Identity en access management
Workday Active Directory koppeling: accounts, mappen en groepen automatisch
Met een koppeling tussen Workday en Active Directory krijgt een nieuwe Nederlandse collega in Workday automatisch een account in Active Directory, in de juiste map en met de groepen die bij bedrijf, locatie en functie horen. Een verhuizing of vertrek gaat in op de datum uit Workday, en via Microsoft komt alles ook in Entra ID.
Wat de koppeling doet
Organisaties die medewerkers centraal in Workday beheren en lokaal nog een eigen Active Directory hebben, laten de servicedesk accounts aanmaken op basis van een lijst uit Workday en ze met de hand in de juiste map en groepen zetten. Na een reorganisatie lopen functies en afdelingen in Active Directory achter op Workday.
- IT installeert eenmalig een klein programma van KoppelHet op een server in het domein.
- HR rondt in Workday een indiensttreding af voor het Nederlandse bedrijf.
- Het account staat daarna in Active Directory in de map van bedrijf of locatie, met functie, personeelsnummer en leidinggevende.
- De groepen volgen uit bedrijf, locatie en functie. Via Microsoft komt het account in Entra ID, waar licenties via groepen worden toegekend.
- Verhuist iemand naar een andere locatie, dan verhuist het account mee. Na een vertrek wordt het account op de laatste dag uitgeschakeld.
Waar je op let bij Workday en Active Directory
- KoppelHet zet naast het account ook het groepslidmaatschap in Active Directory, op basis van bedrijf, locatie en functie in Workday.
- Een naam uit Workday is vaak langer dan de 20 tekens die een gebruikersnaam in Active Directory mag hebben. De naamgevingsregel kort in en controleert of de naam al bestaat voordat het account wordt aangemaakt.
- Wijzigingen in Workday hebben een ingangsdatum. Een verhuizing per de eerste van de maand wordt pas op die datum een verplaatsing naar een andere map, niet op de dag dat HR het invoert.
- Het werk-e-mailadres bestaat pas als Microsoft het account naar Entra ID heeft overgezet. Moet het adres terug naar Workday, dan doet KoppelHet dat daarna en niet direct na het aanmaken.
- Workday is vaak voor de hele wereld ingericht, en een concern kan meerdere domeinen hebben. Per bedrijf of land leggen we vast in welk domein en welke map een medewerker hoort.
- Een vertrek staat vaak al weken voor de laatste dag in Workday. KoppelHet zet die datum direct als vervaldatum op het account, zodat het na die dag niet meer werkt, ook als het uitschakelen later volgt.
- Externe krachten staan in Workday met een eigen nummerreeks. We zetten ze in een aparte map, zodat de regels voor externen los staan van die voor medewerkers.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Heeft het programma beheerrechten op het hele domein nodig?
Nee. Het krijgt alleen rechten op de mappen en groepen die de koppeling beheert.
Wat gebeurt er met accounts van collega's buiten Nederland?
Die laat de koppeling met rust, tenzij we afspreken dat ze erbij horen. Het bedrijf of land in Workday bepaalt welke medewerkers de koppeling meeneemt.
Kunnen we later naar alleen Entra ID?
Ja. Dan schrijven we rechtstreeks naar Entra ID en is het programma in jullie netwerk niet meer nodig. Naamgeving en groepsregels nemen we mee.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Workday wordt gelezen via Workday Web Services (Get_Workers) of een RaaS-rapport, op afgeronde Hire-, Change Job- en Terminate-processen en wijzigingsdatum. Velden onder meer Employee_ID, Preferred_Name_Data, Legal_Name_Data, Business_Title, supervisory organization en Termination_Date.
- Een KoppelHet-agent op een domeinserver schrijft naar AD via een uitgaande verbinding; het serviceaccount heeft alleen rechten op de beheerde organizational units (OU's) en groepen.
- AD-attributen onder meer employeeID (maximaal 16 tekens), sAMAccountName (maximaal 20 tekens, zonder speciale tekens zoals / [ ] = + * ? < >), userPrincipalName, mail, cn (maximaal 64 tekens), displayName, givenName, sn, title, department, manager (distinguished name), company en accountExpires. Entra Connect synchroniseert naar Entra ID.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Workday | Veld in Active Directory | Toelichting |
|---|---|---|
Employee_ID | employeeID | Maximaal 16 tekens; koppelsleutel tussen Workday en AD |
Naamgevingsregel | sAMAccountName | Maximaal 20 tekens, zonder tekens als / [ ] : ; | = , + * ? < > |
Naamgevingsregel | userPrincipalName en mail | |
Preferred_Name_Data | cn en displayName | cn is maximaal 64 tekens |
Legal_Name_Data | givenName en sn | |
Business_Title | title | |
Supervisory organization | department | |
Manager uit de supervisory organization | manager | Als distinguished name van het account van de manager |
Company en locatie | company en OU | |
Termination_Date | accountExpires en uitschakelen |
Gerelateerd
Ashby → Workday
Ashby Workday koppeling: aannames naar Workday, met controle op uitkomst en telefoonnummer
Bullhorn → Workday
Bullhorn Workday koppeling: eerste plaatsing van een consultant als indiensttreding in Workday
Carerix → Workday
Carerix koppelen met Workday: geplaatste kandidaat wordt pre-hire en start de indiensttreding
Greenhouse → Workday
Greenhouse koppelen met Workday: aannames als pre-hire, ook voor interim-krachten en contractors