Identity en access management
Workday Entra ID koppeling: Microsoft-accounts voor Nederland vanuit globaal HR
Met een koppeling tussen Workday en Microsoft Entra ID krijgt elke nieuwe Nederlandse collega in Workday automatisch een Microsoft-account met groepen en licentie, en past dat account zich aan bij een nieuwe functie. Een vertrek dat al weken in Workday staat, blokkeert het account precies op de laatste dag, zonder dat lokale IT eraan hoeft te denken.
Wat de koppeling doet
Organisaties die alle medewerkers in Workday beheren maar in Nederland een eigen Microsoft-tenant hebben, laten lokale IT accounts met de hand aanmaken op basis van een export of mail. Een uitdiensttreding die al weken in Workday staat, bereikt Entra ID pas als iemand eraan denkt.
- HR rondt in Workday een indiensttreding af voor de Nederlandse vestiging.
- KoppelHet bedenkt met de afgesproken naamgevingsregels het e-mailadres, en gebruikt de roepnaam als die in Workday staat.
- Voor de startdatum staat het Microsoft-account klaar, met leidinggevende en de groepen van bedrijf, locatie en functie.
- Als jullie dat willen, gaat het nieuwe e-mailadres terug naar Workday, zodat ook andere Workday-koppelingen het juiste adres kennen.
- Een functiewissel werkt gegevens en groepen bij op de ingangsdatum. Na een vertrek wordt de aanmelding op de laatste dag geblokkeerd en vervalt de licentie later.
Waar je op let bij Workday en Microsoft Entra ID
- Workday nummert medewerkers en externe krachten in aparte reeksen. Een nummer is daardoor niet vanzelf uniek over beide heen. KoppelHet legt het soort medewerker vast in Entra ID en voorkomt dat twee personen op hetzelfde account uitkomen.
- Workday is vaak voor de hele wereld ingericht, terwijl deze Microsoft-omgeving alleen Nederland bedient. KoppelHet neemt alleen medewerkers mee die bij deze omgeving horen.
- Een vertrek met een datum in de toekomst staat al in Workday voordat het ingaat. KoppelHet zet die datum in Entra ID en blokkeert het account op de dag zelf.
- Microsoft levert ook een eigen Workday-koppeling voor Entra ID, die het e-mailadres terug kan schrijven. KoppelHet gebruikt voor die terugschrijfstap dezelfde Workday-functies, als jullie dat willen.
- Workday toont de roepnaam als die bestaat, en anders de officiële naam. In Teams en Outlook staat de roepnaam; de officiële naam blijft in Workday voor contracten en salaris.
- Afdelingsnamen in Workday zijn vaak lang en bevatten codes. Entra ID staat maximaal 64 tekens toe, dus een vertaaltabel zet ze om naar de naam die collega's herkennen.
- De koppeling mag in Workday alleen medewerker-, organisatie- en contactgegevens zien. Salaris en bankgegevens vallen erbuiten.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Waarom niet de Workday-koppeling van Microsoft zelf?
Die kan een prima keuze zijn. KoppelHet past beter als je Nederlandse naamgevingsregels, groepen en licenties uit Workday wilt afleiden, of als dezelfde Workday-gegevens ook naar andere systemen gaan.
Krijgen externe krachten ook een account?
Als jullie dat willen. Ze zijn in Entra ID herkenbaar als extern, zodat IT hun toegang apart kan regelen.
Wat als Workday alleen op het hoofdkantoor wordt beheerd?
Dat is gebruikelijk. De Nederlandse IT hoeft Workday niet aan te passen; wel moet het hoofdkantoor een koppelgebruiker met de juiste rechten aanmaken.
Hoe gaan jullie om met een hybride omgeving?
Staan de accounts in Active Directory in het eigen netwerk, dan schrijft KoppelHet naar Active Directory en neemt Microsoft het over naar Entra ID.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Workday wordt gelezen via Workday Web Services (Get_Workers) of een RaaS-rapport, op afgeronde business processes (Hire, Change Job, Terminate) en wijzigingsdatum, met een Integration System User met alleen de security domains voor worker-, organisatie- en contactgegevens. Employee_ID en Contingent_Worker_ID zijn aparte reeksen.
- Naar Entra ID schrijven we via Microsoft Graph. employeeId (maximaal 16 tekens), givenName en surname (Preferred_Name_Data, anders Legal_Name_Data), userPrincipalName, mailNickname (verplicht bij aanmaken), jobTitle (Business_Title), department (maximaal 64 tekens), manager, employeeType, employeeHireDate, usageLocation, employeeLeaveDateTime en accountEnabled.
- employeeLeaveDateTime vereist het Graph-recht User-LifeCycleInfo.ReadWrite.All. Terugschrijven naar Workday via Change_Work_Contact_Information en Update_Workday_Account, net als de Workday-app van Microsoft.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Workday | Veld in Microsoft Entra ID | Toelichting |
|---|---|---|
Employee_ID / Contingent_Worker_ID | employeeId | Maximaal 16 tekens in Entra ID |
Preferred_Name_Data (anders Legal_Name_Data) | givenName en surname | |
Naamgevingsregel | userPrincipalName en mailNickname | mailNickname is verplicht bij het aanmaken |
Business_Title | jobTitle | |
Supervisory organization | department | Maximaal 64 tekens in Entra ID; lange namen via een vertaaltabel |
Manager uit de supervisory organization | manager | |
Worker type | employeeType | Bijvoorbeeld Employee of Contractor |
Hire_Date | employeeHireDate | |
Land van de locatie | usageLocation | |
Termination_Date | employeeLeaveDateTime en accountEnabled = false |
Gerelateerd
Ashby → Workday
Ashby Workday koppeling: aannames naar Workday, met controle op uitkomst en telefoonnummer
Bullhorn → Workday
Bullhorn Workday koppeling: eerste plaatsing van een consultant als indiensttreding in Workday
Carerix → Workday
Carerix koppelen met Workday: geplaatste kandidaat wordt pre-hire en start de indiensttreding
Greenhouse → Workday
Greenhouse koppelen met Workday: aannames als pre-hire, ook voor interim-krachten en contractors