Identity en access management
Simployer Okta koppeling: Okta-gebruikers uit Simployer One, met de SCIM-app van Simployer of maatwerk
Met een koppeling tussen Simployer en Okta wordt Simployer One de bron voor Okta-gebruikers, zodat nieuwe collega's, functiewijzigingen en vertrek vanuit HR in Okta landen. Simployer heeft zelf een Okta-app waarmee Okta de medewerkers via SCIM importeert; KoppelHet komt erbij als ook de leidinggevende en de vertrekdatum mee moeten, of als het abonnement geen SCIM bevat.
Wat de koppeling doet
Organisaties die Simployer One voor HR gebruiken en Okta voor toegang, zetten vaak eerst de Okta-app van Simployer aan. Daarna valt op dat de leidinggevende in Okta leeg blijft en dat een vertrek pas zichtbaar wordt als de medewerker in de import op inactief staat.
- We kiezen samen de route. Past de SCIM-app van Simployer, dan richten we die in; anders levert KoppelHet als eigen HR-bron in Okta.
- Een eigenaar in Simployer One maakt een apart access token voor de koppeling, zodat het los in te trekken is.
- KoppelHet leest elk kwartier de medewerkers die sinds de vorige ronde zijn bijgewerkt, met kantoor, afdeling en leidinggevende.
- Nieuwe collega's komen in Okta met hun werkadres en de groepen van hun land en afdeling.
- Op de offboardingdatum, of anders de einddatum, deactiveert Okta de gebruiker.
Waar je op let bij Simployer en Okta
- Bij de Okta-app van Simployer is Simployer One de SCIM-server en importeert Okta de gebruikers met profile sourcing; Simployer noemt Okta zelf een uitzondering, omdat het daar als bron dient maar als server is ingericht. De attributen worden daarmee in Okta alleen-lezen. Wie dat al gebruikt, kiest bij maatwerk één bron, zodat Okta niet twee bronnen voor hetzelfde profiel krijgt.
- Het SCIM-voorbeeld van Simployer geeft naam, functie, de status active en uit de enterprise-extensie personeelsnummer, organisatie, divisie, kostenplaats en afdeling. Een leidinggevende en de datums in en uit dienst staan er niet in. KoppelHet haalt die uit de gewone API van Simployer One en vult managerId in Okta.
- De SCIM-ingang van Simployer geeft een werk- en een privéadres, en de handleiding vraagt in Okta e-mail als gebruikersnaamformaat. Zonder werkadres kan zo het verkeerde adres de inlog worden. KoppelHet gebruikt alleen workEmail of de naamgevingsregel, en meldt een medewerker zonder werkadres aan HR.
- Simployer One kent naast de einddatum van het dienstverband een aparte offboardingdatum. KoppelHet deactiveert de Okta-gebruiker op de offboardingdatum als die is ingevuld, en anders op de einddatum, ongeacht wanneer de volgende import van Okta draait.
- SCIM vraagt bij Simployer een abonnement dat het toestaat, en een token kan alleen een eigenaar maken. Dat token geeft eigenaarsrechten op het hele account. KoppelHet gebruikt een eigen token, alleen voor leesaanroepen, en bewaart het in de kluis van het platform.
- Simployer stuurt volgens de SCIM-documentatie geen gegevens terug naar Simployer One. Het werkadres moet dus in Simployer staan voordat Okta de gebruiker kan aanmaken. KoppelHet controleert bij een nieuwe collega of het domein van dat adres bij de Okta-omgeving hoort, voordat de gebruiker wordt klaargezet.
- Simployer wordt vaak gebruikt door groepen met vestigingen in Noorwegen, Zweden en andere landen. KoppelHet zet het land van het dienstverband als countryCode en als groep in Okta, zodat apps en beleid per land kunnen verschillen zonder dat IT groepen met de hand bijhoudt.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Waarom niet gewoon de Okta-app van Simployer?
Die is vaak genoeg als naam, functie en afdeling volstaan. Kies maatwerk als de leidinggevende of de vertrekdatum in Okta nodig is.
Kunnen beide routes tegelijk aan?
Liever niet. Twee bronnen voor hetzelfde Okta-profiel geven conflicten. We kiezen er één.
Leest KoppelHet salarissen in Simployer?
Nee. De koppeling vraagt alleen de velden op die Okta nodig heeft.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Standaard: de Okta-app van Simployer One (SCIM 2.0, Simployer als server, import en profile sourcing in Okta, gebruikersnaamformaat e-mail) met een bearer token van een eigenaar. GET /scim/v2/Users met userName, name, title, active, emails (work en home) en de enterprise-extensie (employeeNumber, organization, division, costCenter, department). Geen terugschrijven naar Simployer.
- Maatwerk: Simployer One via de HRM One API (api.alexishr.com/v1, employee met employeeNumber, workEmail, employmentCountry, endDate en offboardDate, filter op bijgewerkt) en naar Okta via een Custom Identity Source (bulk-upsert van maximaal 200 profielen per verzoek, alleen tekstwaarden, bulk-delete deactiveert) of de Users API met een OAuth 2.0 service app.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Simployer | Veld in Okta | Toelichting |
|---|---|---|
employeeNumber | employeeNumber en externalId | |
Voornaam en achternaam | firstName en lastName | |
workEmail | login en email | Nooit het privéadres |
Functie | title | |
Afdeling en divisie | department en division | |
Kostenplaats | costCenter | |
Leidinggevende (verwijzing naar medewerker) | managerId | Via het personeelsnummer van de leidinggevende |
employmentCountry | countryCode en groep per land | |
offboardDate of endDate | Deactiveren |
Gerelateerd
Recruitee → Simployer
Recruitee Simployer koppeling: aangenomen kandidaten met dienstverband en salaris in Simployer One
Simployer → Active Directory
Simployer Active Directory koppeling: accounts in je eigen domein vanuit Simployer
Simployer → ADP iHCM
Simployer ADP iHCM koppeling: salaris, bonussen en einde dienstverband uit Simployer One naar ADP iHCM
Simployer → AFAS Profit
Simployer AFAS koppeling: Nederlandse medewerkers uit Simployer One in de AFAS-salarisadministratie