Identity en access management
SAP SuccessFactors Ping Identity koppeling: Employee Central als bron voor de PingOne-directory
Met een koppeling tussen SAP SuccessFactors en Ping Identity krijgt elke nieuwe medewerker uit Employee Central een gebruiker in PingOne, in de populatie van zijn bedrijf en met afdeling, functie en leidinggevende. PingOne kan SuccessFactors niet zelf inlezen; KoppelHet levert de medewerkers aan en zet een vertrekker op de einddatum uit, zodat de apps achter PingOne dicht gaan.
Wat de koppeling doet
Organisaties die PingOne voor single sign-on en MFA gebruiken en SAP SuccessFactors als HR-systeem, vinden in PingOne wel een ingebouwde koppeling met Workday maar niet met SuccessFactors. Gebruikers worden dan met de hand of via een losse export aangemaakt, en vertrekkers blijven actief tot iemand ze opmerkt.
- In SuccessFactors maken we een API-gebruiker met alleen leesrechten en een OAuth-clientapplicatie met certificaat.
- In PingOne maakt de beheerder een Worker-app met de rol Identity Data Admin, beperkt tot de populaties van deze koppeling.
- KoppelHet leest wijzigingen in persoon, dienstverband, functie en e-mail uit Employee Central, zoals ze gelden op de ingangsdatum.
- Een nieuwe medewerker wordt een uitgeschakelde gebruiker in de populatie van zijn bedrijf; op de startdatum zet KoppelHet hem aan.
- Bij een overplaatsing verhuist KoppelHet groepslidmaatschappen, en op de einddatum zet KoppelHet de gebruiker uit.
Waar je op let bij SAP SuccessFactors en Ping Identity
- PingOne kan als bron alleen Workday, een LDAP-gateway en SCIM inlezen. SuccessFactors staat niet in die lijst. KoppelHet levert de medewerkers daarom zelf aan via de SCIM-ingang van PingOne.
- Ping heeft ook PingOne Advanced Identity Cloud, en daar bestaat wel een SuccessFactors-sjabloon met volledige en incrementele reconciliatie, met een privésleutel om tokens te ondertekenen. Werkt jullie organisatie met dat product, dan is dat sjabloon de route en richt KoppelHet alleen de SuccessFactors-kant in.
- SuccessFactors bewaart meerdere e-mailadressen per persoon, PingOne neemt er via SCIM maar één aan. KoppelHet stuurt alleen het zakelijke type, zodat een privéadres nooit het adres in PingOne wordt waar MFA- en herstelmails naartoe gaan.
- Elke PingOne-gebruiker hoort in een populatie. KoppelHet maakt een populatie per bedrijf uit SuccessFactors, zodat wachtwoordbeleid en apps per land kunnen verschillen. Een overplaatsing naar een ander bedrijf verplaatst de gebruiker op de ingangsdatum.
- Groepen beheert de SCIM-ingang van PingOne niet. KoppelHet zet de groepen per afdeling via de gewone PingOne-API, zodat een afdelingswissel in SuccessFactors ook de applicatietoegang in PingOne verschuift.
- Een nieuwe medewerker met een startdatum in de toekomst toont SuccessFactors standaard met de gegevens van vandaag. KoppelHet vraagt de functiegegevens op zoals ze op de startdatum gelden en maakt de gebruiker uitgeschakeld aan, zodat hij pas op de eerste werkdag kan inloggen.
- PingOne geeft via SCIM hooguit 200 gebruikers terug en pagineert niet. Een volledige vergelijking van alle SuccessFactors-medewerkers met PingOne gaat daarom niet via een lijst; KoppelHet zoekt per medewerker gericht op de externe sleutel.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Welke rechten krijgt KoppelHet in PingOne?
Een Worker-app met de rol Identity Data Admin, beperkt tot de populaties van deze koppeling. Geen rechten op beleid of applicaties.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- KoppelHet leest Employee Central via de OData API v2 met OAuth 2.0 (SAML bearer), op lastModifiedDateTime per entiteit (PerPerson, PerPersonal, EmpEmployment, EmpJob, PerEmail) en met asOfDate op de startdatum.
- PingOne via een Worker-app met de rol Identity Data Admin: SCIM /v2/Users met externalId, één e-mailwaarde, population.id in de extensie urn:pingidentity:schemas:extension:2.0:PingOneUser en active voor enabled; lijsten tot 200 resultaten zonder paginering; groepen (501 op /v2/Groups) via de PingOne Platform API.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in SAP SuccessFactors | Veld in Ping Identity | Toelichting |
|---|---|---|
personIdExternal | externalId | Vaste sleutel in PingOne |
firstName, lastName (PerPersonal) | name.givenName, name.familyName | |
Naamgevingsregel | userName | |
Zakelijk e-mailtype (PerEmail) | emails (één waarde) | |
jobTitle (EmpJob) | title | |
department (EmpJob) | Groep per afdeling | |
company (EmpJob) | population.id | |
managerId (EmpJob) | Leidinggevende (eigen attribuut) | |
Einddatum dienstverband | enabled = false |
Gerelateerd
Ashby → SAP SuccessFactors
Ashby SAP SuccessFactors koppeling: aanname als nieuwe medewerker in Employee Central
Bullhorn → SAP SuccessFactors
Bullhorn SAP SuccessFactors koppeling: plaatsingen als medewerker of contingent worker in Employee Central
Carerix → SAP SuccessFactors
Carerix SAP SuccessFactors koppeling: geslaagde plaatsing als nieuwe medewerker in Employee Central
Greenhouse → SAP SuccessFactors
Greenhouse SAP SuccessFactors koppeling: aanname als nieuwe medewerker in Employee Central