Identity en access management
Rippling Active Directory koppeling: accounts in het eigen domein via de hybride app van Rippling en Microsoft
Rippling en Microsoft hebben samen een app gebouwd die medewerkers uit Rippling als account in het eigen Active Directory-domein aanmaakt en bij offboarding uitschakelt, via de provisioning-agent van Microsoft. Voor een koppeling tussen Rippling en Active Directory met één domein is die app de route; KoppelHet bouwt mee waar meerdere domeinen, een tweede HR-bron of eigen regels nodig zijn.
Wat de koppeling doet
Organisaties die Rippling als HR-platform gebruiken en nog een eigen Active Directory hebben voor bestandsservers, printers of oudere applicaties, maken die accounts vaak met de hand aan. Rippling regelt dan wel de cloudapps, maar het domeinaccount loopt achter, en een vertrokken medewerker kan nog op het netwerk inloggen.
- In het domein installeren we de Microsoft Entra Connect provisioning-agent, die een uitgaande verbinding maakt.
- Een beheerder geeft Rippling toestemming om een provisioning-app in Entra ID te maken, en geeft het domein en de OU voor nieuwe accounts op.
- We stellen de veldtoewijzing en de regels voor accounttoegang in Rippling in, en testen met een testmedewerker.
- Een nieuwe medewerker in Rippling krijgt een domeinaccount, dat Entra Connect daarna naar Entra ID synchroniseert.
- Bij offboarding in Rippling wordt het domeinaccount uitgeschakeld; KoppelHet bewaakt de logboeken en verplaatst het account volgens de afspraken.
Waar je op let bij Rippling en Active Directory
- De hybride app van Rippling schrijft niet zelf in het domein. Rippling stuurt de gegevens naar de API van Entra ID, en de Microsoft Entra Connect provisioning-agent in het netwerk maakt het account in Active Directory. Zonder die agent op een server in het domein werkt de app niet.
- Bij het inrichten geeft de beheerder één domein en één OU op voor nieuwe accounts. Heeft de organisatie meerdere domeinen, of moeten accounts per land of afdeling in een andere OU, dan vult KoppelHet dat aan, bijvoorbeeld door het account na het aanmaken te verplaatsen.
- Na het domeinaccount moet het ook in Entra ID komen. Dat doet niet Rippling maar Entra Connect Sync of Cloud Sync. Een nieuwe collega heeft dus pas een Microsoft-licentie na de volgende synchronisatie; KoppelHet plant de eerste werkdag daarop in.
- Voor accounts die via deze route in Active Directory komen, rekent Microsoft op een Temporary Access Pass uit de lifecycle workflows om de eerste keer in te loggen. Daarvoor moeten startdatum en einddatum van Rippling in de toewijzing staan, en is een licentie voor Entra ID Governance nodig.
- Rippling laat in de regels voor accounttoegang vastleggen wie een domeinaccount krijgt en vanaf welk moment. Medewerkers die alleen cloudapps gebruiken, zoals een buitendienst zonder laptop in het domein, krijgen zo geen onnodig domeinaccount.
- Bij offboarding schakelt de app het domeinaccount uit. Verplaatsen naar een OU voor vertrokken medewerkers, groepen weghalen en na een termijn verwijderen doet de app niet volgens de bronnen; dat regelt KoppelHet met een taak in het domein.
- Een herindiensttreding geeft in Rippling een nieuwe worker onder dezelfde user. KoppelHet controleert dat de toewijzing op de user is gebaseerd, zodat een terugkerende collega zijn oude domeinaccount met mappen en groepen terugkrijgt in plaats van een tweede.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Moeten we een poort openzetten?
Nee. De provisioning-agent van Microsoft en de agent van KoppelHet maken allebei een uitgaande verbinding.
Hebben we geen Active Directory meer, alleen Entra ID?
Dan gebruik je de cloud-app van Rippling voor Entra ID; zie de koppeling tussen Rippling en Entra ID.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Standaard via de Rippling-app Microsoft Entra ID/Active Directory (Rippling App Shop). Rippling maakt een API-gestuurde provisioning-app in de tenant en stuurt gebeurtenissen naar Entra ID; de Microsoft Entra Connect provisioning-agent schrijft naar Active Directory. Daarna Entra Connect Sync of Cloud Sync naar Entra ID. Entra ID P1 of P2 nodig; lifecycle workflows vragen Entra ID Governance.
- Aanvullende taken van KoppelHet in het domein via een agent met een uitgaande verbinding en rechten op de beheerde OU's (verplaatsen naar de OU voor vertrokken medewerkers, groepen, verwijderen na een termijn). Rippling lezen via de v2 REST API (rest.ripplingapis.com) met een token met alleen leesscopes.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Rippling | Veld in Active Directory | Toelichting |
|---|---|---|
User id | employeeID | Vaste sleutel, ook na herindiensttreding |
Preferred given name, family name | givenName, sn, displayName | |
Title | title | |
Department | department | |
Manager | manager | |
User start date | Startdatum voor lifecycle workflows | |
Termination date | Einddatum voor lifecycle workflows | |
Offboarding | userAccountControl (uitgeschakeld) |
Gerelateerd
Carerix → Rippling
Carerix Rippling koppeling: geslaagde match als hire ter beoordeling in Rippling
Greenhouse → Rippling
Greenhouse Rippling koppeling: elke aanname direct als hire ter beoordeling in Rippling
Recruitee → Rippling
Recruitee Rippling koppeling: aangenomen kandidaten klaar om te hiren
Rippling → 4PS Construct
Rippling 4PS Construct koppeling: eigen employees van de bouwentiteit in 4PS, met afdeling als dimensie