Identity en access management
Zoho People Okta koppeling: Okta-gebruikers die volgen wat HR in Zoho People vastlegt
Met een koppeling tussen Zoho People en Okta krijgt een nieuwe medewerker uit Zoho People een Okta-gebruiker met afdeling, functie, locatie en leidinggevende, en deactiveert Okta die gebruiker op de Date of Exit uit het vertrekproces. Zoho kan via Zoho Directory zelf Okta-gebruikers maken, maar dan bepaalt de toewijzing door IT in Zoho Directory het account, niet de aanname of het vertrek in Zoho People.
Wat de koppeling doet
Organisaties met Zoho People voor HR en Okta voor toegang kijken vaak eerst naar de Okta-provisioning van Zoho Directory. Daar wijst IT gebruikers met de hand aan de Okta-app toe, zodat een aanname in Zoho People niet vanzelf een Okta-gebruiker oplevert.
- In de Zoho API-console maken we een client met alleen de leesscope op formulieren, in het datacentrum van jullie Zoho-omgeving.
- We leggen vast welke velden in het employee-formulier afdeling, functie, locatie en leidinggevende bevatten.
- KoppelHet leest elk kwartier de gewijzigde records en zet nieuwe collega's in Okta klaar tot hun startdatum.
- Afdeling en locatie bepalen de Okta-groepen, en daarmee de apps.
- Op de Date of Exit deactiveert KoppelHet de Okta-gebruiker, in de nacht voordat Zoho People de eigen login sluit.
Waar je op let bij Zoho People en Okta
- Zoho Directory kan Okta-gebruikers aanmaken, bijwerken, (de)activeren en verwijderen, maar alleen voor gebruikers die IT in Zoho Directory aan de Okta-app toewijst. Een vertrek in Zoho People bereikt Okta zo pas als iemand de gebruiker in Zoho Directory uitzet. KoppelHet leest de aanname en de Date of Exit rechtstreeks uit Zoho People.
- Haalt IT in Zoho Directory de toewijzing aan Okta weg, dan verwijdert Zoho Directory de gebruiker in Okta, met zijn apptoewijzingen. KoppelHet deactiveert bij vertrek alleen, zodat de gebruiker en zijn historie in Okta blijven tot jullie zelf besluiten te verwijderen.
- Volgens Zoho kan Zoho Directory alleen vooraf gedefinieerde Okta-rollen toekennen, geen eigen rollen. KoppelHet levert geen rollen maar groepen per afdeling en locatie, en jullie Okta-regels bepalen welke apps en rechten daarbij horen.
- Een beheerder van Zoho People kiest of de Date of Exit al bij goedkeuring van het ontslag verschijnt of pas op de laatste werkdag. Zoho People sluit de eigen login van een vertrekker standaard om half negen de ochtend na de laatste werkdag. KoppelHet deactiveert de Okta-gebruiker in de nacht daarvoor, zodat beide logins tegelijk dichtgaan.
- Reporting To is in Zoho People een verwijzing naar een ander medewerkerrecord. Okta neemt in een eigen HR-bron alleen tekstwaarden aan. KoppelHet zet de verwijzing om naar het Employee ID van de leidinggevende, zodat managerId naar een bestaande Okta-gebruiker wijst.
- Het e-mailveld in Zoho People is tegelijk de login voor Zoho People. KoppelHet schrijft het Okta-adres daarom niet automatisch terug; dat zou de inlog van de medewerker veranderen. Gebruikt een nieuwe collega een privéadres als Zoho-login, dan maakt KoppelHet de Okta-login volgens de naamgevingsregel.
- Zoho People geeft per opvraging hooguit tweehonderd records en blokkeert de hele omgeving vijf minuten bij meer dan vierhonderd verzoeken per minuut. KoppelHet vraagt elk kwartier alleen records op die na de vorige ronde zijn gewijzigd, zodat andere Zoho-koppelingen niet worden geblokkeerd.
Deze koppeling hoort ook bij in-, door- en uitstroom.
Hoe we het bouwen en beheren
- De koppeling draait op het KoppelHet platform, gehost in een datacenter in de EU.
- Elke synchronisatie en elke fout is zichtbaar in de functionele logging; bij een fout krijgt jullie beheerder een melding.
- Een mutatie die niet door kan, wordt niet half doorgezet maar klaargezet om opnieuw te proberen.
- KoppelHet is ISO 27001-gecertificeerd. Gegevens gaan versleuteld over en blijven niet langer op het platform dan nodig.
- Na livegang beheren wij de koppeling en passen we hem aan als jullie proces verandert.
- De koppeling past naast je bestaande integratielaag. Alleen de velden uit het ontwerp gaan over; het platform houdt geen eigen registratie bij.
Implementatie en prijs
Dit is geen app die je aanzet. We bouwen de koppeling voor jullie organisatie op ons platform, met bouwstenen die we steeds opnieuw gebruiken. Zo is het maatwerk, zonder dat we bij nul beginnen.
Een consultant bereidt de intake voor en analyseert beide systemen. Daarna leggen we de mapping en uitzonderingen per veld vast, testen we in de test- of acceptatieomgeving en gaan we live op een moment dat jij kiest. De kosten bestaan uit een eenmalig bedrag voor de inrichting en een maandbedrag voor platform, monitoring en beheer.
Veelgestelde vragen
Waarom niet de Okta-provisioning van Zoho Directory?
Die werkt op toewijzingen in Zoho Directory, niet op HR-gebeurtenissen in Zoho People. Is dat genoeg voor jullie, dan is maatwerk niet nodig.
Zet KoppelHet het Okta-adres terug in Zoho People?
Niet standaard, omdat dat veld ook de Zoho-login is. Een eigen veld voor het werkadres kan later als uitbreiding.
Leest de koppeling salarissen in Zoho People?
Nee. De client heeft alleen leesrechten op de formulieren die we afspreken.
Technische details voor IT
Voor wie wil weten hoe het onder de motorkap werkt: gebruikte API's, velden en bronnen.
- Zoho People API met OAuth 2.0 (Authorization: Zoho-oauthtoken) en scope ZOHOPEOPLE.forms.READ: GET /people/api/forms/employee/getRecords met sIndex, limit (maximaal 200) en modifiedtime in milliseconden; vierhonderd verzoeken per minuut, daarboven vijf minuten blokkade. Datacentrum (zoho.com of zoho.eu) per klant.
- Okta via een Custom Identity Source (Identity Sources API: één sessie per keer, bulk-upsert van maximaal 200 profielen per verzoek, alleen tekstwaarden, bulk-delete deactiveert) of via de Users API met een OAuth 2.0 service app (status STAGED, ACTIVE, DEPROVISIONED).
Welke velden overgaan
De belangrijkste velden. De volledige mapping stellen we per klant vast.
| Veld in Zoho People | Veld in Okta | Toelichting |
|---|---|---|
EmployeeID | employeeNumber en externalId | |
FirstName en LastName | firstName en lastName | |
EmailID of naamgevingsregel | login en email | |
Department | department en groep | |
Designation | title | |
Location | city en groep per locatie | |
Reporting To | managerId | Omgezet naar het Employee ID van de leidinggevende |
Date of Exit | Deactiveren |
Gerelateerd
Recruitee → Zoho People
Recruitee Zoho People koppeling: aangenomen kandidaten in het medewerkerformulier van Zoho People
Teamtailor → Zoho People
Teamtailor Zoho People koppeling: aangenomen kandidaten als record in het medewerkerformulier van Zoho People
Zoho People → Active Directory
Zoho People koppelen met Active Directory: HR maakt het domeinaccount, niet andersom
Zoho People → AFAS Profit
Zoho People koppelen met AFAS: nieuwe medewerkers en wijzigingen naar de Nederlandse salarisverwerking