Identity en access management
SAP SuccessFactors Omada koppeling: Employee Central als gezaghebbende bron in Omada Identity
Omada heeft een eigen pakket voor SAP SuccessFactors dat medewerkers uit Employee Central inleest als identiteiten, met hun manager als eigenaar en bedrijf, business unit, divisie en afdeling als context. Met een koppeling tussen SAP SuccessFactors en Omada bepalen die gegevens dus de rollen, reviews en het intrekken van toegang; KoppelHet richt het pakket in, zet de aanmelding op OAuth en vult aan waar het stopt.
Wat de koppeling doet
Organisaties die SAP SuccessFactors Employee Central gebruiken en Omada voor rollen en audits, zien vaak dat de bron draait op een gebruikersnaam met wachtwoord. SAP stopt met die aanmelding, en dan valt de import zonder waarschuwing stil terwijl Omada rollen blijft baseren op de laatste stand.
- In SuccessFactors maken we een API-gebruiker met een rol met alleen leesrechten op medewerkers en de organisatieobjecten.
- We registreren een OAuth-clientapplicatie met certificaat en zetten de gegevens in de systeeminstellingen van Omada.
- Het SuccessFactors-pakket van Omada leest medewerkers als identiteit en de organisatie als context.
- KoppelHet stemt de queries af op jullie inrichting, zoals paginering op persoonsgegevens en eigen velden.
- Na elke import vergelijkt KoppelHet het aantal wijzigingen met SuccessFactors en meldt afwijkingen.
Waar je op let bij SAP SuccessFactors en Omada
- Omada heeft voor SuccessFactors twee pakketten. Het OData-pakket leest Employee Central als HR-bron; het SCIM-pakket beheert gebruikers en groepen in SuccessFactors zelf, via SAP Cloud Identity Services. Voor deze koppeling gebruiken we het OData-pakket.
- De importpagina van Omada noemt naast een gebruikersnaam met wachtwoord ook OAuth 2.0 met SAML, met certificaat, gebruikers-id en bedrijfs-id. SAP faseert de aanmelding met wachtwoord uit. KoppelHet zet de bron daarom op OAuth voordat SAP de oude aanmelding uitzet.
- Wijzigt HR iets terwijl Omada persoonsgegevens leest, dan kan een medewerker dubbel of helemaal niet in de import staan. Omada raadt daarom paging=snapshot aan op PerPerson. KoppelHet zet dat in de query, zodat een grote import tijdens kantooruren geen identiteiten mist.
- SuccessFactors maakt onderscheid tussen hoofdletters en kleine letters in de userId, dus twee gebruikers kunnen alleen daarin verschillen. KoppelHet controleert bij de eerste import op zulke paren, voordat Omada ze als één identiteit behandelt.
- Omada kan het e-mailadres terugschrijven naar het PerEmail-record in SuccessFactors. In Omada's eigen voorbeeld staat daarbij een vaste code voor het e-mailtype. Die code verschilt per SuccessFactors-omgeving; KoppelHet zoekt de code voor het zakelijke type op, zodat Omada niet het privéadres overschrijft.
- Velden die Omada leest, moeten in het datamodel van SuccessFactors aan staan; anders blijven ze leeg. Een eigen veld voor bijvoorbeeld soort medewerker zet de SuccessFactors-beheerder eerst aan, en daarna nemen we het op in de query.
- Een herstructurering in SuccessFactors kan in één import honderden contexten en rollen raken. De drempels voor nieuwe, gewijzigde en verwijderde objecten staan in Omada standaard uit. KoppelHet stelt ze in, zodat een fout in de organisatiestructuur niet in één keer toegang intrekt.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Omada kan SuccessFactors al lezen. Wat doet KoppelHet dan?
De API-gebruiker en OAuth inrichten, de queries afstemmen op jullie Employee Central en de imports bewaken. Voor wat het pakket niet dekt bouwen we een aanvulling.
Schrijft Omada iets terug naar SuccessFactors?
Alleen het e-mailadres, via een event in Omada. Andere HR-gegevens blijven in SuccessFactors en worden daar door HR beheerd.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Omada SAP SuccessFactors (OData): op de OData-collector, standaardmapping Employee naar Identity, Manager naar Identity owner, Company, Business unit, Division en Department naar Context en context assignment, hoofd van de eenheid naar Context owner. Base URL zonder het deel vanaf login?; gebruiker als naam@bedrijfs-id bij basic of OAuth 2.0 SAML (SAML IDP Endpoint, Token endpoint, Client ID, X509-certificaat, User ID, Company ID); JSON aanbevolen; time-out standaard 3600 seconden.
- Rol APIUser in SuccessFactors volgens Omada: Employee Data View, Employee Central HRIS OData API en Foundation OData API (alleen lezen), SFAPI User Login, Admin access to OData API, Manage OAuth2 Client Applications en MDF-objectrechten View op Business Unit, Department, Division, Job Classification, Job Function en Legal Entity.
- Terugschrijven: Omada-event Update email op Identities met een Execute code-actie naar het SuccessFactors-systeem; schrijft SFOData.PerEmail (emailAddress) voor personIdExternal; testquery PerPerson.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in SAP SuccessFactors | Veld in Omada | Toelichting |
|---|---|---|
userId / personIdExternal | UID (identiteit) | Hoofdlettergevoelig in SuccessFactors |
Voornaam en achternaam (PerPersonal) | FirstName, LastName | |
managerId (EmpJob) | Identity owner | |
company (FOCompany) | Context (bedrijf) | |
businessUnit, division, department | Context en context assignment | |
Hoofd van de eenheid | Context owner | |
Zakelijk e-mailadres (PerEmail) | Email | Omada kan dit adres terugschrijven |
startDate en einddatum dienstverband | ValidFrom, ValidTo |
Gerelateerd
Ashby → SAP SuccessFactors
Ashby SAP SuccessFactors koppeling: aanname als nieuwe medewerker in Employee Central
Bullhorn → SAP SuccessFactors
Bullhorn SAP SuccessFactors koppeling: plaatsingen als medewerker of contingent worker in Employee Central
Carerix → SAP SuccessFactors
Carerix SAP SuccessFactors koppeling: geslaagde plaatsing als nieuwe medewerker in Employee Central
Greenhouse → SAP SuccessFactors
Greenhouse SAP SuccessFactors koppeling: aanname als nieuwe medewerker in Employee Central