Identity en access management
Talentech Okta koppeling: Okta-gebruikers uit PeopleCore, met de Okta-inlog op Talentech ID
Met een koppeling tussen Talentech PeopleCore en Okta krijgt elke medewerker die HR in Talentech afrondt een Okta-gebruiker met functie, afdeling, locatie, juridische entiteit en leidinggevende, en deactiveert Okta die gebruiker na het einde van het dienstverband uit de ontslagaanvraag. Het Okta-adres gaat terug naar Talentech ID, zodat de Okta-inlog op Talentech vanaf de eerste dag werkt.
Wat de koppeling doet
Organisaties die Talentech PeopleCore voor HR gebruiken en Okta als identity provider, regelen vaak eerst de Okta-inlog op Talentech ID. Die inlog maakt geen gebruikers aan, en de HR-gestuurde provisioning die Talentech beschrijft, noemt alleen Entra ID.
- KoppelHet krijgt een client in de token service van Talentech met leesscopes voor medewerkers, posities, contracten en ontslagaanvragen, en schrijfrechten op het e-mailadres van Talentech ID.
- In Okta zet het accountteam een eigen HR-bron aan voor KoppelHet.
- Elk uur vergelijkt KoppelHet PeopleCore met de vorige stand en levert alleen de verschillen aan Okta.
- Na het aanmaken zet KoppelHet het Okta-adres in Talentech ID.
- Na de einddatum uit de ontslagaanvraag levert KoppelHet de verwijdering aan en deactiveert Okta de gebruiker.
Waar je op let bij Talentech en Okta
- Talentech ondersteunt Okta alleen als inlog op Talentech ID, via OpenID Connect en als betaalde dienst die Talentech zelf inricht. De HR-gestuurde provisioning op de Talentech-documentatie noemt als doel alleen Entra ID. Voor Okta-gebruikers uit PeopleCore bouwt KoppelHet de koppeling.
- Bij de eerste inlog via OpenID Connect koppelt Talentech ID de gebruiker aan de hand van de e-mailclaim. Wijkt het adres in Talentech ID af van het Okta-adres, dan vindt Talentech de gebruiker niet. KoppelHet zet het Okta-adres na het aanmaken via de API in Talentech ID.
- Talentech vraagt voor die inlog een id dat per gebruiker uniek is en nooit verandert, meestal de sub-claim. Okta levert daarvoor zijn eigen gebruikers-id. KoppelHet maakt nooit een tweede Okta-gebruiker voor dezelfde medewerker, zodat dat id bij een functiewissel gelijk blijft.
- Bij een functiewissel sluit Talentech het lopende contract en start een nieuw contract op een andere positie. Functie, afdeling, locatie en entiteit hangen aan die positie. KoppelHet herkent het paar als een wijziging van dezelfde medewerker en past titel en groepen in Okta aan, in plaats van te deactiveren en opnieuw te maken.
- De leidinggevende volgt in PeopleCore uit de bovenliggende positie, die vacant kan zijn. Okta verwacht in managerId de sleutel van een andere gebruiker. KoppelHet zoekt de bekleder van de bovenliggende positie, of de positie daarboven als die leeg is, en zet diens Talentech-id in managerId.
- Medewerkers die in PeopleCore nog als concept staan, levert KoppelHet niet aan Okta. Pas een afgerond profiel met een contract wordt een Okta-gebruiker, zodat een kandidaat die afhaakt geen Okta-licentie bezet.
- De medewerkerlijst van PeopleCore is alleen te filteren op naam, ontslag en Talentech-id, niet op wijzigingsdatum. Okta neemt in een eigen HR-bron maximaal tweehonderd profielen per verzoek. KoppelHet vergelijkt daarom zelf met de vorige stand en stuurt Okta alleen de echte wijzigingen.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Maakt de Okta-inlog van Talentech geen gebruikers aan?
Nee. Die regelt alleen inloggen op Talentech ID. Gebruikers in Okta maakt KoppelHet uit PeopleCore.
Wanneer wordt een vertrekker gedeactiveerd?
Standaard na de einddatum van het dienstverband uit de ontslagaanvraag. Bij vrijstelling van werk kan het al na de laatste werkdag.
Leest de koppeling salarissen in Talentech?
Nee. De client krijgt geen scope voor salarissen of nationale nummers.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Talentech PeopleCore API (api.talentech.io/peoplecore) met een JWT uit de token service (client credentials): GET /v1/Employees (isDrafted, talentechId, businessContactInformation.businessEmail, positionId, hasActiveResignation), /v1/Positions (jobTitle, departmentId, locationId, legalEntityId, superiorPositionId, isVacant), /v1/Contracts en /v1/EmployeeResignApplications (lastDayOfWork, employmentEndDate). Terugschrijven met PUT /v1/Employees/{employeeId}/TalentechIdEmail.
- Okta via een Custom Identity Source (Identity Sources API: sessie, bulk-upsert van maximaal 200 profielen per verzoek, alleen tekstwaarden, bulk-delete deactiveert) of via de Users API met een OAuth 2.0 service app. Inloggen op Talentech ID met een OIDC-app in Okta, ingericht door Talentech.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Talentech | Veld in Okta | Toelichting |
|---|---|---|
employee id (Talentech) | externalId | |
Voornaam en achternaam | firstName en lastName | |
businessContactInformation.businessEmail of naamgevingsregel | login en email | |
jobTitle (positie) | title | |
departmentId (positie) | department en groep | |
locationId (positie) | city of groep per locatie | |
legalEntityId (positie) | organization | |
superiorPositionId | managerId | Bekleder van de bovenliggende positie |
employmentEndDate (ontslagaanvraag) | Verwijderen uit de HR-bron | |
login (Okta) | talentechIdEmail |
Gerelateerd
Recruitee → Talentech
Recruitee Talentech koppeling: aangenomen kandidaten met contract op een positie in Talentech
Talentech → Active Directory
Talentech Active Directory koppeling: accounts in je eigen domein vanuit PeopleCore
Talentech → ADP iHCM
Talentech ADP iHCM koppeling: salarissen en ontslagaanvragen uit PeopleCore naar de Nederlandse ADP-payroll
Talentech → AFAS Profit
Talentech AFAS koppeling: medewerkers, contracten en salarissen uit Talentech PeopleCore in AFAS