Identity en access management
Talentech Active Directory koppeling: accounts in je eigen domein vanuit PeopleCore
Met een koppeling tussen Talentech PeopleCore en Active Directory krijgt elke medewerker die HR in Talentech afrondt een account in jullie eigen domein, in de map van zijn locatie en met functie, afdeling en leidinggevende. Het account vervalt op de einddatum van het dienstverband uit de ontslagaanvraag, en het adres uit het domein gaat terug naar Talentech.
Wat de koppeling doet
Organisaties met Talentech voor HR en een eigen Active Directory, vaak met Entra Connect naar Microsoft 365, laten de servicedesk accounts maken op basis van een mail van HR. Wie bij een andere vestiging begint of vertrekt, komt in het domein vaak pas later goed te staan.
- Talentech geeft KoppelHet een client voor de token service met alleen de benodigde scopes; in het domein komt een KoppelHet-agent met rechten op alleen de mappen van de koppeling.
- KoppelHet vergelijkt elk uur medewerkers, posities, contracten en ontslagaanvragen met de vorige stand en zet de verschillen klaar als opdrachten.
- De agent haalt de opdrachten op via een uitgaande verbinding en maakt het account uitgeschakeld aan in de map van de locatie.
- Op de startdatum gaat het account aan; het adres gaat terug naar Talentech.
- Bij een ontslagaanvraag zet de agent de vervaldatum en schakelt het account na de einddatum uit.
Waar je op let bij Talentech en Active Directory
- Talentech kan geen verbinding maken met een server in jullie netwerk, en de PeopleCore-API stuurt voor deze gegevens geen meldingen die we hebben gevonden. KoppelHet vergelijkt daarom elk uur in de cloud, en de agent in het domein haalt alleen de uitkomst op via een uitgaande verbinding.
- Het id van een medewerker in PeopleCore is een lange code, en employeeID in Active Directory past maximaal 16 tekens. KoppelHet zet het Talentech-id in een eigen attribuut, en zet een kort nummer in Talentech bij de externe kenmerken van de medewerker, zodat beide kanten elkaar terugvinden.
- Locatie, afdeling en juridische entiteit hangen in PeopleCore aan de positie, niet aan de medewerker. KoppelHet kiest de map in Active Directory op locatie of entiteit, zodat een overstap naar een andere positie het account meteen naar de juiste map en het juiste groepsbeleid verplaatst.
- Bij een functiewissel beëindigt Talentech het lopende contract en start een nieuw contract op de nieuwe positie. KoppelHet herkent dat paar als een wijziging en houdt hetzelfde account aan, in plaats van het oude uit te schakelen en een nieuw te maken.
- Een ontslagaanvraag heeft in PeopleCore een einddatum van het dienstverband. KoppelHet zet die als vervaldatum op het account. Dan weigert Active Directory de aanmelding na die dag zelf, ook als de uurlijkse ronde of de agent even niet draait.
- Medewerkers loggen bij Talentech in met het e-mailadres van hun Talentech ID, en dat adres is via de API te wijzigen. KoppelHet zet het adres uit het domein daar terug, zodat de inlog bij Talentech gelijk loopt met het account dat Entra Connect naar Microsoft 365 brengt.
- Talentech wordt veel gebruikt in Noorwegen, Zweden en Denemarken, met namen als Bjørn of Märta. Een gebruikersnaam in Active Directory mag hooguit 20 tekens hebben. KoppelHet zet bijzondere tekens om volgens een vaste regel en laat de weergavenaam zoals hij in Talentech staat.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Moet er een poort open in onze firewall?
Nee. De agent maakt alleen een uitgaande verbinding naar het KoppelHet-platform.
Waarom elk uur en niet direct?
PeopleCore meldt deze wijzigingen niet zelf. Een kortere ronde kan, maar vraagt meer verzoeken aan Talentech; dat stemmen we per klant af.
Welke rechten heeft de agent in ons domein?
Alleen op de mappen van de koppeling: accounts maken, wijzigen en uitschakelen. Geen domeinbeheerder.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Talentech PeopleCore API (api.talentech.io/peoplecore) met een JWT uit de token service (client credentials), scopes peoplecore-employees:read en :write, peoplecore-positions:read, peoplecore-contracts:read en peoplecore-resignations:read. GET /v1/Employees, /v1/Positions (organizationInformation, superiorPositionId), /v1/Contracts en /v1/EmployeeResignApplications; geen filter op wijzigingsdatum. Terugschrijven met PATCH /v1/Employees/{employeeId}, PUT /v1/Employees/{employeeId}/TalentechIdEmail en PUT /v1/Employees/{employeeId}/externalSystemIdentifiers.
- Een KoppelHet-agent in het domein haalt opdrachten op via een uitgaande verbinding en heeft alleen rechten op de OU's van de koppeling. AD-attributen employeeID (maximaal 16 tekens), een extensionAttribute voor het Talentech-id, sAMAccountName (maximaal 20 tekens), userPrincipalName, mail, title, department, physicalDeliveryOfficeName, company, manager, accountExpires en userAccountControl.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Talentech | Veld in Active Directory | Toelichting |
|---|---|---|
employee.id | extensionAttribute of employeeID (eigen nummer) | |
personalDetails.firstName | givenName | |
personalDetails.middleName + lastName | sn | |
Naamgevingsregel | sAMAccountName | Maximaal 20 tekens |
Naamgevingsregel | userPrincipalName en mail | |
position.organizationInformation.jobTitle | title | |
departmentId (naam) | department | |
locationId (naam) | physicalDeliveryOfficeName en OU | |
legalEntityId (naam) | company | |
superiorPositionId (medewerker op die positie) | manager | |
resignation.employmentEndDate | accountExpires en userAccountControl | |
mail (AD) | businessEmail en talentechIdEmail |
Gerelateerd
Recruitee → Talentech
Recruitee Talentech koppeling: aangenomen kandidaten met contract op een positie in Talentech
Talentech → ADP iHCM
Talentech ADP iHCM koppeling: salarissen en ontslagaanvragen uit PeopleCore naar de Nederlandse ADP-payroll
Talentech → AFAS Profit
Talentech AFAS koppeling: medewerkers, contracten en salarissen uit Talentech PeopleCore in AFAS
ASTalentech → Arbodienst (SIVI)
Talentech koppelen met de arbodienst via SIVI: afwezigheden uit PeopleCore als verzuimmelding