Identity en access management
YouForce koppelen met Okta: Visma Raet als HR-bron voor Okta-gebruikers en groepen
Met een koppeling tussen Visma Raet YouForce en Okta krijgt elke nieuwe medewerker uit YouForce een Okta-gebruiker met afdeling, kostenplaats, leidinggevende en de groepen die toegang geven tot apps. Tijdelijke inzet op een andere afdeling geeft voor die periode extra groepen, en na de einddatum van het dienstverband deactiveert Okta de gebruiker.
Wat de koppeling doet
Organisaties die YouForce voor HR en salaris gebruiken en Okta als toegangspoort naar Microsoft 365 en SaaS-apps, krijgen wijzigingen uit HR vaak via een wekelijkse export binnen. Wie tijdelijk bij een ander team meewerkt, krijgt de toegang met de hand en houdt die vaak te lang.
- De organisatie geeft KoppelHet via Visma leestoegang tot de basisgegevens in YouForce.
- KoppelHet haalt de gewijzigde personen en dienstverbanden op en bepaalt per persoon het hoofddienstverband.
- KoppelHet levert de medewerkers aan Okta als HR-bron, met de afdelingen als groepen en de medewerkers als leden.
- Een tijdelijke inzet in YouForce voegt de medewerker voor die periode toe aan de groep van de andere afdeling, en haalt hem er op de einddatum weer uit.
- Na de einddatum van het laatste dienstverband haalt KoppelHet de medewerker uit de HR-bron en deactiveert Okta de gebruiker.
Waar je op let bij Visma Raet YouForce en Okta
- Okta heeft een eigen ingang om een HR-bron aan te leveren, de Identity Sources API. Daar zet KoppelHet de YouForce-gegevens in, zodat YouForce voor Okta een volwaardige HR-bron is.
- Via die ingang levert KoppelHet ook groepen en hun leden aan. Een tijdelijke inzet in YouForce, bijvoorbeeld drie maanden meewerken bij een ander team, wordt zo een tijdelijk lidmaatschap van de groep van dat team, met de apps die daarbij horen.
- YouForce legt de leidinggevende niet vast bij de medewerker, maar als rol op de afdeling. KoppelHet leidt daaruit per medewerker de manager af, zodat goedkeuringen in apps achter Okta bij de juiste persoon uitkomen.
- Personen verdwijnen na een ingestelde periode uit de gegevens die YouForce voor IAM levert. KoppelHet houdt daarom zelf bij welke Okta-gebruikers uit YouForce komen, zodat een vertrekker ook na die periode nog wordt afgemeld.
- Met een aparte toestemming kan de Okta-login terug naar het YouForce-account. Medewerkers melden zich dan met dezelfde identiteit aan in de selfservice van YouForce als in de rest van hun apps.
- Een medewerker kan in YouForce over meerdere kostenplaatsen verdeeld zijn. Okta kent één kostenplaats per gebruiker; KoppelHet kiest die met het grootste aandeel.
- Of een persoon nog in YouForce staat, zegt niet of de toegang moet stoppen. KoppelHet gebruikt de einddatum van het laatste dienstverband, zodat een medewerker met twee dienstverbanden actief blijft tot beide zijn beëindigd.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Welke toegang heeft KoppelHet in YouForce nodig?
Leestoegang tot basisgegevens. Privégegevens zoals BSN en privéadres vallen onder een aparte scope die we niet aanvragen.
Wat gebeurt er met Okta-gebruikers die niet in YouForce staan?
Die laat de koppeling met rust. Alleen gebruikers die uit de YouForce-bron komen, worden door KoppelHet bijgewerkt.
Wat is achteraf terug te zien voor een audit?
Elke actie van de koppeling staat in de auditlogging van het KoppelHet-platform. KoppelHet werkt met een ISO 27001-gecertificeerd managementsysteem.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- YouForce wordt gelezen via de Youforce IAM API (base URL api.youforce.com/IAM, OAuth 2.0) met de scope Youforce-IAM:Get_Basic voor personen, dienstverbanden, rolverdelingen, inzet en loonverdeling, op latestSync. Personen buiten de historicaldays worden niet teruggegeven. Terugschrijven van de identiteit met Youforce-IAM:Update_Identity (PATCH /v1.0/users(employeeId=…)/identity).
- Okta wordt gevoed via de Identity Sources API (custom identity source) met sessions, bulk-upsert voor gebruikers, bulk-groups-upsert en bulk-group-memberships-upsert voor afdelingen en inzet, bulk-group-memberships-delete bij het einde van een inzet en bulk-delete bij uit dienst.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Visma Raet YouForce | Veld in Okta | Toelichting |
|---|---|---|
Persoonsnummer | externalId en employeeNumber | |
Roepnaam | firstName | |
Achternaam volgens gebruik achternaam | lastName | |
Naamgevingsregel | login en email | |
Functie (job profile) | title | |
Organisatie-eenheid | department en groep | |
Rolverdeling op de organisatie-eenheid | managerId | |
Kostenplaats uit de loonverdeling | costCenter | Grootste aandeel |
Tijdelijke inzet (begin en einde) | Extra groepslidmaatschap | |
Soort arbeidsrelatie | userType |
Gerelateerd
ADP Workforce Now → Visma Raet YouForce
ADP Workforce Now koppelen met YouForce: aanvragen voor nieuwe Nederlandse medewerkers en contractwijzigingen
Bullhorn → Visma Raet YouForce
Bullhorn YouForce koppeling: plaatsing wordt een aanvraag voor indiensttreding
Carerix → Visma Raet YouForce
Carerix koppelen met YouForce: een geplaatste kandidaat start de indiensttreding in YouForce
Darwinbox → Visma Raet YouForce
Darwinbox YouForce koppeling: aanname en salariswijziging uit Darwinbox als aanvraag in YouForce