Identity en access management
Sage HR Entra ID koppeling: Microsoft-accounts op basis van het werkadres in Sage HR
Met een koppeling tussen Sage HR en Microsoft Entra ID krijgt een nieuwe medewerker uit Sage HR een Microsoft-account met functie, team en leidinggevende, en wordt het account geblokkeerd na de laatste werkdag van de termination in Sage HR. Sage HR biedt met Entra ID alleen inloggen via SAML, en medewerkers worden daarvoor met de hand aangemaakt; KoppelHet bouwt het aanmaken en blokkeren via de Sage HR API.
Wat de koppeling doet
Organisaties met Sage HR en Microsoft 365 gebruiken vaak de app in de Entra-galerij om met Microsoft in te loggen op Sage HR. Het Microsoft-account zelf maakt IT nog met de hand, en het werkadres moet in beide systemen precies gelijk zijn.
- HR maakt de medewerker in Sage HR aan met het werkadres volgens de naamgevingsregel.
- KoppelHet ziet de nieuwe medewerker in de lijst met actieve medewerkers en maakt het Microsoft-account met dat adres.
- Functie, team en leidinggevende komen uit Sage HR; elk team wordt een groep in Entra ID.
- Bij een termination zet KoppelHet de laatste werkdag als vertrekdatum en blokkeert het account na die dag.
- Bij een rehire zet KoppelHet het bestaande account weer aan.
Waar je op let bij Sage HR en Microsoft Entra ID
- Sage HR vraagt het e-mailadres bij het aanmaken van een medewerker, maar de opdracht om een medewerker te wijzigen kent geen e-mailveld. KoppelHet kan het Microsoft-adres dus niet terugzetten. HR vult meteen het werkadres in, en KoppelHet maakt daarmee het account en controleert of het domein klopt.
- Voor inloggen met Microsoft staat Sage HR nog als CakeHR in de Entra-galerij. Microsoft beschrijft dat de gebruiker in Sage HR met de hand wordt aangemaakt en via het werkadres aan het Entra-account wordt gekoppeld. Omdat KoppelHet het Sage HR-adres als userPrincipalName gebruikt, sluiten beide altijd op elkaar aan.
- Na een termination verdwijnt een medewerker uit de lijst met actieve medewerkers en staat hij in een aparte lijst met uit dienst getreden medewerkers, met de einddatum. KoppelHet leest beide lijsten; wie alleen de actieve lijst leest, ziet een vertrekker gewoon verdwijnen zonder datum.
- De datum bij een termination is in Sage HR de laatste werkdag. KoppelHet blokkeert het Microsoft-account aan het eind van die dag en zet de datum ook als vertrekdatum op het account.
- In de API geeft Sage HR bij een medewerker geen vestiging terug; een locatie is alleen te schrijven. Microsoft vraagt een gebruikslocatie voordat er een licentie op een account kan. Die komt daarom uit een eigen veld in Sage HR of uit een vaste waarde per team.
- Sage HR stuurt volgens de API-beschrijving geen webhooks. KoppelHet vergelijkt daarom elk uur de actieve en de uit dienst getreden medewerkers met de vorige stand en schrijft alleen wat veranderd is.
- Een rehire in Sage HR brengt een medewerker terug onder hetzelfde id. KoppelHet herkent dat id, zet het geblokkeerde Microsoft-account weer aan en maakt geen tweede account met een volgnummer.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Maakt de Entra-app van Sage HR geen accounts aan?
Nee. De app in de galerij regelt inloggen via SAML. Microsoft noemt het aanmaken van gebruikers voor deze app handwerk.
Werkt dit ook met Active Directory on-premise?
Ja, die koppeling bouwen we met een klein programma in jullie domein.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Sage HR REST API op {subdomein}.sage.hr/api met de header X-Auth-Token. GET /employees (email, first_name, last_name, employee_number, position, team, reports_to_employee_id, employment_start_date), GET /terminated-employees (termination_date) en GET /terminated-employees/{id} (termination met reason). Pagina's met page en meta.next_page. Geen webhooks.
- Naar Entra ID via API-driven inbound provisioning (/bulkUpload met SCIM, vraagt Entra ID P1 of hoger) of Microsoft Graph (user met userPrincipalName, employeeId, jobTitle, department, usageLocation, manager, employeeHireDate, employeeLeaveDateTime en accountEnabled; groepslidmaatschap).
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Sage HR | Veld in Microsoft Entra ID | Toelichting |
|---|---|---|
email | userPrincipalName en mail | Ook de koppeling voor inloggen via SAML |
first_name en last_name | givenName, surname en displayName | |
employee_number | employeeId | |
position | jobTitle | |
team | department en groepslidmaatschap | |
reports_to_employee_id | manager | |
employment_start_date | employeeHireDate | |
termination_date | employeeLeaveDateTime en accountEnabled = false |
Gerelateerd
Recruitee → Sage HR
Recruitee Sage HR koppeling: aangenomen kandidaten als medewerker in Sage HR
Sage HR → Active Directory
Sage HR koppelen met Active Directory: domeinaccounts per team, met vervaldatum uit de termination
Sage HR → ADP iHCM
Sage HR ADP iHCM koppeling: compensatie en vertrek uit Sage HR naar de Nederlandse ADP-payroll
Sage HR → AFAS Profit
Sage HR koppelen met AFAS: medewerkers van de Nederlandse vestiging in AFAS Profit Payroll