Identity en access management
UKG Pro Ping Identity koppeling: PingOne-gebruikers en populaties vanuit UKG Pro
Met een koppeling tussen UKG Pro en Ping Identity wordt elke medewerker uit UKG Pro een gebruiker in PingOne, in de populatie van zijn land en met functie en supervisor, en wordt hij uitgeschakeld op de einddatum uit UKG. PingOne kent als inkomende HR-bron alleen Workday; KoppelHet leest UKG Pro binnen het tijdschema van UKG en schrijft via de SCIM-API die Ping voor import aanraadt.
Wat de koppeling doet
Organisaties met UKG Pro als HR-systeem en PingOne voor aanmelden en MFA zetten medewerkers vaak via een CSV-import in PingOne. Nederlandse collega's komen dan in de Amerikaanse standaardpopulatie terecht, met het verkeerde wachtwoordbeleid, en een vertrek wordt pas bij de volgende import verwerkt.
- In UKG Pro maakt de beheerder een serviceaccount met View op de Employee Export-webservice.
- In PingOne komt een Worker-app met de rol Identity Data Admin en een eigen attribuut voor de supervisor.
- Met jullie leggen we vast welke landen naar welke populatie gaan.
- Bij livegang koppelen we bestaande PingOne-gebruikers aan hun employeeId.
- Daarna leest KoppelHet elke drie uur de wijzigingen en schakelt vertrekkers op hun einddatum uit.
Waar je op let bij UKG Pro en Ping Identity
- PingOne kent als inkomende bron een LDAP-gateway, SCIM en Workday. Voor het importeren van gebruikers raadt Ping de SCIM Users-API aan, niet de SCIM-verbinding voor provisioning. KoppelHet gebruikt die API voor UKG Pro, waarvoor geen eigen ingang bestaat.
- UKG raadt aan de wijzigingsaanroep hooguit acht keer per dag te gebruiken, met minstens drie uur ertussen. KoppelHet leest dus elke drie uur, maar schakelt een vertrekker die al vooruit in UKG stond zelf uit op de einddatum, niet pas bij de volgende ronde.
- UKG levert een countryCode per medewerker. KoppelHet zet elke gebruiker in de PingOne-populatie van zijn land, zodat wachtwoord- en MFA-beleid per land kunnen verschillen. Ontbreekt het land, dan houdt KoppelHet de medewerker tegen in plaats van hem in de standaardpopulatie te laten belanden.
- Bij een herindiensttreding houdt UKG een dateOfLastHire bij naast de oorspronkelijke datum. KoppelHet zoekt in PingOne eerst op externalId en schakelt een bestaande gebruiker weer in, zodat de terugkerende collega zijn MFA-registratie houdt.
- UKG geeft naast de officiële voornaam een preferredName. PingOne heeft daarvoor nickName, dat Ping niet als gebruikersnaam wil zien. KoppelHet zet de roepnaam daar en bouwt de gebruikersnaam apart uit de naamgevingsregel.
- PingOne neemt per gebruiker maar één e-mailadres aan, terwijl UKG een emailAddress en een alternateEmailAddress kent. KoppelHet zet alleen het zakelijke emailAddress in PingOne, zodat herstelmails niet naar een privéadres gaan.
- PingOne geeft via SCIM hooguit tweehonderd gebruikers terug, zonder volgende pagina. KoppelHet vergelijkt daarom per medewerker op externalId en niet met een volledige lijst, zodat een groot concern niet stil buiten de vergelijking valt.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Waarom niet elk kwartier?
UKG vraagt minstens drie uur tussen aanroepen van de wijzigingsdienst. Vertrek op een vooruit ingevoerde datum verwerkt KoppelHet toch op de dag zelf.
Wordt een vertrekker verwijderd uit PingOne?
Nee, de gebruiker wordt uitgeschakeld. Verwijderen blijft een keuze van IT.
Kunnen Nederlandse medewerkers een ander MFA-beleid krijgen?
Ja, via hun eigen populatie in PingOne, die KoppelHet uit het land in UKG bepaalt.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- UKG Pro Personnel API: GET {hostname}/personnel/v1/employee-changes met Basic-aanmelding en US-CUSTOMER-API-KEY, page en per_page (maximaal 200), minimaal drie uur tussen aanroepen; velden employeeId, firstName, lastName, preferredName, emailAddress, alternateEmailAddress, jobCode, supervisorId, countryCode, isActive, hireDate, dateOfLastHire en terminationDate.
- PingOne via een Worker-app met de rol Identity Data Admin: SCIM /v2/Users met externalId, userName, één e-mailwaarde, nickName, title, active en population.id in de PingOneUser-extensie; lijsten tot 200 zonder paginering; populatie wijzigen via PUT /users/{id}/population; supervisor als eigen attribuut van het type string.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in UKG Pro | Veld in Ping Identity | Toelichting |
|---|---|---|
employeeId | externalId | |
firstName, lastName | name.givenName, name.familyName | |
preferredName | nickName | |
Naamgevingsregel | userName | |
emailAddress | emails (één waarde) | |
jobCode (omschrijving) | title | |
countryCode | population.id | |
supervisorId | Supervisor (eigen attribuut) | |
isActive, hireDate, dateOfLastHire, terminationDate | active (enabled) |
Gerelateerd
Recruitee → UKG Pro
Recruitee UKG Pro koppeling: Europese aannames via de Global New Hire-service in UKG Pro
Teamtailor → UKG Pro
Teamtailor UKG Pro koppeling: Europese aannames als global new hire
UKG Pro → Active Directory
UKG Pro koppelen met Active Directory: domeinaccounts voor de Nederlandse vestiging
UKG Pro → ADP iHCM
UKG Pro ADP iHCM koppeling: salaris en uitdiensttreding van de Nederlandse paygroup naar ADP