Identity en access management
Sage People Okta koppeling: Okta-gebruikers vanuit team members en employment records
Met een koppeling tussen Sage People en Okta krijgt elke nieuwe team member uit Sage People een Okta-gebruiker met functie, afdeling, land en leidinggevende, en bepalen de start- en einddatum van het employment record wanneer de toegang open en dicht gaat. De Sage People-app in de Okta Integration Network is bedoeld voor inloggen; KoppelHet leest de team members via de Salesforce-API van Sage People en levert ze aan Okta.
Wat de koppeling doet
Organisaties die Sage People voor meerdere landen gebruiken en Okta als identity provider, hebben inloggen op Sage People via Okta vaak al ingericht. Nieuwe collega's en vertrekkers verwerkt IT in Okta nog met de hand, op basis van meldingen uit HR.
- De Sage People-beheerder maakt een API-gebruiker met alleen leesrechten op team members en employment records.
- KoppelHet leest de gewijzigde records en zet een nieuwe collega klaar in Okta, nog niet actief.
- Op de startdatum van het employment record activeert KoppelHet de gebruiker; groepen per land en afdeling bepalen de apps.
- Het Okta-adres wordt de Federation Id in Sage People, zodat de inlog via Okta de juiste gebruiker vindt.
- De dag na de einddatum deactiveert KoppelHet de Okta-gebruiker.
Waar je op let bij Sage People en Okta
- In de Okta Integration Network staat Sage People onder single sign-on, met een vermelding die sinds 2018 niet is bijgewerkt. Een HR-bron die Okta-gebruikers uit Sage People aanmaakt, hoort daar niet bij. KoppelHet levert die stroom, en de inlog via Okta blijft zoals hij is.
- Sage People vergelijkt bij inloggen via een identity provider de assertie met de gebruikersnaam of de Federation Id, en raadt de Federation Id aan omdat gebruikersnamen uniek moeten zijn over heel Salesforce. KoppelHet gebruikt de Okta-login als Federation Id, zodat de inlog op Sage People vanaf de eerste dag aansluit.
- In Sage People staan de persoon en het dienstverband als aparte records, en de einddatum hoort bij het employment record. Een vertrek verandert dus niet de team member zelf. KoppelHet volgt wijzigingen op beide objecten, zodat Okta een vertrek niet mist.
- Na een terugkeer krijgt een team member in Sage People een nieuw employment record. Een Okta Custom Identity Source werkt met een vaste externe sleutel per gebruiker. KoppelHet gebruikt de team member als sleutel en niet het employment record, zodat een teruggekeerde collega zijn oude Okta-gebruiker terugkrijgt in plaats van een tweede.
- Sage People koppelt elke medewerker via de payroll company aan een land. KoppelHet zet dat land in Okta en gebruikt het voor groepen, zodat apps die alleen in één land gelden niet bij collega's elders terechtkomen.
- KoppelHet meldt zich bij Sage People aan via een eigen app met client credentials en een API-gebruiker met alleen leesrechten. De koppeling hangt zo niet aan het wachtwoord van een HR-medewerker, en salaris of bankgegevens zitten niet in de rechten.
- HR legt een einddatum in Sage People vaak weken vooruit vast. KoppelHet deactiveert de Okta-gebruiker op de dag na die datum, niet op het moment van invoeren, zodat een vertrekker tot en met de laatste dag bij zijn apps kan.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Werkt dit met meerdere landen?
Ja. Het land komt uit de payroll company en stuurt groepen in Okta.
Ziet de koppeling salarissen in Sage People?
Nee. De API-gebruiker heeft alleen leesrechten op de velden voor het account.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Sage People via de Salesforce API met SOQL op fHCM2__Team_Member__c en fHCM2__Employment__c, gefilterd op de wijzigingsdatum van beide objecten; aanmelden via een External Client App met OAuth 2.0 client credentials en een API-gebruiker met een permission set met alleen leesrechten. Federation Id wordt gezet door de Sage People-beheerder of door KoppelHet als de API-gebruiker dat recht heeft.
- Naar Okta via de Users API met een OAuth 2.0 service app (aanmaken zonder activatie, activeren, deactiveren) of via een Custom Identity Source (Identity Sources API met een onveranderlijke externalId per gebruiker, bulk-upsert en bulk-delete).
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Sage People | Veld in Okta | Toelichting |
|---|---|---|
Employee Number (team member) | employeeNumber | |
First Name en Last Name | firstName en lastName | |
Naamgevingsregel | login en email | |
Job Title | title | |
Department | department | |
Land van de payroll company | countryCode en groepen | |
Manager (team member) | managerId en manager | |
Start Date en End Date (employment) | status (STAGED, ACTIVE, DEPROVISIONED) |
Gerelateerd
Sage People → Active Directory
Sage People koppelen met Active Directory: domeinaccounts voor het Nederlandse kantoor
Sage People → ADP iHCM
Sage People ADP iHCM koppeling: salarisrecords, bonussen en vertrek van de Nederlandse payrollcompany naar ADP
Sage People → AFAS Profit
Sage People koppelen met AFAS: Nederlandse medewerkers en salarissen uit Sage People in AFAS Profit
ASSage People → Arbodienst (SIVI)
Sage People koppelen met de arbodienst via SIVI: absence records als verzuimmelding