Identity en access management
SAP SuccessFactors OneLogin koppeling: Employee Central als bron voor gebruikers in OneLogin
Met een koppeling tussen SAP SuccessFactors en OneLogin krijgt elke nieuwe medewerker uit Employee Central een gebruiker in OneLogin, met bedrijf, afdeling, functie en leidinggevende, zodat de mappings van OneLogin de juiste rollen en apps toekennen. KoppelHet leest Employee Central en zet de gebruikers via de OneLogin-API klaar, aan op de startdatum en geschorst op de einddatum.
Wat de koppeling doet
Organisaties die OneLogin gebruiken voor single sign-on naar SuccessFactors en andere apps, maken nieuwe collega's vaak met de hand aan in OneLogin, en vertrekkers blijven actief tot iemand ze schorst.
- In SuccessFactors maken we een API-gebruiker met alleen leesrechten en een OAuth-clientapplicatie met certificaat.
- In OneLogin maakt de beheerder een API-credential met Manage Users en de eigen attributen die de mappings nodig hebben.
- KoppelHet leest wijzigingen in persoon, dienstverband, functie en e-mail uit Employee Central, zoals ze gelden op de ingangsdatum.
- Een nieuwe medewerker wordt een niet-geactiveerde gebruiker in OneLogin; op de startdatum zet KoppelHet hem actief.
- Bij een wijziging werkt KoppelHet de gebruiker bij en laat de mappings direct meedraaien; op de einddatum schorst KoppelHet hem.
Waar je op let bij SAP SuccessFactors en OneLogin
- KoppelHet vult OneLogin via de API van OneLogin, zodat OneLogin de gebruikers krijgt uit dezelfde bron waar het al de login voor levert.
- OneLogin heeft een standaardveld external_id en kan gebruikers daarop zoeken. KoppelHet zet daar de personIdExternal uit SuccessFactors in, niet de userId. De userId is in SuccessFactors hoofdlettergevoelig en kan wijzigen, de personIdExternal blijft bij de persoon; zo leidt een gewijzigde gebruikersnaam niet tot een tweede OneLogin-gebruiker.
- SuccessFactors bewaart meerdere e-mailadressen per persoon, en bij een nieuwe medewerker staat vaak alleen het privéadres. OneLogin vraagt bij aanmaken een gebruikersnaam en een e-mailadres. KoppelHet gebruikt alleen het zakelijke type uit SuccessFactors en anders het adres uit de naamgevingsregel, zodat geen privéadres als login in OneLogin komt.
- Een indiensttreding met een startdatum in de toekomst toont SuccessFactors standaard met de gegevens van vandaag. KoppelHet vraagt de functie en afdeling op zoals ze op de startdatum gelden en maakt de OneLogin-gebruiker aan met de status niet geactiveerd. Op de startdatum zet KoppelHet hem op actief, zodat de mappings de rollen van de nieuwe baan geven.
- De leidinggevende verwacht OneLogin als OneLogin-gebruikers-id, terwijl SuccessFactors in EmpJob de userId van de manager geeft. KoppelHet zoekt de manager eerst op via zijn external_id en vult daarna manager_user_id. Wordt een manager tegelijk met zijn team aangenomen, dan maakt KoppelHet de manager eerst aan.
- Een eigen attribuut in OneLogin bestaat pas als iemand het heeft aangemaakt, met een korte naam van letters, cijfers en underscores. Het soort medewerker uit SuccessFactors, dat mappings voor inhuur nodig hebben, maakt KoppelHet eenmalig aan als eigen attribuut voordat de eerste gebruiker wordt gevuld.
- OneLogin staat per account vijfduizend API-aanroepen per uur toe, ongeacht het aantal tokens. Een grote herstructurering in SuccessFactors kan in één ronde duizenden wijzigingen geven. KoppelHet volgt de resterende ruimte in de headers en spreidt zo'n ronde, zodat andere koppelingen op hetzelfde OneLogin-account blijven werken.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Krijgt een nieuwe collega een uitnodiging van OneLogin?
Nee, via de API stuurt OneLogin geen uitnodiging. Hoe de eerste login verloopt, spreken we vooraf met jullie af.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- KoppelHet leest Employee Central via de OData API v2 met OAuth 2.0 (SAML bearer), op lastModifiedDateTime per entiteit (PerPerson, PerPersonal, PerEmail, EmpEmployment, EmpJob) en met asOfDate op de startdatum.
- OneLogin API v2 met een token van een API-credential met Manage Users: POST /api/2/users?mappings=sync en PUT /api/2/users/{id} met username, email, firstname, lastname, company, department, title, manager_user_id, external_id, status (0 niet geactiveerd, 1 actief, 2 geschorst) en custom_attributes; GET /api/2/users met external_id of updated_since, 50 per pagina; POST /api/2/users/custom_attributes; 5.000 aanroepen per uur per account (X-RateLimit-Remaining).
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in SAP SuccessFactors | Veld in OneLogin | Toelichting |
|---|---|---|
personIdExternal | external_id | Vaste sleutel, ook als de userId wijzigt |
firstName, lastName (PerPersonal) | firstname, lastname | |
Zakelijk e-mailtype (PerEmail) of naamgevingsregel | email en username | |
company (EmpJob) | company | |
department (EmpJob) | department | |
jobTitle (EmpJob) | title | |
managerId (EmpJob) | manager_user_id | Na opzoeken van de OneLogin-id |
Soort medewerker | custom_attributes.employee_class | |
startDate en endDate (EmpEmployment) | status (0, 1 of 2) |
Gerelateerd
Ashby → SAP SuccessFactors
Ashby SAP SuccessFactors koppeling: aanname als nieuwe medewerker in Employee Central
Bullhorn → SAP SuccessFactors
Bullhorn SAP SuccessFactors koppeling: plaatsingen als medewerker of contingent worker in Employee Central
Carerix → SAP SuccessFactors
Carerix SAP SuccessFactors koppeling: geslaagde plaatsing als nieuwe medewerker in Employee Central
Greenhouse → SAP SuccessFactors
Greenhouse SAP SuccessFactors koppeling: aanname als nieuwe medewerker in Employee Central