Identity en access management
Sympa Active Directory koppeling: domeinaccounts in de juiste OU vanuit Sympa
Met een koppeling tussen Sympa en Active Directory krijgt elke nieuwe medewerker uit Sympa een domeinaccount in de juiste OU en groepen, en wordt het account na het einde van het dienstverband uitgeschakeld. KoppelHet verwerkt de wijzigingen met een eigen programma in het domein, ook bij meerdere entiteiten, eigen OU-regels en vertrek op de dag zelf.
Wat de koppeling doet
Wie Sympa als HR-systeem en een eigen Active Directory heeft, moet de wijzigingen uit Sympa zelf in het domein verwerken. Als het script daarvoor faalt, merkt vaak niemand het.
- HR legt in Sympa een nieuwe medewerker vast bij de Nederlandse entiteit.
- KoppelHet leest de wijziging binnen het uur en geeft het programma in het domein de opdracht voor een nieuw account.
- Het account komt uitgeschakeld in de OU van entiteit en afdeling, met de groepen die bij de functie horen.
- Op de startdatum gaat het account aan; bij een overplaatsing verhuist het naar de nieuwe OU.
- De einddatum staat direct als vervaldatum op het account, en na vertrek wordt het uitgeschakeld en naar de OU voor vertrekkers verplaatst.
Waar je op let bij Sympa en Active Directory
- Iets in jullie netwerk moet de wijzigingen uit Sympa in het domein verwerken. KoppelHet levert dat deel mee met een eigen programma in het domein, zodat er geen los script is dat niemand beheert.
- Een wijziging kan blijven liggen als de verwerking een keer faalt. KoppelHet vergelijkt daarnaast elke dag de actieve medewerkers in Sympa met het domein, zodat een gemist vertrek alsnog wordt opgepakt.
- Het programma van KoppelHet in het domein haalt alleen opdrachten op via een uitgaande verbinding. Er hoeft geen open poort in de firewall te komen.
- KoppelHet neemt meerdere Sympa-entiteiten mee en legt per entiteit en afdeling de OU vast, zodat elke entiteit en afdeling in een eigen deel van het domein staat.
- KoppelHet zet de einddatum uit Sympa direct als vervaldatum op het account. Stopt de verbinding een dag, dan stopt het account toch op tijd.
- Een organisatie-eenheid in Sympa kan diep genest zijn. Voor de OU en groepen gebruikt KoppelHet het niveau dat bij jullie domeinstructuur past, zodat een herindeling van teams niet elke keer accounts verplaatst.
- Namen in Sympa kunnen tekens bevatten die Active Directory niet toestaat in een inlognaam, zoals ä of ø bij Scandinavische collega's. KoppelHet zet die om volgens een vaste tabel, en de weergavenaam houdt de oorspronkelijke spelling.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Wat moet er in ons netwerk draaien?
Een klein programma van KoppelHet op een Windows-server in het domein, met een uitgaande verbinding. Geen open poort.
Hoe zit het met auditlogging, AVG en ons integratieplatform?
Elke actie in het domein staat in de auditlogging van het KoppelHet-platform. Jullie zijn verwerkingsverantwoordelijke en KoppelHet is verwerker, onder een verwerkersovereenkomst; de Sympa-interface bevat alleen de velden uit het ontwerp. Een bestaand integratieplatform blijft ongemoeid.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- KoppelHet leest Sympa via de Sympa Integration API (OData v4) op een eigen interface met X-ApiKey, met $filter op modified en op de entiteit.
- Een KoppelHet-agent op een Windows-server in het domein schrijft employeeID (maximaal 16 tekens), employeeNumber, sAMAccountName (maximaal 20 tekens), userPrincipalName, givenName, sn, displayName, title, department, company, manager en accountExpires, en verplaatst accounts tussen OU's.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Sympa | Veld in Active Directory | Toelichting |
|---|---|---|
Personeelsnummer | employeeID en employeeNumber | |
Roepnaam of voornaam | givenName | |
Achternaam | sn | |
Naamgevingsregel | sAMAccountName en userPrincipalName | sAMAccountName maximaal 20 tekens |
Functie | title | |
Organisatie-eenheid | department en OU | |
Entiteit | company | |
Leidinggevende | manager | |
Einddatum dienstverband | accountExpires |
Gerelateerd
Greenhouse → Sympa
Greenhouse Sympa koppeling: aangenomen kandidaat als datakaart met contractregel in Sympa
Recruitee → Sympa
Recruitee Sympa koppeling: aangenomen kandidaten als datakaart in Sympa
SmartRecruiters → Sympa
SmartRecruiters Sympa koppeling: klaar voor onboarding wordt een datakaart in Sympa
Sympa → 4PS Construct
Sympa 4PS Construct koppeling: monteurs van de Nederlandse werkgever uit Sympa in 4PS, met kostenplaats als dimensie