Identity en access management
SAP HCM koppelen met Entra ID: Microsoft-accounts uit SAP HR, zonder eigen Logic Apps
Met een koppeling tussen SAP HCM en Microsoft Entra ID krijgt een nieuwe medewerker uit SAP HR een Microsoft-account met afdeling, functie en bedrijf, en wordt de aanmelding geblokkeerd zodra de uitdienstmaatregel in SAP ingaat. KoppelHet ontvangt de wijzigingen uit SAP binnen jullie netwerk, zodat IT geen eigen Azure-oplossing hoeft te bouwen en te onderhouden.
Wat de koppeling doet
Organisaties die SAP HCM on-premise voor HR en salaris draaien en Microsoft 365 gebruiken, vragen nieuwe accounts aan met een formulier dat HR na de indienstmaatregel invult. Tot het account er is, kan een nieuwe collega niet aan de slag.
- De SAP-beheerder richt eenmalig de verzending van HR-stamgegevens in, gefilterd op de Nederlandse medewerkers, naar een klein programma van KoppelHet in het eigen netwerk.
- Bij een indienstmaatregel in SAP stuurt SAP de gegevens van de nieuwe medewerker. KoppelHet maakt het Microsoft-account aan, klaar voor de begindatum.
- Wijzigt de organisatorische toewijzing, dan volgen afdeling, functie en groepen in Entra ID op de begindatum.
- Bij een uitdienstmaatregel blokkeert KoppelHet de aanmelding op de datum waarop de maatregel ingaat.
- Elke week vergelijkt KoppelHet de actieve medewerkers in SAP met Entra ID, als controle op gemiste berichten.
Waar je op let bij SAP HCM en Microsoft Entra ID
- Microsoft beschrijft voor SAP HCM vier routes, waaronder een bestandsexport en koppelingen via Azure Logic Apps op SAP-functies of IDocs. Die moet de organisatie zelf bouwen en beheren. KoppelHet verzorgt de route via IDocs als dienst, zonder Logic Apps in jullie Azure-omgeving.
- SAP HCM verstuurt bij een wijziging alleen de infotypes die zijn veranderd, gebaseerd op wijzigingsaanwijzers. KoppelHet vult aan wat voor Entra ID nodig is, zodat een naamswijziging niet leidt tot een account zonder afdeling.
- SAP legt gegevens per infotype vast met een begin- en einddatum, en maatregelen worden vaak vooruit ingevoerd. KoppelHet voert een overplaatsing of uitdienst in Entra ID uit op de begindatum van de maatregel, niet op het moment van invoeren.
- Of iemand in dienst is, staat in SAP in de status van de maatregel; Microsoft gebruikt in zijn voorbeeld status 3 als actief. KoppelHet baseert aanmaken en blokkeren op die status en de maatregel, niet op het bestaan van het personeelsnummer.
- SAP HCM draait in jullie eigen netwerk. Het verdelingsmodel in SAP stuurt alleen de Nederlandse medewerkers naar het programma van KoppelHet in dat netwerk; er hoeft geen verbinding van buiten naar SAP.
- SAP vraagt bij het versturen van HR-stamgegevens altijd de basis-infotypes 0000 tot en met 0003 mee. KoppelHet gebruikt daarvan alleen wat Entra ID nodig heeft; adres en bankgegevens komen niet in de verzending.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Wat moet onze SAP-beheerder doen?
Eenmalig het verdelingsmodel, het partnerprofiel en de wijzigingsaanwijzers inrichten voor HR-stamgegevens, met een filter op de Nederlandse medewerkers. Wij leveren de specificatie.
Werkt dit ook met Active Directory in ons eigen netwerk?
Ja, die koppeling bouwen we ook.
We hebben al een integratieplatform. Past dit daarnaast?
Ja. SAP kan dezelfde HR-stamgegevens naar meerdere ontvangers sturen, dus bestaande stromen blijven. Elke actie van deze koppeling staat in de auditlogging van KoppelHet.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- SAP HCM verstuurt HR-stamgegevens via ALE met het berichttype HRMD_A (IDocs), aangemaakt door change pointers, met een distributiemodel en partnerprofiel dat filtert op Nederlandse medewerkers. Een KoppelHet-agent ontvangt de IDocs binnen het netwerk. Infotypes 0000 (maatregelen, STAT2), 0001 (organisatorische toewijzing), 0002 (persoonsgegevens); sleutel PERNR.
- Naar Entra ID schrijven we via Microsoft Graph (user met employeeId, givenName, surname, userPrincipalName, jobTitle, department, companyName, officeLocation, usageLocation, manager en accountEnabled), of via API-driven inbound provisioning als jullie dat liever hebben.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in SAP HCM | Veld in Microsoft Entra ID | Toelichting |
|---|---|---|
PERNR (personeelsnummer) | employeeId | Vaste sleutel |
Infotype 0002: roepnaam of voornaam | givenName | |
Infotype 0002: achternaam | surname | |
Naamgevingsregel | userPrincipalName en mail | |
Infotype 0001: organisatie-eenheid | department | |
Infotype 0001: functie of positie | jobTitle | |
Infotype 0001: bedrijfsnummer | companyName | |
Infotype 0001: personeelsgebied | officeLocation en usageLocation | |
Leidinggevende uit de organisatiestructuur | manager | |
Infotype 0000: maatregel en status | accountEnabled | Actief bij status 3 |
Gerelateerd
SAP HCM → Active Directory
SAP HCM koppelen met Active Directory: domeinaccounts per personeelsgebied uit SAP HR
SAP HCM → AFAS Profit
SAP HCM AFAS koppeling: SAP-personeelsgegevens automatisch naar de loonadministratie
SAP HCM → Google Workspace
SAP HCM koppelen met Google Workspace: Google-accounts op basis van SAP-maatregelen
SAP HCM → Nmbrs
SAP HCM Nmbrs koppeling: SAP-personeelsgegevens naar de Nederlandse salarisverwerking