Identity en access management
Workday OneLogin koppeling: Workday als directory in OneLogin, met de connectoren van OneLogin
Met een koppeling tussen Workday en OneLogin krijgt elke nieuwe medewerker uit Workday een OneLogin-gebruiker met afdeling, functie en rollen, en verliest een vertrekker na de einddatum de toegang tot alle apps achter OneLogin. OneLogin levert daarvoor zelf twee Workday-directories; KoppelHet richt die in, regelt de status bij in- en uitdienst en vult aan waar de connectoren stoppen.
Wat de koppeling doet
Organisaties met Workday als HR-systeem en OneLogin voor single sign-on zetten de Workday-directory van OneLogin vaak snel aan, maar laten de regels voor status en vertrek open. Nieuwe gebruikers staan dan zonder status in OneLogin, en een vertrekker houdt toegang omdat geen enkele mapping op de Workday-status reageert.
- In Workday maken we een Integration System User met een eigen security group en een rapport met alle workers, beschikbaar als webservice.
- In OneLogin maken we een directory van het type Workday Custom Reports met de JSON- en XSD-adressen van dat rapport.
- KoppelHet koppelt de rapportvelden aan OneLogin-velden en maakt de eigen velden aan die OneLogin daarvoor nodig heeft.
- Mappings in OneLogin zetten een nieuwe gebruiker op actief en kennen rollen toe op afdeling en functie.
- Een mapping op de Workday-status sluit een vertrekker af, en KoppelHet controleert op de einddatum of dat ook echt is gebeurd.
Waar je op let bij Workday en OneLogin
- OneLogin heeft twee Workday-directories. Workday Custom Reports leest een rapport als webservice; de Workday Bidirectional-directory gebruikt de webservice Get_Workers en schrijft ook terug. OneLogin raadt zelf aan om gebruikers via het rapport in te lezen en de bidirectionele variant alleen voor terugschrijven te gebruiken.
- Een gebruiker die via de Workday-directory in OneLogin komt, krijgt standaard geen status. OneLogin adviseert een mapping die bij het aanmaken de status op actief zet. Zonder die mapping kan een nieuwe collega op de eerste dag niet inloggen.
- Voor vertrek beschrijft OneLogin een mapping op Workday Status gelijk aan Terminated, maar niet dat de OneLogin-gebruiker daardoor zelf wordt uitgeschakeld. KoppelHet richt die mapping in en controleert op de einddatum of de gebruiker echt geen toegang meer heeft.
- Het Workday-rapport moet volgens OneLogin minstens voornaam, achternaam, personeelsnummer en gebruikersnaam bevatten. Elk extra veld dat OneLogin moet zien, zoals afdeling of soort dienstverband, voegen we eerst aan het rapport toe en daarna als eigen veld in OneLogin.
- Terugschrijven naar Workday kan voor werkadres, werk- en privételefoon, werkadres op kantoor en chatgegevens, niet voor opleidingsgegevens. Daarvoor heeft de integratiegebruiker Get- én Put-rechten nodig en moet zijn security group in het beleid Maintain Contact Information (Web Service) staan.
- Zit een worker midden in een business process, dan lukt een gewone contactwijziging niet. OneLogin heeft daarvoor de optie Use Change Contact API, die minstens Workday-versie 30 vraagt. KoppelHet zet die aan, zodat het nieuwe werkadres ook tijdens een lopende hire in Workday komt.
- In OneLogin is de leidinggevende een OneLogin-gebruikers-id, geen Workday-nummer. KoppelHet zoekt bij elke wijziging eerst de OneLogin-gebruiker van de manager op, zodat goedkeuringen in apps achter OneLogin bij de juiste persoon uitkomen.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
OneLogin heeft al een Workday-directory. Wat doet KoppelHet dan?
Het Workday-rapport en de integratiegebruiker inrichten, de mappings voor status, rollen en vertrek maken en controleren dat een vertrekker op de einddatum echt geen toegang meer heeft.
Welke variant van de Workday-directory gebruiken we?
Custom Reports om medewerkers in te lezen, zoals OneLogin aanraadt. De bidirectionele variant alleen als het werkadres of telefoonnummer terug moet naar Workday.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- OneLogin-directory Workday Custom Reports: Workday-rapport (bijvoorbeeld All Workers, Advanced, Enable as a Web Service) via https://<tenant>.workday.com/ccx/service/customreport2/<tenant>/<rapport>?format=json en ?xsd; mapping op de pagina Directory Attributes; eerste lading met Synchronize Users (Force).
- OneLogin-directory Workday Bidirectional: Get_Workers voor het schema, Update Contact en Change Work Contact Information (Web Service) voor terugschrijven; API-gebruiker als username@tenant; Integration System Security Group (Unconstrained) met Get op Worker Data: Public Worker Reports en Get en Put op de contactdomeinen; verplichte mappings worker_id naar external_id, primary_work_email naar email en user_id naar username.
- KoppelHet controleert via de OneLogin API v2 (OAuth 2.0 client credentials) de status van gebruikers op de einddatum en zoekt manager_user_id op.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Workday | Veld in OneLogin | Toelichting |
|---|---|---|
Employee ID (worker_id) | external_id | Vaste sleutel, ook na een naamswijziging |
Legal First Name, Legal Last Name | firstname, lastname | |
Primary Work Email | email | |
User Name (user_id) | username | |
Business Title | title | |
Supervisory Organization | department | Basis voor rollen via mappings |
Manager | manager_user_id | OneLogin-id van de leidinggevende, geen personeelsnummer |
Worker Status | status (via mapping) |
Gerelateerd
Ashby → Workday
Ashby Workday koppeling: aannames naar Workday, met controle op uitkomst en telefoonnummer
Bullhorn → Workday
Bullhorn Workday koppeling: eerste plaatsing van een consultant als indiensttreding in Workday
Carerix → Workday
Carerix koppelen met Workday: geplaatste kandidaat wordt pre-hire en start de indiensttreding
Greenhouse → Workday
Greenhouse koppelen met Workday: aannames als pre-hire, ook voor interim-krachten en contractors