Identity en access management
YouForce Ping Identity koppeling: Visma Raet als HR-bron voor gebruikers en groepen in PingOne
Met een koppeling tussen Visma Raet YouForce en Ping Identity krijgt elke nieuwe medewerker uit YouForce automatisch een gebruiker in PingOne, in de juiste populatie en met afdeling, functie en leidinggevende. Afdelingen worden groepen in PingOne, en na de einddatum van het laatste dienstverband kan de gebruiker niet meer inloggen.
Wat de koppeling doet
Organisaties die HR en salaris in YouForce vastleggen en PingOne gebruiken voor single sign-on en MFA, zetten medewerkers vaak met een periodieke CSV-import in PingOne. Een afdelingswissel komt dan pas later in de groepen terecht, en de import verwijdert niemand die vertrekt.
- De organisatie geeft KoppelHet via Visma leestoegang tot YouForce, en in PingOne een eigen applicatie met beheerrechten op identiteitsgegevens.
- In PingOne legt de beheerder eigen attributen aan voor afdeling, functie, leidinggevende en personeelsnummer.
- KoppelHet haalt de gewijzigde personen en dienstverbanden op en maakt of werkt de PingOne-gebruiker bij in de populatie van zijn werkgever.
- Elke afdeling wordt een groep in PingOne, en de medewerker wordt lid van de groep van zijn afdeling.
- Na de einddatum van het laatste dienstverband zet KoppelHet de gebruiker uit, zodat hij niet meer kan inloggen.
Waar je op let bij Visma Raet YouForce en Ping Identity
- De gebruikersnaam in PingOne is verplicht en kan na het aanmaken niet meer veranderen. KoppelHet bouwt hem daarom niet uit de achternaam, die bij een huwelijk kan wijzigen, maar uit een vaste regel die jullie kiezen, bijvoorbeeld het persoonsnummer of het zakelijke e-mailadres zonder domein.
- Elke gebruiker hoort in PingOne bij precies één populatie. Een organisatie met meerdere werkgevers in YouForce krijgt per werkgever een populatie, en een overstap naar een andere werkgever verhuist de gebruiker in plaats van een tweede gebruiker te maken.
- Het standaardprofiel van PingOne heeft geen veld voor afdeling of leidinggevende. KoppelHet schrijft die naar eigen attributen in het PingOne-schema, zodat beleid en applicaties erop kunnen sturen. Het hele profiel mag samen niet groter worden dan 16 kB, dus we nemen alleen velden mee die een applicatie gebruikt.
- De SCIM-ingang van PingOne kent geen groepen en geeft een lijst van hooguit 200 gebruikers zonder vervolgpagina. KoppelHet beheert groepen en lidmaatschappen daarom via de gewone PingOne-API en houdt zelf bij welke gebruikers uit YouForce komen.
- In de basisgegevens van YouForce zit het zakelijke e-mailadres niet; dat valt onder dezelfde aparte toestemming als privégegevens zoals het BSN. Wordt het e-mailadres in Microsoft 365 aangemaakt, dan vraagt KoppelHet die toestemming niet aan en haalt het adres uit de naamgevingsregel.
- YouForce toont geplande wijzigingen in afdeling, functie en uren al voordat ze ingaan. KoppelHet zet de gebruiker op de ingangsdatum in de nieuwe groep, zodat iemand die per de eerste van de maand overstapt niet een maand te vroeg of te laat bij de applicaties van zijn nieuwe team kan.
- In PingOne betekent uitzetten dat de gebruiker niet meer kan authenticeren; de gebruiker en zijn gegevens blijven bestaan. KoppelHet zet uit na de laatste werkdag en verwijdert pas na de bewaartermijn die jullie kiezen.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Kan PingOne daarna accounts in applicaties aanmaken?
Ja, met de uitgaande provisioning van PingOne. KoppelHet levert de HR-gegevens; PingOne zet ze door naar de applicaties.
Wat gebeurt er met PingOne-gebruikers die niet uit YouForce komen?
Die laat de koppeling met rust, zoals externen en servicegebruikers in een eigen populatie.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- YouForce wordt gelezen via de Youforce IAM API (OAuth 2.0 via Visma Connect) met de scope Youforce-IAM:Get_Basic voor Persons, Employments, Employment Planned Changes, Organization Units, Role Assignments en Job Profiles, op latestSync met de from-parameter en paginering via take, skip en nextLink. Het zakelijke e-mailadres vraagt Youforce-IAM:GetPrivateContactDetails.
- PingOne wordt beschreven met een Worker-app met de rol Identity Data Admin: gebruikers via de SCIM API (/v2/Users of /v2/DirectMappedUsers voor eigen attributen, met urn:pingidentity:schemas:extension:2.0:PingOneUser voor population.id), groepen en lidmaatschappen via de PingOne Platform API (POST /v1/environments/{envID}/groups) en uitzetten via de enabled-instelling van de gebruiker. Eigen attributen staan in het user schema; een profiel is maximaal 16 kB.
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Visma Raet YouForce | Veld in Ping Identity | Toelichting |
|---|---|---|
Persoonsnummer | externalId en eigen attribuut personeelsnummer | Vaste sleutel |
Naamgevingsregel | username | Niet meer te wijzigen na aanmaken |
Roepnaam en achternaam volgens gebruik | name.given en name.family | |
Zakelijk e-mailadres | email | Vraagt een aparte scope in YouForce |
Functie (job profile) | title | |
Organisatie-eenheid | Eigen attribuut afdeling en groep | |
Rolverdeling op de organisatie-eenheid | Eigen attribuut leidinggevende | |
Werkgever | population.id | |
Einddatum laatste dienstverband | enabled |
Gerelateerd
ADP Workforce Now → Visma Raet YouForce
ADP Workforce Now koppelen met YouForce: aanvragen voor nieuwe Nederlandse medewerkers en contractwijzigingen
Bullhorn → Visma Raet YouForce
Bullhorn YouForce koppeling: plaatsing wordt een aanvraag voor indiensttreding
Carerix → Visma Raet YouForce
Carerix koppelen met YouForce: een geplaatste kandidaat start de indiensttreding in YouForce
Darwinbox → Visma Raet YouForce
Darwinbox YouForce koppeling: aanname en salariswijziging uit Darwinbox als aanvraag in YouForce