.
- Personio accepteert een e-mailadres maar bij één persoon, en PingOne slaat één e-mailadres per gebruiker op. KoppelHet zet het werkadres volgens de naamgevingsregel in PingOne en laat het privéadres uit Personio erbuiten.
- Personio bewaart meldingen dertig dagen en kan ze opnieuw versturen. Is PingOne of KoppelHet een tijd niet bereikbaar, dan vraagt KoppelHet de gemiste meldingen opnieuw op en verwerkt ze in volgorde, zodat een blokkade niet wordt overschreven door een oudere wijziging.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Wat gebeurt er met beheerders en servicegebruikers in PingOne?
Die staan in hun eigen populatie en de koppeling laat ze met rust. KoppelHet raakt alleen gebruikers aan met een Personio-id.
Leest de koppeling salarissen of verzuim in Personio?
Nee. De API-client heeft alleen leesrechten op personen, dienstverbanden en organisatie-eenheden.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Personio via webhooks (employment.updated en de effective-date-meldingen) en de Personio API v2: /v2/persons en /v2/persons/{id}/employments (status ONBOARDING, ACTIVE, LEAVE, INACTIVE; type INTERNAL of EXTERNAL; org_units met type department of team; legal_entity, supervisor, position.title, termination met termination_date en laatste werkdag; filter updated_at.gt, limit maximaal 50, cursor via _meta.links.next.href). Gemiste meldingen tot dertig dagen terug via de redelivery-endpoint.
- PingOne met een Worker-app (Identity Data Admin): gebruikers via /v1/environments/{envID}/users of de SCIM-ingang, population.id per entiteit (wisselen via de population-subresource), groepen en leden via de Platform API, eigen attributen in het user schema, aanmelden blokkeren via enabled.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Personio | Veld in Ping Identity | Toelichting |
|---|---|---|
person.id | externalId | |
preferred_name of first_name | name.given | |
last_name | name.family | |
Naamgevingsregel per entiteit | username en email | |
position.title | title | |
org_units (type department) | Groep en eigen attribuut afdeling | |
org_units (type team) | Groep per team | |
supervisor.id | Eigen attribuut leidinggevende | |
legal_entity.id en type | population.id | |
status en last_working_day | Blokkeren of toestaan van aanmelden |
Gerelateerd
Ashby → Personio
Ashby Personio koppeling: aannames met uren en entiteit als nieuwe medewerker in Personio
Bullhorn → Personio
Bullhorn Personio koppeling: plaatsingen als persoon met dienstverband in Personio
Carerix → Personio
Carerix Personio koppeling: geslaagde plaatsing als nieuwe medewerker in Personio
Greenhouse → Personio
Greenhouse Personio koppeling: aangenomen kandidaten als medewerker in Personio