Identity en access management
Remote Okta koppeling: Okta-gebruikers vanuit Remote, met de Remote SCIM-app of maatwerk
Met een koppeling tussen Remote en Okta wordt elke medewerker die via Remote werkt een Okta-gebruiker met afdeling, personeelsnummer en leidinggevende, en wordt die gebruiker gedeactiveerd als de employment in Remote stopt. Remote heeft een eigen SCIM-app in de Okta-catalogus waarmee Okta medewerkers en afdelingen uit Remote importeert; KoppelHet komt erbij als je contractors, het werkadres, de offboarding per land of vertrouwelijke vertrekken anders wilt regelen.
Wat de koppeling doet
Organisaties met medewerkers in landen zonder eigen entiteit gebruiken Remote als werkgever en Okta voor toegang. Met de SCIM-app van Remote komen die medewerkers in Okta, maar het werkadres moet nog met de hand terug naar Remote, en een vertrek komt pas door bij de volgende import van Okta.
- In Remote maakt de beheerder een Customer API-token voor KoppelHet, met alleen de scopes die de koppeling nodig heeft; in Okta komt een service app met OAuth.
- Zodra een employment in Remote is aangemaakt, zet KoppelHet de Okta-gebruiker klaar zonder activatie, met werkadres volgens jullie naamgevingsregel.
- Het werkadres gaat terug naar Remote bij werknemers; voor contractors krijgt HR een melding.
- Na de onboarding activeert KoppelHet de gebruiker op de startdatum; land en soort dienstverband bepalen de groepen.
- Bij een offboarding deactiveert KoppelHet de gebruiker op de einddatum die Remote heeft doorgezet.
Waar je op let bij Remote en Okta
- Met de SCIM-app van Remote leest Okta medewerkers en afdelingen uit Remote, maar Okta kan niets in Remote aanmaken, wijzigen of deactiveren. Het werkadres dat Okta uitgeeft, komt dus niet vanzelf in Remote. KoppelHet zet het adres via de API van Remote terug.
- Volgens Remote komt een wijziging in Okta bij de volgende synchronisatie; hoe vaak die draait, staat niet in de handleiding. KoppelHet werkt op de meldingen van Remote, zodat een vertrek op de einddatum doorkomt en niet afhangt van het importschema in Okta.
- Het werkadres is via de API van Remote alleen te schrijven bij een employment die is uitgenodigd of actief is, en niet bij contractors. KoppelHet zet het adres terug bij werknemers en vraagt HR het bij contractors zelf in te vullen.
- De SCIM-gegevens van Remote geven een e-mailadres met een soort, persoonlijk of werk. Bij een nieuwe medewerker is vaak alleen het persoonlijke adres bekend. KoppelHet gebruikt nooit het persoonlijke adres als inlognaam in Okta, maar maakt een werkadres met jullie naamgevingsregel.
- Bij een offboarding toetst Remote eerst de regels van het land, en daarna kan de einddatum nog verschuiven. KoppelHet deactiveert de Okta-gebruiker pas op de datum die Remote heeft doorgezet, zodat een collega in een land met een langere opzegtermijn niet te vroeg zijn toegang kwijt is.
- Vertrouwelijke offboardings laat Remote standaard weg uit de lijst; ze komen pas mee met een aparte parameter. Juist bij zo'n vertrek moet toegang op tijd stoppen. KoppelHet haalt ze daarom expliciet op en deactiveert op de einddatum, zonder dat de reden of het woord vertrouwelijk in Okta terechtkomt.
- Remote waarschuwt dat sommige inrichtingen deactiveren blokkeren als een gebruiker nog actieve afhankelijkheden heeft. KoppelHet controleert na de einddatum of de Okta-gebruiker echt gedeactiveerd is en meldt het aan IT als dat niet zo is.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Waarom niet alleen de SCIM-app van Remote?
Die is vaak voldoende als afdelingen genoeg zijn voor groepen en het werkadres in Remote niet hoeft te kloppen. Kies maatwerk als land en soort dienstverband de toegang bepalen, of als een vertrek op de dag zelf moet tellen.
Horen medewerkers via Remote ook in de Nederlandse payroll?
Nee. Remote is hun werkgever. Ze hebben wel een account en toegang nodig, en daar gaat deze koppeling over.
Wordt een vertrekker verwijderd uit Okta?
Nee, gedeactiveerd. Verwijderen na de bewaartermijn blijft een keuze van IT.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Standaard: de app Remote SCIM 2.0 in de Okta-catalogus, met een token uit Remote (Company Settings, Integrations, Remote API, Full access). Okta leest naam, e-mail met soort, personeelsnummer, afdeling, leidinggevende en status; afdelingen als groepen via Import Groups. Okta schrijft niets terug naar Remote.
- KoppelHet leest Remote via de Remote API (gateway.remote.com) met een Customer API-token met beperkte scopes: GET /v1/employments, SCIM GET /v1/scim/v2/Users voor de vergelijking, webhooks ondertekend met X-Remote-Signature, vertrouwelijke offboardings met include_confidential. Terugschrijven met PATCH /v1/employments/{employment_id} (work_email bij invited en active).
- Naar Okta via de Users API met een OAuth 2.0 service app (scopes okta.users.manage en okta.groups.manage): aanmaken zonder activatie, activeren en deactiveren. Draait de SCIM-app ernaast, dan bepaalt profile sourcing welke bron per veld wint.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Remote | Veld in Okta | Toelichting |
|---|---|---|
employment id | employeeNumber | |
Voornaam en achternaam | firstName en lastName | |
Naamgevingsregel | login en email | |
department | department | |
manager | managerId en manager | |
country | countryCode | |
Soort dienstverband | userType | |
status en einddatum | status (STAGED, ACTIVE, DEPROVISIONED) |
Gerelateerd
Greenhouse → Remote
Greenhouse Remote koppeling: buitenlandse aannames als EOR-employment met het formulier van het land
Recruitee → Remote
Recruitee Remote koppeling: buitenlandse aannames direct als employment bij Remote
Remote → 4PS Construct
Remote 4PS Construct koppeling: eigen medewerkers van de bouwentiteit uit Remote in 4PS
Remote → Active Directory
Remote Active Directory koppeling: accounts voor collega's in andere landen