Identity en access management
UKG Pro Okta koppeling: de Nederlandse vestiging in Okta vanuit UKG Pro
Met een koppeling tussen UKG Pro en Okta krijgt elke nieuwe medewerker uit UKG Pro een Okta-gebruiker met functie, organisatieniveau, company en leidinggevende, en gaat de toegang dicht op de einddatum. KoppelHet past daarbij de eigen regels van een Nederlandse of Europese vestiging toe voor naamgeving, vertrek en herindiensttreding.
Wat de koppeling doet
Organisaties die UKG Pro voor alle medewerkers gebruiken en Okta voor toegang, hebben de inrichting vaak gericht op het hoofdkantoor in de Verenigde Staten. Voor een Nederlandse vestiging gelden eigen naamgevingsregels en een ander moment van blokkeren, en die worden met de hand rechtgezet.
- HR legt in UKG Pro een nieuwe medewerker vast bij de Nederlandse company.
- KoppelHet haalt de wijziging op en zet de gebruiker klaar in Okta met een inlognaam volgens de Nederlandse afspraak.
- Op de startdatum wordt de gebruiker actief; groepen voor company en organisatieniveau geven de apps.
- Bij een herindiensttreding gaat de bestaande Okta-gebruiker weer aan in plaats van dat er een tweede ontstaat.
- Op de einddatum, in Nederlandse tijd, deactiveert KoppelHet de gebruiker.
Waar je op let bij UKG Pro en Okta
- KoppelHet leest UKG Pro met een apart serviceaccount met alleen leesrechten op de medewerkergegevens die de koppeling nodig heeft.
- UKG Pro heeft vier organisatieniveaus die elke organisatie zelf invult. Bij de start leggen we vast welk niveau voor Nederland de afdeling is, zodat groepen in Okta niet op het Amerikaanse niveau blijven hangen.
- Groepen per medewerkerkenmerk lopen met vier organisatieniveaus en meerdere companies snel op tot honderden groepen. KoppelHet levert alleen de groepen aan die in jullie toegangsontwerp staan.
- Bij een herindiensttreding houdt UKG Pro naast de oorspronkelijke datum een laatste datum in dienst bij. KoppelHet herkent de terugkeer en zet de bestaande Okta-gebruiker weer aan, met zijn oude inlognaam.
- UKG Pro geeft gewijzigde medewerkers hooguit om de drie uur. Omdat een einddatum meestal vooruit wordt ingevoerd, deactiveert KoppelHet op die datum zelf aan het einde van de Nederlandse werkdag, niet pas bij de volgende ronde.
- De leidinggevende van een Nederlandse medewerker werkt vaak in de Verenigde Staten. KoppelHet zoekt de Okta-gebruiker van die manager op in de hele Okta-omgeving, zodat goedkeuringen bij de juiste persoon uitkomen.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Hoe zit het met auditlogging, AVG en ons integratieplatform?
Elke actie van de koppeling staat in de auditlogging van het KoppelHet-platform, dat in de EU draait. Jullie zijn verwerkingsverantwoordelijke en KoppelHet is verwerker, onder een verwerkersovereenkomst; alleen de velden uit het ontwerp gaan over. Een bestaand integratieplatform blijft ongemoeid.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- KoppelHet leest UKG Pro via de Personnel API met een service account en de US-Customer-Api-Key: employee-changes (minimaal drie uur tussen aanroepen; onder meer employeeNumber, companyId, supervisorId, jobCode, orgLevel1Code t/m orgLevel4Code, fullTimeOrPartTime, hireDate, terminationDate) en employment-details voor lastHireDate.
- Naar Okta schrijven we via de Users API met een OAuth 2.0 service app.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in UKG Pro | Veld in Okta | Toelichting |
|---|---|---|
employeeNumber | employeeNumber | |
firstName of preferredName | firstName | |
lastName | lastName | |
Naamgevingsregel | login en email | |
jobCode (omschrijving) | title | |
orgLevel1Code t/m orgLevel4Code | department en division | Per klant vastleggen welk niveau de afdeling is |
companyId | organization | |
supervisorId | managerId en manager | |
fullTimeOrPartTime | userType | |
hireDate, lastHireDate en terminationDate | status (STAGED, ACTIVE, DEPROVISIONED) |
Gerelateerd
Recruitee → UKG Pro
Recruitee UKG Pro koppeling: Europese aannames via de Global New Hire-service in UKG Pro
Teamtailor → UKG Pro
Teamtailor UKG Pro koppeling: Europese aannames als global new hire
UKG Pro → Active Directory
UKG Pro koppelen met Active Directory: domeinaccounts voor de Nederlandse vestiging
UKG Pro → ADP iHCM
UKG Pro ADP iHCM koppeling: salaris en uitdiensttreding van de Nederlandse paygroup naar ADP