Identity en access management
Workday SailPoint koppeling: complete HR-gegevens als basis voor toegangsbeheer
Met een koppeling tussen Workday en SailPoint krijgt SailPoint uit Workday een complete, gecontroleerde lijst medewerkers, aangevuld met gegevens uit lokale systemen, zodat rollen en toegang vanaf de eerste werkdag kloppen. Nieuwe collega's staan al in SailPoint voordat ze beginnen, en medewerkers met ontbrekende gegevens worden eerst aan HR voorgelegd.
Wat de koppeling doet
Organisaties die toegang met SailPoint sturen en Workday als HR-systeem hebben, krijgen met de standaard Workday-koppeling van SailPoint de basis. Een aantal gegevens die de rollen nodig hebben, wordt in SailPoint berekend en niet bij elke tussentijdse update bijgewerkt, zodat rollen soms pas na de volgende volledige verwerking kloppen.
- KoppelHet haalt de medewerkers uit Workday op, ook nieuwe collega's die pas later beginnen.
- KoppelHet berekent wat de rollen nodig hebben, zoals functiecode, datum in dienst en gebruikersnaam, en vult aan uit lokale systemen waar Workday iets niet heeft.
- Medewerkers met een ontbrekend verplicht gegeven gaan niet mee. HR ziet ze in het KoppelHet platform en vult ze aan in Workday.
- De gegevens gaan naar SailPoint, dat ze direct verwerkt.
- SailPoint maakt of werkt identiteiten bij en kent op basis van rollen toegang toe of trekt die in.
Waar je op let bij Workday en SailPoint
- SailPoint heeft een eigen Workday-koppeling, en voor een standaardsituatie adviseren we die. KoppelHet komt in beeld als de HR-gegevens eerst moeten worden aangevuld of samengevoegd voordat SailPoint er rollen op kan baseren.
- Volgens SailPoint neemt een tussentijdse update van zijn Workday-koppeling wijzigingen in berekende gegevens niet mee. KoppelHet rekent die gegevens uit voordat SailPoint ze leest, zodat ook een tussentijdse update ze bevat.
- Nieuwe collega's die nog niet zijn begonnen, neemt de Workday-koppeling van SailPoint alleen mee bij een volledige verwerking. Bij KoppelHet staan ze erin zodra de indiensttreding is afgerond, zodat SailPoint voor de eerste werkdag al een identiteit kan maken.
- KoppelHet levert de gegevens als bestand aan SailPoint en laat SailPoint de verwerking direct starten, in plaats van te wachten op het volgende vaste moment.
- Workday houdt Nederlandse lokale gegevens vaak niet bij, zoals het personeelsnummer uit de Nederlandse salarisadministratie. KoppelHet voegt dat per medewerker toe, zodat SailPoint één bron heeft in plaats van twee bronnen met dubbele identiteiten.
- Deze aanlevering schrijft niets terug naar Workday. Moet het werk-e-mailadres terug naar Workday, dan regelt KoppelHet dat apart, of gebruiken jullie daarvoor de Workday-koppeling van SailPoint zelf.
- KoppelHet krijgt in SailPoint alleen de rechten om deze ene bron bij te werken, en geen beheerrechten over de hele omgeving.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Wanneer kiezen we voor de Workday-koppeling van SailPoint zelf?
Als Workday alle gegevens levert die de rollen nodig hebben en er geen lokale bronnen bij hoeven. Dan is een extra stap via KoppelHet overbodig, en zeggen we dat ook.
Wie onderhoudt de rollen en regels in SailPoint?
Het IAM-team van de klant of zijn SailPoint-partner. KoppelHet levert de HR-gegevens en bewaakt de kwaliteit ervan.
Wat als een verplicht gegeven leeg is in Workday?
Dan houdt KoppelHet die medewerker tegen en ziet HR in het platform wat er ontbreekt. Zo komt er in SailPoint geen identiteit met halve gegevens.
Werkt dit ook met SailPoint IdentityIQ?
Het principe is hetzelfde: KoppelHet levert een voorbewerkte HR-bron. Hoe IdentityIQ die inleest, stemmen we per klant af.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Workday wordt gelezen via een RaaS-rapport met een Integration System User, inclusief workers met een Hire die later ingaat. Employee_ID en Contingent_Worker_ID krijgen een voorvoegsel per reeks.
- SailPoint Identity Security Cloud ontvangt een CSV als multipart-formulier via de import-accounts-API van een Delimited File-source (gezaghebbende bron), die de aggregatie direct start. Lifecycle states prehire en inactive op basis van startDate en endDate. De Workday-connector van SailPoint leest pre-hires alleen met OAuth 2.0 bij een volledige aggregatie; delta-aggregatie werkt berekende attributen en custom ID's niet bij.
- API-client met alleen de rechten voor import-accounts, bij voorkeur als sub-admin van deze source. Terugschrijven naar Workday via Workday Web Services of de account-update van de Workday-connector.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Workday | Veld in SailPoint | Toelichting |
|---|---|---|
Employee_ID of Contingent_Worker_ID | Account ID (uid) | Met een voorvoegsel per reeks, zodat nummers niet botsen |
Preferred name | firstname en lastname | |
Naamgevingsregel | User Name | |
Work email | Work Email | Aangevuld volgens de naamgevingsregel als Workday het nog niet heeft |
Job profile | Functiecode voor rollen | Via een vertaaltabel naar de codes die de rollen gebruiken |
Supervisory organization | department | |
Manager | manager | |
Company en location | company en location | |
Hire date | startDate | Basis voor de lifecycle state prehire |
Termination date | endDate | Basis voor de lifecycle state inactive |
Gerelateerd
Ashby → Workday
Ashby Workday koppeling: aannames naar Workday, met controle op uitkomst en telefoonnummer
Bullhorn → Workday
Bullhorn Workday koppeling: eerste plaatsing van een consultant als indiensttreding in Workday
Carerix → Workday
Carerix koppelen met Workday: geplaatste kandidaat wordt pre-hire en start de indiensttreding
Greenhouse → Workday
Greenhouse koppelen met Workday: aannames als pre-hire, ook voor interim-krachten en contractors