Identity en access management
Sage People koppelen met Google Workspace: Google-accounts per land, met inloggen via Google
Met een koppeling tussen Sage People en Google Workspace krijgt een nieuwe team member een Google-account in de organisatie-eenheid van zijn land, met functie, afdeling en leidinggevende, en wordt het account na de einddatum van de employment geschorst. Sage People biedt zelf alleen inloggen via Google als identity provider; KoppelHet maakt, wijzigt en schorst de accounts via de Sage People API en de Directory API van Google.
Wat de koppeling doet
Organisaties die Sage People voor meerdere landen gebruiken en Google Workspace als werkplek hebben, laten medewerkers vaak via Google op Sage People inloggen. Het Google-account zelf ontstaat dan nog na een mail van HR, en de koppeling voor het inloggen moet per persoon met de hand worden gezet.
- We leggen per payroll company de organisatie-eenheid en het domein in Google vast.
- KoppelHet leest gewijzigde team members en employments en maakt het Google-account voor de startdatum.
- Het nieuwe adres gaat naar de Sage People-beheerder als Federation Id, zodat inloggen via Google werkt.
- Na de einddatum schorst KoppelHet het account.
- Na de bewaartermijn draagt KoppelHet de Drive-bestanden over aan de leidinggevende en verwijdert het account.
Waar je op let bij Sage People en Google Workspace
- Sage People noemt Google als ondersteunde identity provider voor inloggen. De assertie van Google wordt vergeleken met de gebruikersnaam of de Federation Id in Sage People; Sage People raadt de Federation Id aan, omdat gebruikersnamen uniek moeten zijn over heel Salesforce. Het Google-adres dat KoppelHet maakt, wordt dus de Federation Id.
- Sage People wijst elke medewerker via de payroll company aan een salarisverwerker in een land toe. KoppelHet gebruikt die payroll company om de organisatie-eenheid en het domein in Google te kiezen, zodat elk land zijn eigen beleid voor apps en apparaten houdt.
- Het einde van een dienstverband staat in Sage People op de employment en niet op de team member. KoppelHet volgt wijzigingen op beide en schorst het Google-account op de dag na de einddatum, ook als HR het vertrek weken eerder heeft ingevoerd.
- Een verwijderd Google-account neemt mail en Drive mee, en alleen een superbeheerder kan het binnen twintig dagen herstellen. KoppelHet schorst daarom eerst en draagt de bestanden pas na de bewaartermijn over aan de leidinggevende uit Sage People.
- Na een terugkeer kan een team member een nieuw employment record krijgen. KoppelHet zoekt het geschorste Google-account op het personeelsnummer en zet het weer aan, met mail en bestanden van toen, als het nog niet is verwijderd.
- Google wil bij elk nieuw account een wachtwoord. Met inloggen via Google op Sage People hoeft de nieuwe collega maar één wachtwoord te kennen; KoppelHet zet een willekeurig startwachtwoord dat bij de eerste aanmelding moet worden gewijzigd.
- KoppelHet leest Sage People met een eigen app en een API-gebruiker met alleen leesrechten, zonder het wachtwoord van een HR-medewerker. Salaris en bankgegevens zitten niet in die rechten en komen dus nooit in Google terecht.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Zet KoppelHet de Federation Id zelf in Sage People?
In de kleinste opzet niet: de koppeling leest alleen. Het adres gaat als taak naar de beheerder; zelf schrijven kan later als uitbreiding.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Sage People via de Salesforce API met SOQL op fHCM2__Team_Member__c en fHCM2__Employment__c, gefilterd op de wijzigingsdatum; aanmelden via een External Client App met OAuth 2.0 client credentials en een API-gebruiker met een permission set met alleen leesrechten.
- Naar Google via de Admin SDK Directory API (users met externalIds, name, primaryEmail, password en changePasswordAtNextLogin, orgUnitPath, organizations, relations type manager en suspended) en de Data Transfer API, met een service account met domain-wide delegation.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Sage People | Veld in Google Workspace | Toelichting |
|---|---|---|
Employee Number (team member) | externalIds (type organization) | |
First Name en Last Name | name.givenName en name.familyName | |
Naamgevingsregel per land | primaryEmail | |
Payroll company | orgUnitPath | |
Job Title | organizations.title | |
Department | organizations.department | |
Manager (team member) | relations (type manager) | |
End Date (employment) | suspended = true |
Gerelateerd
Sage People → Active Directory
Sage People koppelen met Active Directory: domeinaccounts voor het Nederlandse kantoor
Sage People → ADP iHCM
Sage People ADP iHCM koppeling: salarisrecords, bonussen en vertrek van de Nederlandse payrollcompany naar ADP
Sage People → AFAS Profit
Sage People koppelen met AFAS: Nederlandse medewerkers en salarissen uit Sage People in AFAS Profit
ASSage People → Arbodienst (SIVI)
Sage People koppelen met de arbodienst via SIVI: absence records als verzuimmelding