Identity en access management
Visma Peple Ping Identity koppeling: PingOne-gebruikers per school en contract uit Peple
Met een koppeling tussen Visma Peple en Ping Identity krijgt elke medewerker uit Peple een PingOne-gebruiker in de populatie van zijn bedrijf, met een groep per organisatie-eenheid uit zijn contracten. Een invaller staat alleen aan in PingOne zolang zijn vervanging loopt, en na de einddatum van het laatste contract zet KoppelHet de gebruiker uit.
Wat de koppeling doet
Organisaties die Visma Peple voor HR en salaris gebruiken en PingOne als inlogomgeving, zetten nieuwe collega's en invallers nu met de hand in PingOne. Wie op een tweede school gaat werken, mist daar de applicaties, en een invaller blijft vaak ingeschakeld nadat de vervanging is afgelopen.
- KoppelHet krijgt via Visma Connect leesrechten op de Reporting API van Peple, en in PingOne komt een Worker-app met de rol Identity Data Admin.
- KoppelHet start de exports van medewerkers, contracten, organisatie-eenheden en vervangingen en verwerkt ze zodra Peple meldt dat ze klaarstaan.
- Een nieuwe medewerker wordt een PingOne-gebruiker in de populatie van zijn bedrijf, ingeschakeld vanaf de begindatum van zijn contract of vervanging.
- KoppelHet zet de gebruiker in de groep van elke organisatie-eenheid waar hij een lopend contract heeft, en haalt hem uit een groep als dat contract stopt.
- Na de laatste contract- of vervangingsdatum zet KoppelHet de gebruiker uit en verwijdert hem na de afgesproken termijn.
Waar je op let bij Visma Peple en Ping Identity
- Peple heeft naast de Reporting API ook een eigen IAM API. Die is volgens Peple bedoeld voor accounts en rechten in Visma.net zelf en voor inloggen, niet om een andere directory te vullen. KoppelHet leest daarom de Reporting API en schrijft de PingOne-gebruikers zelf.
- Een Peple-export wordt eerst gestart en komt later klaar. De API accepteert een openbaar terugbeladres dat Peple aanroept als het bestand gereed is. KoppelHet geeft dat adres mee, zodat een wijziging in Peple zonder wachtrondes in PingOne aankomt.
- Wordt in Peple een subcontract verwijderd, dan geeft de export een zogeheten spookregel met alleen de medewerker en de ID's. KoppelHet herkent zo'n regel en haalt de gebruiker alleen uit de groep van die eenheid in PingOne, in plaats van hem helemaal uit te zetten.
- Een medewerker met contracten op twee scholen hoort in PingOne bij precies één populatie, maar kan in meer groepen zitten. KoppelHet kiest de populatie op het bedrijf uit Peple en maakt van elke eenheid met een lopend contract een groep, zodat beide scholen hun applicaties via groepen toewijzen.
- De SCIM-ingang van PingOne beheert geen groepen en geeft hooguit 200 gebruikers terug, zonder vervolgpagina. KoppelHet beheert de groepen per eenheid via de Platform API van PingOne en zoekt een gebruiker gericht op personeelsnummer op, in plaats van lijsten te vergelijken.
- Peple geeft naast het zakelijke adres ook een privéadres en andere adressen, terwijl PingOne per gebruiker één e-mailwaarde aanneemt. KoppelHet vraagt de scope voor contactgegevens niet aan en stuurt alleen het zakelijke adres, zodat een wachtwoordreset nooit naar een privémailbox gaat.
- Peple markeert per medewerker of hij leidinggevende is. KoppelHet houdt in PingOne een groep leidinggevenden bij op dat kenmerk, zodat applicaties voor goedkeuren of beoordelen alleen openstaan voor wie in Peple als leidinggevende staat.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Kan PingOne de IAM API van Peple gebruiken?
Die API beheert accounts in Visma.net zelf. Inloggen op Peple via PingOne kan later als uitbreiding; deze koppeling vult PingOne vanuit de Reporting API.
Wat gebeurt er met een invaller zonder eigen contract?
KoppelHet gebruikt de vervangingsexport met begin- en einddatum. Hoe invallers bij jullie in Peple staan, kijken we in de intake na.
Gaan er salaris- of BSN-gegevens naar PingOne?
Nee. KoppelHet vraagt de scopes voor contact- en belastinggegevens niet aan.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Peple via de Visma.net HRM & Payroll Reporting API (HRM Analytics Public Api, Visma Connect client credentials): POST /v1/command/nl/hrm/... met optioneel callbackAddress, resultaat via GET /v1/query/nl/hrm/.../{jobId}; incrementeel met changeTimestampAfter en changeTimestampBefore; twee volledige refreshes per endpoint per tenant per 24 uur; spookregels voor verwijderde (sub)contracten; datums in UTC; 503 met Retry-After tijdens onderhoud op zaterdagavond. Velden onder meer employeeid, companyid, ismanager, businessemailaddress, orgunit, subcontractid, enddate en de vervangingsexport.
- PingOne via een Worker-app met de rol Identity Data Admin: gebruikers via de SCIM API (population per bedrijf, externalId, één e-mailwaarde, active gekoppeld aan enabled; lijsten maximaal 200 zonder paginering; /v2/Groups geeft 501), groepen en lidmaatschappen via de PingOne Platform API.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Visma Peple | Veld in Ping Identity | Toelichting |
|---|---|---|
employeeid | externalId | Vaste sleutel, verandert niet |
Naamgevingsregel | username | |
nickname of firstname | name.given | |
Achternaam en partnername volgens nameusage | name.family | |
businessemailaddress of naamgevingsregel | email | Nooit homeemailaddress |
companyid | population.id | |
orgunit per lopend contract | Groepslidmaatschap (Platform API) | |
ismanager | Groep leidinggevenden | |
Contract- en vervangingsdatums | enabled |
Gerelateerd
Visma Peple → Active Directory
Visma Peple Active Directory koppeling: accounts vanuit Peple HRM & Payroll
ASVisma Peple → Arbodienst (SIVI)
Visma Peple arbodienst koppeling via SIVI: ziek- en herstelmeldingen uit Peple naar de arbodienst
Visma Peple → Microsoft Entra ID
Visma Peple Entra ID koppeling: Microsoft-accounts vanuit Peple HRM & Payroll
Visma Peple → Exact Online
Visma Peple Exact Online koppeling: kostenplaatsen klaar in Exact en medewerkerswijzigingen op een werklijst