Identity en access management
Sage HR koppelen met Active Directory: domeinaccounts per team, met vervaldatum uit de termination
Met een koppeling tussen Sage HR en Active Directory krijgt een nieuwe medewerker uit Sage HR een domeinaccount in de OU van zijn team, met functie en leidinggevende, en loopt het account af op de laatste werkdag die HR bij de termination invult. KoppelHet leest Sage HR via de API en een klein programma in jullie domein voert de wijzigingen uit.
Wat de koppeling doet
Organisaties die Sage HR gebruiken en nog een eigen Windows-domein hebben, maken domeinaccounts vaak op basis van een mail van HR. Een termination in Sage HR bereikt IT dan alleen als iemand eraan denkt, en een teamwissel helemaal niet.
- We leggen per Sage HR-team de OU en de groepen vast.
- KoppelHet leest elk uur de actieve en uit dienst getreden medewerkers, met de historie van team en functie.
- Het programma in het domein maakt het account in de OU van het team, met functie en leidinggevende.
- Bij een teamwissel verplaatst het programma het account op de begindatum uit de teamhistorie.
- Bij een termination wordt de laatste werkdag de vervaldatum; bij een rehire gaat het account weer open.
Waar je op let bij Sage HR en Active Directory
- Een termination in Sage HR vraagt een datum die de laatste werkdag is, en een reden uit een vaste lijst. KoppelHet zet die datum als vervaldatum op het domeinaccount. De reden gaat niet naar het domein; die blijft in Sage HR.
- Wie uit dienst is, staat in Sage HR in een aparte lijst en niet meer bij de actieve medewerkers. KoppelHet leest beide lijsten, zodat een vertrek ook aankomt als de termination tussen twee rondes is verwerkt.
- Met team_history geeft Sage HR per teamwissel een begin- en einddatum. Het programma verplaatst het account naar de nieuwe OU op de begindatum, en niet op het moment dat HR de wissel invoert.
- Sage HR markeert oproepkrachten met een eigen vinkje. KoppelHet zet die accounts in een aparte OU, zodat daar bijvoorbeeld geen VPN-groep of ander beleid op komt dan op vaste medewerkers.
- Inloggen op Sage HR met een on-premise Active Directory is volgens Sage HR alleen mogelijk met hulp van hun engineeringteam. De accounts in het domein maakt het programma van KoppelHet, dat in het domein zelf draait.
- Na een rehire staat de medewerker weer bij de actieve medewerkers onder hetzelfde id. Het programma zet het oude domeinaccount aan, haalt de vervaldatum weg en verplaatst het naar de OU van het nieuwe team.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Moet er iets open in de firewall?
Nee. Het programma in het domein maakt alleen een uitgaande verbinding naar het platform van KoppelHet.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Sage HR REST API op {subdomein}.sage.hr/api met de header X-Auth-Token. GET /employees met team_history en position_history (email, employee_number, position, team, reports_to_employee_id, irregular_contract_worker), GET /terminated-employees (termination_date) en GET /termination-reasons. Pagina's met page en meta.next_page. Geen webhooks.
- Een KoppelHet-agent op een Windows-server in het domein haalt opdrachten op via een uitgaande verbinding en schrijft employeeID, sAMAccountName, userPrincipalName, mail, givenName, sn, displayName, title, department, manager en accountExpires, beheert groepen en verplaatst accounts tussen OU's.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Sage HR | Veld in Active Directory | Toelichting |
|---|---|---|
employee_number | employeeID | Maximaal 16 tekens |
Naamgevingsregel | sAMAccountName | Maximaal 20 tekens |
email | userPrincipalName en mail | |
first_name en last_name | givenName, sn en displayName | |
position | title | |
team (team_history) | OU, department en groepen | |
reports_to_employee_id | manager | |
irregular_contract_worker | OU voor oproepkrachten | |
termination_date | accountExpires |
Gerelateerd
Recruitee → Sage HR
Recruitee Sage HR koppeling: aangenomen kandidaten als medewerker in Sage HR
Sage HR → ADP iHCM
Sage HR ADP iHCM koppeling: compensatie en vertrek uit Sage HR naar de Nederlandse ADP-payroll
Sage HR → AFAS Profit
Sage HR koppelen met AFAS: medewerkers van de Nederlandse vestiging in AFAS Profit Payroll
ASSage HR → Arbodienst (SIVI)
Sage HR koppelen met de arbodienst via SIVI: time off requests van het ziektebeleid als verzuimmelding