Identity en access management
Sympa Okta koppeling: Okta-gebruikers vanuit Sympa, ook voor meerdere entiteiten
Met een koppeling tussen Sympa en Okta krijgt elke nieuwe medewerker uit Sympa een Okta-gebruiker met functie, organisatie-eenheid, entiteit en leidinggevende, en gaat de toegang dicht als het dienstverband in Sympa eindigt. KoppelHet neemt meerdere entiteiten mee in één koppeling, laat een vertrek op de einddatum zelf ingaan en zet het Okta-adres terug in Sympa.
Wat de koppeling doet
Organisaties die Sympa als HR-systeem gebruiken en Okta als identity provider, regelen vaak eerst het inloggen met Okta op Sympa. Daarna blijkt dat die inlog geen medewerkers overzet.
- De Sympa-beheerder stelt een interface samen met alleen de velden voor Okta, zonder salaris of BSN.
- KoppelHet leest elk uur de gewijzigde medewerkers en zet nieuwe collega's klaar in Okta, nog zonder dat ze kunnen inloggen.
- Op de startdatum activeert KoppelHet de gebruiker; groepen per entiteit en organisatie-eenheid bepalen de apps.
- Het Okta-adres gaat terug naar Sympa, zodat de gebruikersnaam voor de Okta-inlog op Sympa klopt.
- Na de einddatum van het dienstverband deactiveert KoppelHet de Okta-gebruiker.
Waar je op let bij Sympa en Okta
- Heeft een groep een Nederlandse en een Duitse entiteit in Sympa en één Okta-omgeving, dan leest KoppelHet alle entiteiten in één koppeling, met een naamgevingsregel en groepen per entiteit.
- Voor de Okta-inlog op Sympa moet de gebruikersnaam in Sympa een UPN zijn. KoppelHet zet het Okta-adres na het aanmaken terug in Sympa, zodat inlognaam en Okta-login vanaf de eerste werkdag gelijk zijn.
- KoppelHet deactiveert de Okta-gebruiker op de einddatum uit Sympa en legt elke deactivering vast, zodat terug te zien is wanneer de toegang dichtging.
- Sympa beantwoordt leesverzoeken uit een rapportagedatabase die tot een half uur achter kan lopen. Een medewerker die net is ingevoerd, kan daar dus nog ontbreken. KoppelHet deactiveert in Okta nooit omdat iemand uit een leesronde wegvalt, maar alleen op een einddatum die Sympa teruggeeft.
- Een Okta Custom Identity Source neemt per verzoek tot tweehonderd profielen aan, met alleen tekstwaarden. Sympa staat standaard honderd verzoeken per uur per interface toe. KoppelHet leest Sympa in een paar grote pagina's, zet de organisatie-eenheid als tekstpad en levert de hele uurronde in één Okta-sessie aan.
- Een overplaatsing staat in Sympa vaak weken vooruit, met een geldigheidsdatum. KoppelHet vraagt de stand op van vandaag, zodat Okta de groepen van de nieuwe eenheid pas op de ingangsdatum toekent en de medewerker tot dan zijn oude apps houdt.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Zit inloggen met Okta op Sympa in de koppeling?
Nee, dat is een aparte inrichting. KoppelHet zorgt wel dat de gebruikersnaam in Sympa gelijk is aan de Okta-login, zodat die inlog werkt.
Ziet de koppeling salarissen in Sympa?
Nee. De interface voor KoppelHet bevat alleen de velden die Okta nodig heeft.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- KoppelHet leest Sympa via de Sympa Integration API (OData v4) op een eigen interface met X-ApiKey, met $filter op modified, $top en $skip, at= voor de geldige stand en een doelveld op de leidinggevende; terugschrijven met PATCH op de unieke sleutel. Standaard 100 verzoeken per uur per interface.
- Naar Okta via een Custom Identity Source (Identity Sources API; sessie, bulk-upsert van maximaal 200 profielen per verzoek en 50 verzoeken per sessie, bulk-delete voor deactiveren) of via de Users API met een OAuth 2.0 service app.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Sympa | Veld in Okta | Toelichting |
|---|---|---|
Personeelsnummer | employeeNumber | |
Roepnaam of voornaam | firstName | |
Achternaam | lastName | |
Naamgevingsregel per entiteit | login en email | |
Functie | title | |
Organisatie-eenheid | department en groepen | |
Entiteit | organization | |
Leidinggevende (e-mail via doelveld) | managerId en manager | |
Begin- en einddatum dienstverband | status (STAGED, ACTIVE, DEPROVISIONED) | |
login (Okta) | Werk-e-mail en gebruikersnaam in Sympa |
Gerelateerd
Greenhouse → Sympa
Greenhouse Sympa koppeling: aangenomen kandidaat als datakaart met contractregel in Sympa
Recruitee → Sympa
Recruitee Sympa koppeling: aangenomen kandidaten als datakaart in Sympa
SmartRecruiters → Sympa
SmartRecruiters Sympa koppeling: klaar voor onboarding wordt een datakaart in Sympa
Sympa → 4PS Construct
Sympa 4PS Construct koppeling: monteurs van de Nederlandse werkgever uit Sympa in 4PS, met kostenplaats als dimensie