Identity en access management
Sage HR Okta koppeling: Okta-gebruikers uit Sage HR, met de Aquera-connector of maatwerk
Met een koppeling tussen Sage HR en Okta krijgt een nieuwe medewerker uit Sage HR een Okta-gebruiker met functie, team en leidinggevende, en deactiveert Okta die gebruiker na de laatste werkdag van de termination in Sage HR. In de Okta-catalogus staat een Sage HR-connector van Aquera; zonder die licentie levert KoppelHet de medewerkers via de Sage HR API als eigen HR-bron aan Okta.
Wat de koppeling doet
Organisaties die Sage HR voor HR gebruiken en Okta voor toegang, richten vaak eerst een SAML-inlog op Sage HR in. Medewerkers moeten daarna nog steeds met de hand in Okta worden gezet, en wie uit dienst gaat, blijft in Okta actief tot IT het merkt.
- We kijken eerst of jullie de Sage HR-connector van Aquera hebben; is dat zo en past hij, dan richten we die in.
- Anders maakt een Sage HR-beheerder een API-sleutel voor KoppelHet, en zet het Okta-accountteam een eigen HR-bron aan.
- Elk uur leest KoppelHet de actieve en de uit dienst getreden medewerkers en levert alleen de verschillen aan Okta.
- Een teamwissel verplaatst de gebruiker op de begindatum naar de Okta-groep van het nieuwe team.
- Na de laatste werkdag deactiveert Okta de gebruiker; bij een rehire wordt dezelfde gebruiker weer actief.
Waar je op let bij Sage HR en Okta
- In de Okta-catalogus staat Sage HR by Aquera, een HR-as-a-Master-connector die volgens de catalogus aanmaakt, bijwerkt en deactiveert, gebouwd en onderhouden door Aquera en niet door Sage. Hebben jullie die licentie, dan is dat een route. Zo niet, dan levert KoppelHet via de Custom Identity Source van Okta.
- Okta heeft in de catalogus geen SAML-app voor Sage HR; de app Sage People SAML hoort bij een ander Sage-product. Sage HR zelf vraagt bij SAML om de login-URL, de entity ID en de SHA-1-vingerafdruk van de identity provider. Die inlog richten jullie in met een eigen SAML-app in Okta; de koppeling zorgt dat de gebruikers er al staan.
- Het e-mailadres is verplicht bij het aanmaken van een medewerker in Sage HR, maar de API kan het daarna niet wijzigen. Het Okta-adres kan dus niet terug naar Sage HR. KoppelHet gebruikt het adres uit Sage HR als Okta-login als het domein bij jullie Okta-omgeving hoort, en meldt het anders aan HR.
- Na een termination staat een medewerker niet meer in de lijst met actieve medewerkers van Sage HR, maar in een aparte lijst met de einddatum. Okta ziet een gebruiker die ontbreekt niet als vertrek. KoppelHet leest beide lijsten en levert de vertrekker als verwijdering aan, zodat Okta deactiveert.
- Een rehire brengt een medewerker in Sage HR terug onder hetzelfde id. KoppelHet herkent dat id en zet de bestaande Okta-gebruiker met dezelfde login weer actief, in plaats van een tweede gebruiker met een nieuw adres te maken.
- Sage HR stuurt geen webhooks, en geeft bij een medewerker via de API geen vestiging terug. KoppelHet vergelijkt elk uur met de vorige stand en bouwt de Okta-groepen op team, met team_history voor de datum waarop een wissel ingaat.
- Sage HR markeert oproepkrachten met een eigen vinkje. KoppelHet zet die gebruikers in een aparte Okta-groep, zodat ze bijvoorbeeld wel het rooster maar niet de VPN of het intranet krijgen.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Is er niet al een Sage HR-connector in Okta?
Ja, van Aquera, met een eigen licentie. Hebben jullie die, dan kan die volstaan. Anders levert KoppelHet als eigen HR-bron in Okta.
Kan het Okta-adres terug naar Sage HR?
Nee. De Sage HR API kan het e-mailadres na het aanmaken niet wijzigen. HR vult bij een nieuwe medewerker meteen het werkadres in.
Wat gebeurt er met de reden van vertrek?
Die blijft in Sage HR. Okta krijgt alleen de datum.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Sage HR REST API op {subdomein}.sage.hr/api met de header X-Auth-Token: GET /employees (email, first_name, last_name, employee_number, position, team, reports_to_employee_id, employment_start_date), GET /terminated-employees (termination_date), team_history per medewerker; pagina's met page en meta.next_page; geen webhooks.
- Okta via een Custom Identity Source (Identity Sources API: één sessie per bron tegelijk, bulk-upsert van maximaal 200 profielen per verzoek, alleen tekstwaarden, bulk-delete deactiveert) of via de Users API met een OAuth 2.0 service app (lifecycle activate, deactivate en reactivate).
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Sage HR | Veld in Okta | Toelichting |
|---|---|---|
employee_number | employeeNumber en externalId | |
first_name en last_name | firstName en lastName | |
email | login en email | Werkadres, ingevuld bij aanmaken |
position | title | |
team (met team_history) | department en groep per team | |
reports_to_employee_id | managerId | Omgezet naar het personeelsnummer |
employment_start_date | Activeren op de startdatum | |
termination_date (terminated-employees) | Deactiveren |
Gerelateerd
Recruitee → Sage HR
Recruitee Sage HR koppeling: aangenomen kandidaten als medewerker in Sage HR
Sage HR → Active Directory
Sage HR koppelen met Active Directory: domeinaccounts per team, met vervaldatum uit de termination
Sage HR → ADP iHCM
Sage HR ADP iHCM koppeling: compensatie en vertrek uit Sage HR naar de Nederlandse ADP-payroll
Sage HR → AFAS Profit
Sage HR koppelen met AFAS: medewerkers van de Nederlandse vestiging in AFAS Profit Payroll