Identity en access management
UKG Pro SailPoint koppeling: UKG Pro Core HCM als gezaghebbende bron in Identity Security Cloud
SailPoint heeft een eigen SaaS-connector voor UKG Pro Core HCM, die medewerkers uit UKG Pro als gezaghebbende bron inleest, ook toekomstige aannames en vertrekkers als je dat instelt. Met een koppeling tussen UKG Pro en SailPoint sturen statussen, organisatieniveaus en manager uit UKG dus de rollen en het intrekken van toegang; KoppelHet richt de serviceaccount en de filters in en bewaakt de aggregaties.
Wat de koppeling doet
Organisaties die UKG Pro gebruiken voor HR en salaris en SailPoint Identity Security Cloud voor toegangsbeheer, laten de standaardinstelling van de connector vaak staan. Die leest alleen actieve medewerkers, zodat een nieuwe collega pas na zijn startdatum in SailPoint verschijnt en een vertrekker gewoon verdwijnt in plaats van een einddatum te krijgen.
- In UKG Pro maakt de beheerder een web service account met alleen de rollen die de connector nodig heeft.
- In SailPoint richten we de UKG Pro Core HCM-bron in met de basis-URL, het serviceaccount en de Customer API Key.
- We stellen in welke statussen, toekomstige aannames en vertrekkers de connector meeneemt, en zetten delta-aggregatie aan.
- In het identity profile van SailPoint bepalen we de lifecycle states op status, datum in dienst en einddatum.
- Na elke aggregatie vergelijkt KoppelHet het aantal medewerkers met UKG Pro en meldt afwijkingen.
Waar je op let bij UKG Pro en SailPoint
- Zonder extra instelling haalt de UKG-connector van SailPoint alleen medewerkers met de status Active op. Verlof, staking, ontslag wegens reorganisatie en schorsing voeg je zelf toe. Beëindigde medewerkers horen niet in die lijst maar hebben een eigen schakelaar. KoppelHet zet die keuzes vast met jullie HR, zodat een collega met langdurig verlof niet plotseling uit SailPoint valt.
- De status Active moet in de lijst met statussen blijven staan. Haal je hem weg, dan faalt de aggregatie met een validatiefout. Bij het aanpassen van de filters controleert KoppelHet daarom eerst de bronconfiguratie voordat het aggregatieschema weer loopt.
- Toekomstige aannames haalt de connector pas op als je dat aanzet, met een optioneel aantal dagen voor de startdatum. KoppelHet kiest dat aantal zo dat laptop en accounts op tijd klaarstaan, maar een kandidaat die maanden vooruit is aangenomen nog geen identiteit krijgt.
- Voor beëindigde medewerkers kun je een termijn in dagen terug opgeven, of het veld leeg laten voor alle vertrekkers ooit. Leeg laten maakt de eerste aggregatie van een organisatie met jaren historie onnodig groot. KoppelHet stelt een termijn in die past bij de bewaartermijn van accounts in SailPoint.
- Het serviceaccount in UKG Pro krijgt per web service een eigen rol. Voor het lezen van medewerkers volstaat View op de Employee Export Web Service; voor eigen velden, dienstverbanden en platformvelden komt View op de Personnel Integration Web Service erbij, en voor terugschrijven ook Add. KoppelHet geeft alleen de rollen voor wat jullie echt gebruiken.
- Terugschrijven naar UKG loopt via de import-API van UKG, die een wijziging eerst in een wachtrij zet. Duurt dat langer dan de standaardwachttijd van tien seconden, dan meldt SailPoint de update als mislukt terwijl UKG hem later toch verwerkt. KoppelHet verhoogt die wachttijd in de bronconfiguratie en controleert de uitkomst in UKG.
- De connector werkt alleen met de Core HCM-module van UKG Pro en alleen met een gebruikersnaam, wachtwoord en Customer API Key. Gegevens uit andere UKG-producten, zoals roosters uit UKG Pro Workforce Management, komen niet via deze bron. Zijn die nodig voor rollen, dan levert KoppelHet ze apart aan.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
SailPoint heeft al een UKG Pro-connector. Wat doet KoppelHet dan?
Het serviceaccount en de rollen in UKG inrichten, de filters voor statussen, aannames en vertrekkers afstemmen met HR, de lifecycle states instellen en de aggregaties bewaken.
Komt een nieuwe collega al voor de startdatum in SailPoint?
Ja, als de optie voor toekomstige medewerkers aan staat. Met het aantal dagen vooraf bepalen we hoe vroeg.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- SailPoint UKG Pro Core HCM SaaS-connector: full, single en delta aggregation, aggregatie van toekomstige aannames, beëindigingen en extra statussen, eigen velden (user defined) en platformvelden, update account. Verbinding met basis-URL (https://….ultipro.com, alleen HTTPS), Basic Authentication met Service Account Username, Password en Customer API Key; Page Size standaard en maximaal 200; aggregatietime-out in seconden.
- Rechten van het web service account in UKG (System Configuration > Security > Service Account Administration): View op Company Configuration Integration (test en organisatiedetails), View op Employee Export (aggregatie), View op Personnel Integration (dienstverband, eigen velden, platformvelden), View en Add op Personnel Integration voor provisioning. Wachttijd voor de import-API via het bronattribuut conProvResultPollTimeout (standaard 10 seconden).
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in UKG Pro | Veld in SailPoint | Toelichting |
|---|---|---|
employeeId | Account ID | Mag volgens SailPoint niet wijzigen |
firstName, lastName, preferredName | Voornaam, achternaam en roepnaam van de identiteit | |
emailAddress | E-mail | |
employeeStatus, isActive | Lifecycle state | |
hireDate, terminationDate | Start- en einddatum (lifecycle state) | |
orgLevel1Code tot orgLevel4Code | Afdeling en organisatie voor rollen | |
jobCode, workLocationCode, countryCode | Functie, locatie en land | |
supervisorId | Manager | Verwijst naar de employeeId van de supervisor |
employeeType, fullTimeOrPartTime | Soort medewerker |
Gerelateerd
Recruitee → UKG Pro
Recruitee UKG Pro koppeling: Europese aannames via de Global New Hire-service in UKG Pro
Teamtailor → UKG Pro
Teamtailor UKG Pro koppeling: Europese aannames als global new hire
UKG Pro → Active Directory
UKG Pro koppelen met Active Directory: domeinaccounts voor de Nederlandse vestiging
UKG Pro → ADP iHCM
UKG Pro ADP iHCM koppeling: salaris en uitdiensttreding van de Nederlandse paygroup naar ADP