Identity en access management
Visma YouServe Okta koppeling: medewerkers uit de salarisservice als Okta-gebruikers, per werkgever
Met een koppeling tussen Visma YouServe en Okta wordt elke nieuwe medewerker uit YouServe een Okta-gebruiker met afdeling, functie, werkgever en leidinggevende, en wordt de gebruiker na de datum uit dienst gedeactiveerd. Omdat Okta geen eigen HR-koppeling met YouServe heeft, levert KoppelHet de medewerkers aan als eigen HR-bron in Okta en zet het zakelijke e-mailadres terug in YouServe.
Wat de koppeling doet
Groepen met meerdere werkgevers die de salarisverwerking via Visma YouServe laten doen en Okta gebruiken als inlog voor Microsoft 365 en bedrijfsapplicaties, maken Okta-gebruikers aan op basis van een mail van HR. Wie overstapt naar een zusterbedrijf, houdt het oude e-mailadres en de groepen van de vorige werkgever.
- HR voert in YouServe een nieuwe medewerker in, met werkgever, afdeling en functie.
- KoppelHet haalt de wijzigingen op, vergelijkt ze met de vorige stand en kiest per persoon één dienstverband als basis.
- KoppelHet levert de medewerker aan Okta, met een gebruikersnaam en e-mailadres op het domein van de werkgever, en met de groepen van werkgever en afdeling.
- Het zakelijke e-mailadres gaat terug naar YouServe, zodat het in de HR-administratie klopt.
- Na de datum uit dienst van het laatste dienstverband deactiveert Okta de gebruiker.
Terug: Zakelijk e-mailadres
Waar je op let bij Visma YouServe en Okta
- In de Okta-catalogus staat geen HR-koppeling voor YouServe. KoppelHet richt in Okta een eigen HR-bron in voor YouServe. Okta behandelt die medewerkers daarna als bronbeheerde gebruikers, die IT niet met de hand kan aanpassen.
- YouServe beheert vaak meerdere werkgevers in één omgeving. Okta kent één gebruiker per persoon. Stapt iemand over naar een zusterbedrijf, dan blijft het dezelfde Okta-gebruiker, maar wisselen e-maildomein en werkgeversgroep op de ingangsdatum.
- Heeft iemand in YouServe twee dienstverbanden, dan zijn dat twee records met dezelfde persoonscode. KoppelHet kiest per persoon het record dat bepaalt welke afdeling en functie in Okta staan, en deactiveert pas als het laatste dienstverband is gestopt.
- In YouServe hangt de leidinggevende aan de organisatie-eenheid. KoppelHet zoekt bij elke medewerker de manager van zijn eenheid op en zet die als manager in Okta. Is iemand zelf manager van die eenheid, dan krijgt hij de manager van de eenheid erboven.
- YouServe meldt zelf niet dat er iets is gewijzigd. KoppelHet vergelijkt elke ronde met de vorige stand en stuurt alleen de verschillen naar Okta. Okta verwerkt per HR-bron één aanlevering tegelijk, dus een kleine aanlevering is sneller verwerkt.
- Okta maakt de gebruikersnaam en het e-mailadres, maar YouServe moet het adres ook kennen, bijvoorbeeld voor de loonstrook in de selfservice. KoppelHet schrijft het zakelijke e-mailadres terug naar YouServe; de andere gegevens blijven in YouServe leidend.
- YouServe gaat volgens Visma verder als Youforce. Omdat de persoonscode de vaste sleutel in Okta is, blijft bij die overstap dezelfde Okta-gebruiker bestaan zolang de persoonscode gelijk blijft.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Wat gebeurt er met Okta-gebruikers die niet in YouServe staan, zoals inhuur?
Die laat de koppeling met rust. KoppelHet werkt alleen gebruikers bij die uit de YouServe-bron komen.
Wat gebeurt er met bestaande Okta-gebruikers bij de start?
Die koppelen we eenmalig aan de medewerkers in YouServe, op personeelsnummer of e-mailadres. Wat niet te koppelen is, beoordeelt IT voordat de koppeling live gaat.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- YouServe wordt gelezen met een client-ID en secret via de YouServe IAM API (medewerkers, organisatie-eenheden met manager, functieprofielen en bedrijven), vergeleken met de vorige stand. Het zakelijke e-mailadres wordt teruggeschreven naar de medewerker.
- Okta wordt gevoed via de Identity Sources API (Anything-as-a-Source): per ronde een session met importType INCREMENTAL, bulk-upsert van gebruikers (maximaal 200 profielen per aanroep, maximaal 50 aanroepen per session), groepen en memberships, en bulk-delete bij uit dienst. Bulk-delete deactiveert de gebruiker; Okta verwijdert het profiel niet. Een session die 24 uur niet wordt gebruikt, verloopt.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Visma YouServe | Veld in Okta | Toelichting |
|---|---|---|
Persoonscode | externalId en employeeNumber | Vaste sleutel; verandert niet bij een nieuw dienstverband |
Roepnaam | firstName | |
Achternaam met voorvoegsels | lastName | |
Naamgevingsregel en werkgever | login en email | Domein per werkgever |
Functieprofiel | title | |
Organisatie-eenheid | department en groep | |
Werkgever (bedrijf) | organization en groep | |
Manager van de organisatie-eenheid | managerId | |
Datum uit dienst laatste dienstverband | Deactiveren via de HR-bron | |
email (Okta) | Zakelijk e-mailadres (YouServe) |
Gerelateerd
BambooHR → Visma YouServe
BambooHR Visma YouServe koppeling: de Nederlandse vestiging automatisch naar de salarisservice
Deel → Visma YouServe
Deel Visma YouServe koppeling: alleen eigen Nederlandse werknemers naar de salarisservice
HiBob → Visma YouServe
HiBob Visma YouServe koppeling: Bob-wijzigingen met de juiste ingangsdatum bij de salarisservice
Nedap ONS → Visma YouServe
Nedap ONS Visma YouServe koppeling: goedgekeurde uren en ORT naar de salarisservice, medewerkers terug in de planning