Identity en access management
Remote Ping Identity koppeling: mensen uit Remote als PingOne-gebruikers per land
Met een koppeling tussen Remote en Ping Identity wordt iedereen die via Remote voor jullie werkt een gebruiker in PingOne, in de populatie van zijn land en met soort dienstverband, afdeling en leidinggevende. Aanmelden gaat aan als Remote het dienstverband actief zet, en gaat uit bij een opschorting of op de bevestigde einddatum.
Wat de koppeling doet
Organisaties die PingOne als identity provider gebruiken en mensen via Remote in dienst hebben, maken die mensen vaak met de hand aan in PingOne. Wanneer iemand bij Remote klaar is met onboarding, opgeschort wordt of vertrekt, hoort IT dat pas later, en blijft aanmelden te lang mogelijk of start te laat.
- In Remote komt een Customer API-token met alleen leesscopes en webhooks voor dienstverband en gebruikersstatus; in PingOne een Worker-app met de rol Identity Data Admin.
- Per land maken we een populatie in PingOne, of één populatie met landgroepen, naar jullie keuze.
- Bij een uitgenodigd dienstverband maakt KoppelHet de gebruiker aan met aanmelden geblokkeerd en een werkadres als gebruikersnaam.
- Zet Remote het dienstverband op actief, dan zet KoppelHet aanmelden aan en de groepen van de afdeling.
- Bij een opschorting of op de bevestigde einddatum blokkeert KoppelHet aanmelden; verwijderen volgt na de bewaartermijn.
Waar je op let bij Remote en Ping Identity
- Remote biedt een SCIM-ingang die je alleen kunt lezen, en PingOne neemt SCIM-gebruikers aan die een ander systeem aanlevert. Geen van beide stuurt dus zelf iets. KoppelHet leest Remote en schrijft naar PingOne, zodat de twee SCIM-kanten toch op elkaar aansluiten.
- De SCIM-gegevens van Remote geven e-mailadressen met een soort, persoonlijk of werk, en bij een nieuwe medewerker staat vaak alleen het persoonlijke adres. Een gebruikersnaam in PingOne kan met PingID na aanmaken niet meer wijzigen. KoppelHet gebruikt daarom nooit het persoonlijke adres, maar een werkadres volgens jullie regel.
- Mensen via Remote werken in veel landen, en PingOne zet elke gebruiker in één populatie, met een eigen aanroep om te verhuizen. KoppelHet kiest de populatie op het land van het dienstverband en zet de landcode in de twee hoofdletters die PingOne eist, zodat beleid per land werkt.
- Remote meldt met een eigen webhook wanneer een gebruiker actief wordt na onboarding. KoppelHet zet aanmelden in PingOne pas op dat moment aan, zodat iemand die uitgenodigd is maar nog in onboarding of review zit, nog niet bij de apps kan.
- Remote zet een gebruiker op inactief als zijn dienstverband wordt opgeschort, en stuurt dan elke keer een webhook. KoppelHet blokkeert aanmelden in PingOne op die melding en zet het weer aan bij de melding dat de gebruiker actief is, zonder de gebruiker of zijn MFA-apparaat te verwijderen.
- Een offboarding bij Remote kan na de landtoets een andere einddatum krijgen, en vertrouwelijke offboardings staan niet in de gewone lijst. KoppelHet vraagt die apart op en blokkeert aanmelden op de datum die Remote heeft doorgezet, zonder iets over de reden in PingOne te zetten.
- Remote kent EOR-werknemers, contractors, eigen werknemers en global payroll. Het veld type in PingOne heeft geen vaste betekenis. KoppelHet vult het met de soort uit Remote, zodat aanmeldbeleid en MFA-eisen voor contractors anders kunnen zijn dan voor werknemers.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Kunnen Remote en PingOne niet rechtstreeks via SCIM praten?
Nee. Remote biedt SCIM alleen om te lezen en PingOne verwacht dat iemand aanlevert. KoppelHet zit daartussen.
Wat gebeurt er bij een opgeschort dienstverband?
Aanmelden gaat uit tot Remote de gebruiker weer actief meldt. De gebruiker blijft bestaan.
Gaan er salarisgegevens naar PingOne?
Nee. Het token leest alleen dienstverband- en persoonsgegevens voor accounts.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- KoppelHet leest Remote via de Remote API (gateway.remote.com) met een Customer API-token: GET /v1/employments (status, type, country), SCIM GET /v1/scim/v2/Users (alleen lezen; emails met type, department en manager in de enterprise-extensie), webhooks met X-Remote-Signature (employment.user_status.activated en employment.user_status.deactivated) en vertrouwelijke offboardings met include_confidential.
- PingOne met een Worker-app met de rol Identity Data Admin: gebruikers via /v1/environments/{envID}/users met externalId, username (uniek, maximaal 128 tekens, onveranderlijk met PingID), type (maximaal 256 tekens) en address.countryCode (ISO 3166-1 alpha-2, hoofdletters); population.id via de population-subresource; aanmelden via de aparte enabled-aanroep; groepen via de Platform API. Inkomende provisioners van PingOne zijn LDAP Gateway, SCIM en Workday.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Remote | Veld in Ping Identity | Toelichting |
|---|---|---|
employment id | externalId | |
name.givenName en name.familyName (SCIM) | name.given en name.family | |
Naamgevingsregel (nooit het persoonlijke adres) | username en email | |
type | type | |
country | address.countryCode en population | |
department (SCIM) | Groep | |
status en user_status | Aanmelden aan of uit | |
Bevestigde einddatum offboarding | Aanmelden uit |
Gerelateerd
Greenhouse → Remote
Greenhouse Remote koppeling: buitenlandse aannames als EOR-employment met het formulier van het land
Recruitee → Remote
Recruitee Remote koppeling: buitenlandse aannames direct als employment bij Remote
Remote → 4PS Construct
Remote 4PS Construct koppeling: eigen medewerkers van de bouwentiteit uit Remote in 4PS
Remote → Active Directory
Remote Active Directory koppeling: accounts voor collega's in andere landen