Identity en access management
Workday Ping Identity koppeling: wat de Workday-provisioner van PingOne doet, en waar maatwerk begint
Workday en Ping Identity koppel je met de Workday-provisioner van PingOne, die elk kwartier nieuwe en gewijzigde medewerkers uit Workday ophaalt met naam, e-mailadres en status. KoppelHet vult aan wat die provisioner niet doet, zoals externe krachten uit Workday, afdeling en leidinggevende als attributen en een account dat klaarstaat vóór de eerste werkdag.
Wat de koppeling doet
Organisaties die medewerkers in Workday beheren en PingOne als toegangspoort gebruiken, richten vaak de Workday-provisioner van PingOne in. Die werkt voor vaste medewerkers, maar externe krachten die als contingent worker in Workday staan krijgen hun toegang nog met de hand, en applicaties missen afdeling en leidinggevende.
- We bekijken samen wat de Workday-provisioner van PingOne al regelt en welke attributen en groepen ontbreken.
- KoppelHet leest in Workday met een eigen Integration System User alleen de velden en workers die de provisioner niet levert.
- Contingent workers komen als gebruiker in een eigen populatie in PingOne, met de einddatum van hun opdracht.
- Afdeling, functie en leidinggevende komen als attributen op alle gebruikers, en supervisory organizations worden groepen.
- Bij een termination of het einde van een opdracht zet KoppelHet de gebruiker uit op de effectieve datum.
Waar je op let bij Workday en Ping Identity
- De Workday-provisioner van PingOne haalt alleen fulltime medewerkers op; contingent workers worden niet geïmporteerd. Externe krachten die in Workday staan, zet KoppelHet daarom zelf in PingOne, in een eigen populatie en met de einddatum van hun opdracht.
- Standaard neemt de provisioner zes attributen mee, waaronder naam, werkmail en status. Afdeling, functie of startdatum vragen in Workday een Integration System met een Field Override Service per veld, en PingOne behandelt al die extra velden als tekst.
- De provisioner vraagt Workday elk kwartier om wijzigingen. Mislukt dat, dan wacht PingOne twaalf uur en synchroniseert dan alles opnieuw. KoppelHet meldt een vastgelopen provisioner bij IT, zodat een vertrekker niet een halve dag langer toegang houdt.
- Terugschrijven naar Workday kan met de provisioner alleen voor bestaande workers, en mislukt als er voor dat veld nog een business process openstaat. KoppelHet controleert openstaande processen en probeert het werkmailadres opnieuw zodra het proces is afgerond.
- De Integration System User voor de provisioner moet in een onbeperkte security group met alleen leesrechten zitten, en de beleidswijziging moet in Workday worden geactiveerd. KoppelHet gebruikt een eigen ISU met alleen de domeinen voor de extra velden, zodat de rechten per koppeling na te lopen zijn.
- Een hire wordt in Workday vaak weken voor de startdatum afgerond. KoppelHet zet de gebruiker dan al klaar maar uitgeschakeld, en zet hem aan op de eerste werkdag, zodat MFA-registratie en de eerste aanmelding op dag één werken.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Kunnen we niet alles met de provisioner van PingOne doen?
Voor vaste medewerkers met naam, e-mail en status vaak wel. Zodra externen in Workday staan of applicaties afdeling en leidinggevende nodig hebben, vult KoppelHet aan.
Gaan de provisioner en KoppelHet elkaar niet overschrijven?
Nee. We leggen per attribuut vast wie het vult. De provisioner houdt zijn standaardvelden, KoppelHet schrijft alleen de extra velden en de gebruikers in de populatie voor externen.
Werkt dit ook zonder de Workday-provisioner?
Ja. Dan levert KoppelHet alle workers via de SCIM-ingang van PingOne, met dezelfde regels.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Workday wordt gelezen via Workday Web Services (Get_Workers in Human_Resources, ook voor contingent workers) of een RaaS-rapport met een Integration System User. De PingOne-provisioner gebruikt een ISU in een Unconstrained Integration System Security Group met Get Only-domeinen; eigen velden via een Integration System met Field Override Service (Worker business object).
- Naar PingOne schrijven we met een Worker-app (Identity Data Admin) via de SCIM API (/v2/DirectMappedUsers voor eigen attributen, population.id per type worker), groepen via POST /v1/environments/{envID}/groups en uitzetten via de enabled-instelling. Het werkmailadres gaat terug via het business process voor werkcontactgegevens.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Workday | Veld in Ping Identity | Toelichting |
|---|---|---|
Employee_ID of Contingent_Worker_ID | externalId | Vaste sleutel |
Work email | email en username | |
Legal_Name of Preferred_Name | name.given en name.family | |
Business_Title | title | |
Supervisory_Organization | Eigen attribuut afdeling en groep | |
Manager van de supervisory organization | Eigen attribuut leidinggevende | |
Worker_Type_Reference | population.id | Medewerkers en externen apart |
Termination_Date of einddatum opdracht | enabled |
Gerelateerd
Ashby → Workday
Ashby Workday koppeling: aannames naar Workday, met controle op uitkomst en telefoonnummer
Bullhorn → Workday
Bullhorn Workday koppeling: eerste plaatsing van een consultant als indiensttreding in Workday
Carerix → Workday
Carerix koppelen met Workday: geplaatste kandidaat wordt pre-hire en start de indiensttreding
Greenhouse → Workday
Greenhouse koppelen met Workday: aannames als pre-hire, ook voor interim-krachten en contractors