Identity en access management
SAP HCM koppelen met Active Directory: domeinaccounts per personeelsgebied uit SAP HR
Met een koppeling tussen SAP HCM en Active Directory maakt KoppelHet voor een nieuwe medewerker uit SAP HR een domeinaccount aan in de OU van zijn personeelsgebied, met organisatie-eenheid, functie en leidinggevende. De uitdienstdatum uit SAP komt vooraf als vervaldatum op het account, en op die dag wordt het uitgeschakeld.
Wat de koppeling doet
Organisaties die SAP HCM on-premise draaien en een eigen Active Directory beheren, maken accounts vaak aan op basis van een wekelijkse lijst uit SAP. Overplaatsingen komen pas weken later in het domein, en accounts van vertrekkers blijven actief tot de lijst is verwerkt.
- De SAP-beheerder richt eenmalig de verzending van HR-stamgegevens in naar een klein programma van KoppelHet in het eigen netwerk.
- Bij een indienstmaatregel maakt het programma het account aan in de OU van het personeelsgebied, uitgeschakeld tot de begindatum.
- Een wijziging in de organisatorische toewijzing verplaatst het account en wisselt de groepen op de begindatum.
- Bij een uitdienstmaatregel zet het programma direct de vervaldatum en schakelt het account op die datum uit.
- Accounts van vertrekkers gaan naar een aparte OU, zodat IT mailbox en bestanden kan overdragen.
Waar je op let bij SAP HCM en Active Directory
- SAP HCM en Active Directory staan allebei in jullie eigen netwerk. Het programma van KoppelHet ontvangt de berichten uit SAP en voert de wijzigingen in het domein uit; het platform van KoppelHet levert de regels en legt elke actie vast. Er hoeft geen verbinding van buiten naar binnen.
- Het personeelsgebied in SAP geeft meestal de vestiging of installatie aan. KoppelHet gebruikt het om de OU te kiezen, zodat groepsbeleid per locatie goed staat zonder dat IT accounts verplaatst.
- Een uitdienstmaatregel wordt in SAP vaak weken vooruit vastgelegd. KoppelHet zet de uitdienstdatum meteen als vervaldatum op het account, zodat het ook stopt als het programma die dag niet draait.
- SAP verstuurt bij een wijziging alleen de infotypes die zijn veranderd. KoppelHet houdt per medewerker de laatste stand bij, zodat een wijziging van alleen de naam het account niet uit zijn OU of groepen haalt.
- SAP stuurt bij HR-stamgegevens altijd de basis-infotypes 0000 tot en met 0003 mee, ook als alleen de organisatorische toewijzing wijzigt. KoppelHet gebruikt daarvan alleen wat het domein nodig heeft, en adres- en bankgegevens staan niet in de verzending naar het programma.
- Niet iedere medewerker op een installatie werkt aan een pc. Per personeelsgebied of functie leggen we vast wie een domeinaccount krijgt, zodat er geen ongebruikte accounts ontstaan.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Wat moet onze SAP-beheerder doen?
Eenmalig het verdelingsmodel, het partnerprofiel en de wijzigingsaanwijzers voor HR-stamgegevens inrichten. Wij leveren de specificatie.
Werkt dit ook met alleen Microsoft 365?
Ja, die koppeling bouwen we ook.
Hoe zit het met de AVG?
Jullie zijn verwerkingsverantwoordelijke en KoppelHet is verwerker, onder een verwerkersovereenkomst. De koppeling gebruikt alleen de infotypes die Active Directory nodig heeft.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- SAP HCM verstuurt HR-stamgegevens via ALE met het berichttype HRMD_A (IDocs), aangemaakt door change pointers, met een distributiemodel en partnerprofiel. Infotypes 0000 (maatregelen, STAT2), 0001 (bedrijfsnummer, personeelsgebied, organisatie-eenheid, positie) en 0002; sleutel PERNR. Een KoppelHet-agent in het netwerk ontvangt de IDocs.
- Dezelfde agent schrijft in Active Directory employeeID (maximaal 16 tekens), sAMAccountName (maximaal 20 tekens), userPrincipalName, mail, givenName, sn, displayName, title, department, company, physicalDeliveryOfficeName, manager en accountExpires, en verplaatst accounts tussen OU's.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in SAP HCM | Veld in Active Directory | Toelichting |
|---|---|---|
PERNR (personeelsnummer) | employeeID | Vaste sleutel |
Infotype 0002: roepnaam of voornaam | givenName | |
Infotype 0002: achternaam | sn en displayName | |
Naamgevingsregel | sAMAccountName | Maximaal 20 tekens |
Naamgevingsregel | userPrincipalName en mail | |
Infotype 0001: personeelsgebied | OU en physicalDeliveryOfficeName | |
Infotype 0001: organisatie-eenheid | department en groepen | |
Infotype 0001: functie of positie | title | |
Infotype 0001: bedrijfsnummer | company | |
Infotype 0000: uitdienstmaatregel | accountExpires en uitschakelen |
Gerelateerd
SAP HCM → AFAS Profit
SAP HCM AFAS koppeling: SAP-personeelsgegevens automatisch naar de loonadministratie
SAP HCM → Microsoft Entra ID
SAP HCM koppelen met Entra ID: Microsoft-accounts uit SAP HR, zonder eigen Logic Apps
SAP HCM → Google Workspace
SAP HCM koppelen met Google Workspace: Google-accounts op basis van SAP-maatregelen
SAP HCM → Nmbrs
SAP HCM Nmbrs koppeling: SAP-personeelsgegevens naar de Nederlandse salarisverwerking