Identity en access management
Workday Okta koppeling: identiteiten vanuit HR, met eigen regels voor Nederland
Met een koppeling tussen Workday en Okta staat elke nieuwe Nederlandse collega uit Workday automatisch in Okta, klaar om op de eerste werkdag in te loggen, met functie, afdeling, personeelsnummer en leidinggevende. Okta geeft daarna toegang tot de juiste apps, en bij vertrek gaat die toegang op de laatste werkdag dicht, volgens de Nederlandse regels in plaats van die van het hoofdkantoor.
Wat de koppeling doet
Wie Workday als HR-systeem en Okta als identity-platform voor meerdere landen gebruikt, heeft de standaard Workday-app in Okta vaak ingericht op het hoofdkantoor. Afwijkende naamgevingsregels en uitzonderingen voor Nederland worden dan met de hand in Okta rechtgezet.
- HR rondt in Workday een indiensttreding af.
- KoppelHet bedenkt inlognaam en e-mailadres met de afgesproken naamgevingsregels en zet de gebruiker klaar in Okta, nog zonder dat die kan inloggen.
- Op de eerste werkdag wordt de gebruiker actief. De groepen van bedrijf, locatie en functie bepalen welke apps Okta toekent.
- Een functiewissel werkt gegevens en groepen bij op de ingangsdatum. Bij langdurig verlof kan het account tijdelijk worden geschorst.
- Na een vertrek wordt de gebruiker op de laatste werkdag gedeactiveerd, of direct bij een ontslagreden waarvoor dat is afgesproken.
Waar je op let bij Workday en Okta
- Okta heeft een eigen Workday-koppeling. Die neemt alleen medewerkers mee bij wie eerste werkdag en datum in dienst zijn ingevuld, en eigen rapporten importeren is daarin verouderd. KoppelHet leest zelf een rapport uit Workday, zodat filters en uitzonderingen voor Nederland in Workday te beheren blijven.
- Een gebruiker die in Okta klaarstaat maar nog niet actief is, kan niet inloggen. KoppelHet zet nieuwe collega's zo al klaar zodra de indiensttreding is afgerond, en maakt ze pas op de eerste werkdag actief.
- Okta kan elk gegeven uit een ander systeem halen. Draait de Workday-koppeling van Okta voor andere landen, dan leggen we per gegeven vast welke koppeling de bron is, zodat ze elkaar niet overschrijven.
- Een vertrek kan in Workday weken voor de laatste werkdag zijn afgerond. KoppelHet deactiveert pas op die dag, behalve bij ontslagredenen waarvoor jullie direct blokkeren hebben afgesproken, zoals ontslag op staande voet.
- Okta kan een account ook schorsen in plaats van deactiveren. Langdurig ziekteverlof in Workday kan zo'n schorsing opleveren, zodat groepen en apps bewaard blijven voor de terugkeer.
- Nederlandse achternamen met een tussenvoegsel, zoals van der Berg, staan in Workday vaak in één veld. Voor de inlognaam volgen we jullie Nederlandse afspraak, bijvoorbeeld zonder spaties, terwijl de achternaam in Okta blijft zoals Workday hem toont.
- Okta geeft de toegang door aan apps zoals Microsoft 365 of Slack. KoppelHet schrijft alleen naar Okta, zodat Okta de enige plek blijft waar toegang wordt bepaald.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Waarom niet gewoon de Workday-koppeling van Okta?
Als die past, adviseren we hem. KoppelHet komt in beeld als Nederland eigen regels heeft voor naamgeving, uitzonderingen of extra bronnen, die je niet in Okta wilt onderhouden.
Kan het e-mailadres terug naar Workday?
Ja. KoppelHet kan het werkadres uit Okta als werk-e-mailadres in Workday zetten.
Wat gebeurt er met externen die niet in Workday staan?
Die beheert IT zelf in Okta. De koppeling raakt alleen gebruikers aan die ze zelf heeft aangemaakt of aan een medewerker in Workday heeft gekoppeld.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Workday wordt gelezen via een RaaS-rapport of Workday Web Services met een Integration System User, op afgeronde business processes (Hire, Change Job, Terminate, Leave of Absence). Okta's eigen Workday-app vereist First Day of Work en Hire Date; import via custom reports is daarin deprecated.
- Naar Okta schrijven we via de Okta Users API, met aanmaken zonder activatie (status STAGED), activeren, SUSPENDED of DEACTIVATED. Profielattributen onder meer employeeNumber, firstName, lastName, login, email, title, department, managerId, manager, organization, costCenter en userType; profile sourcing per attribuut.
- Toegang via een Okta service app met OAuth 2.0 en alleen de scopes voor gebruikers en groepen, geen super-admin. Het werk-e-mailadres gaat terug naar de worker in Workday via het business process voor contactgegevens.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Workday | Veld in Okta | Toelichting |
|---|---|---|
Employee_ID of Contingent_Worker_ID | employeeNumber | |
Preferred name (voornaam) | firstName | |
Preferred name (achternaam) | lastName | |
Naamgevingsregel | login en email | |
Business title | title | |
Supervisory organization | department | Via een vertaaltabel naar een leesbare afdelingsnaam |
Manager (Employee_ID) | managerId en manager | |
Company | organization | |
Cost center | costCenter | |
Worker type | userType |
Gerelateerd
Ashby → Workday
Ashby Workday koppeling: aannames naar Workday, met controle op uitkomst en telefoonnummer
Bullhorn → Workday
Bullhorn Workday koppeling: eerste plaatsing van een consultant als indiensttreding in Workday
Carerix → Workday
Carerix koppelen met Workday: geplaatste kandidaat wordt pre-hire en start de indiensttreding
Greenhouse → Workday
Greenhouse koppelen met Workday: aannames als pre-hire, ook voor interim-krachten en contractors