KoppelingHRMAlgemeen

AFAS Microsoft Entra ID koppeling

Het Entra ID-account van een nieuwe collega staat klaar vóór de eerste werkdag, en wordt bij uitdienst geblokkeerd.

De AFAS Microsoft Entra ID koppeling maakt voor medewerkers uit AFAS Profit een account aan in Microsoft Entra ID, houdt hun profiel daar bij en blokkeert het bij uitdienst. Dat gebeurt op vaste momenten en in één richting. In Profit zet de koppeling daarna de UPN en het e-mailadres op de AFAS-gebruiker, met toegang tot InSite en OutSite, en de datum van de laatste synchronisatie op de medewerker.

Demo aanvragen Contact opnemen

Kenmerken

Wat maakt deze oplossing anders.

Account klaar vóór de eerste werkdag

De koppeling maakt het account in Entra ID aan voordat de nieuwe medewerker begint, zonder dat IT het met de hand aanmaakt. Het staat meteen aan, met een tijdelijk wachtwoord dat bij de eerste aanmelding gewijzigd moet worden.

Functie, afdeling en leidinggevende

De koppeling zet onder meer functie, afdeling en kantoorlocatie uit Profit op het account, met de leidinggevende als manager. Bij elke synchronisatie gaat alleen mee wat verschilt.

Eerst geblokkeerd, daarna verwijderd

Op de laatste werkdag blokkeert de koppeling het account in Entra ID, zonder dat iemand eraan hoeft te denken. Na een termijn die we per klant afspreken, verwijdert hij het.

Fouten op de medewerker in Profit

Lukt het aanmaken of bijwerken niet, bijvoorbeeld omdat de UPN al in gebruik is, dan staat de foutmelding als dossieritem op de medewerker.

Groepen en gedeelde mailboxen

Bij Vitam vult de koppeling ook groepen in Entra ID op basis van teamrollen en projecten in AFAS. Wie in een mailboxgroep zit, krijgt rechten op die gedeelde mailbox.

Wij bouwen de AFAS Entra ID koppeling als koppeling op de AFAS API. Aan de kant van Microsoft Entra ID, voorheen Azure Active Directory, gebruikt hij de Microsoft Graph API.

Wat AFAS zelf naar Entra ID stuurt

Sinds Profit 8 synchroniseert AFAS gebruikersgroepen uit Profit naar Entra ID, met hun leden. Ontbreekt een gebruiker in Entra ID, dan maakt AFAS hem daar aan op basis van de UPN die bij de AFAS-gebruiker staat. Vanaf Profit 9 kan Profit een nieuwe gebruiker bij het onboarden automatisch een UPN geven en die in Entra ID reserveren.

Single sign-on met Entra ID in AFAS Online is ook standaard. Dat gaat over inloggen, niet over het account zelf.

Onze koppeling volgt de datum in dienst en de laatste werkdag in Profit en vult het profiel in Entra ID. Wat hij gedaan heeft, zie je terug in Profit.

Een account voordat de nieuwe collega begint

De koppeling draait bij Vitam, cateraar op ruim 300 locaties. Daar zoekt hij elke nacht in Profit naar medewerkers die binnen twee weken in dienst komen en nog geen account hebben. Voor hen maakt hij een gebruiker aan in Entra ID. Die staat meteen aan, met een tijdelijk wachtwoord dat bij de eerste aanmelding gewijzigd moet worden.

Daarna zet de koppeling de UPN op de AFAS-gebruiker. Die krijgt toegang tot InSite en OutSite, en afhankelijk van de afdeling tot Profit Windows. Als de UPN in Entra ID al in gebruik is, maakt de koppeling geen account aan.

Een privé-adres tot het contract getekend is

Bij Vitam blijft voor een deel van de medewerkers het privé-e-mailadres op de AFAS-gebruiker staan tot het contract getekend is. Elk uur kijkt de koppeling wie van hen heeft getekend. Bij hen vervangt hij het privé-adres door het zakelijke.

Welke gegevens van AFAS naar Entra ID gaan

Het profiel in Entra ID komt uit Profit: naam, functie, werkgever en afdeling, het medewerkernummer, de dienstbetrekking en de datum in dienst. Ook gaan de kantoorlocatie met adres, het zakelijke telefoon- en mobiele nummer en het e-mailadres mee. De koppeling zoekt de leidinggevende in Entra ID op via diens UPN en zet die als manager op het account.

Voor medewerkers die al in dienst zijn, vergelijkt de koppeling die gegevens met Entra ID en stuurt hij alleen wat verschilt. Een wijziging in AFAS gaat mee bij de volgende synchronisatie. Wat je tussen het aanmaken en de eerste werkdag wijzigt, gaat pas mee als de medewerker in dienst is.

Een fout bij aanmaken of bijwerken staat op de medewerker

Gaat het aanmaken of bijwerken van een account mis, dan zet de koppeling een dossieritem met de foutmelding op de medewerker. Zo zie je in Profit bij wie het account aandacht nodig heeft.

Op de laatste werkdag gaat het account dicht

Bij Vitam blokkeert de koppeling het account in Entra ID op de avond van de laatste werkdag. Tegelijk zet hij in Profit de toegang tot InSite en Profit Windows uit. OutSite blijft open, en op de AFAS-gebruiker komt het privé-e-mailadres te staan. Drie maanden later verwijdert de koppeling het account uit Entra ID en blokkeert hij de AFAS-gebruiker.

Groepen, Teams en gedeelde mailboxen bij Vitam

Daar vult de koppeling elke nacht ook de groepen in Entra ID, op basis van teamrollen, projecten, AFAS-gebruikersgroepen en locatie in AFAS. Ontbrekende groepen maakt hij aan, en wie er volgens AFAS niet meer in hoort, haalt hij eruit, bijvoorbeeld na uitdienst. Per project zijn er groepen voor een gedeelde mailbox en voor Teams. De leden van zo'n mailboxgroep krijgen rechten op de gedeelde mailbox van hun project.

Wij bouwen en beheren de AFAS Entra ID koppeling

We bouwen de koppeling als maatwerk voor jullie AFAS-omgeving en Entra ID, ook als jullie nog niet met ons werken. Vooraf spreken we af welke medewerkers en velden meegaan en wanneer de koppeling draait. Ook wat er op de laatste werkdag gebeurt, spreken we dan af. Daarna houden we hem in beheer, net als de andere koppelingen die we met AFAS bouwen.

Uit de kennisbank

Interesse in AFAS Microsoft Entra ID koppeling?

Neem contact met ons op voor een vrijblijvende demo of meer informatie over deze oplossing.

Demo aanvragen

Technische details

Voor AFAS-experts en applicatiebeheerders

Doel en werking

De koppeling synchroniseert medewerkers uit AFAS Profit in één richting naar Microsoft Entra ID, via de Microsoft Graph API. Hij draait op vaste momenten; een wijziging in Profit start zelf geen synchronisatie. De kern is de gebruikerssynchronisatie: aanmaken, bijwerken, blokkeren en verwijderen. Ritmes en termijnen spreken we per klant af; hieronder staan die van Vitam. Daar horen bij de koppeling ook een groepssynchronisatie en rechten op gedeelde mailboxen.

Datastromen

Aanmaken (Profit → Entra ID)

Elke nacht haalt een GetConnector de medewerkers op die binnen twee weken in dienst komen en nog geen account hebben. Per medewerker maakt de koppeling een gebruiker aan in Entra ID, ingeschakeld en met een tijdelijk wachtwoord dat bij de eerste aanmelding gewijzigd moet worden. Is de UPN in Entra ID al in gebruik, dan stopt het aanmaken voor die medewerker. Daarna zet de koppeling via KnUser de UPN en het e-mailadres op de AFAS-gebruiker, met toegang tot InSite en OutSite en, afhankelijk van de afdeling, tot Profit Windows. Via KnEmployee komt de datum van de laatste synchronisatie op de medewerker.

Bijwerken (Profit → Entra ID)

Elke nacht vergelijkt de koppeling voor medewerkers in dienst de gegevens uit Profit met de gebruiker in Entra ID: naam, voor- en achternaam, functie, werkgever, afdeling, medewerkernummer, dienstbetrekking, datum in dienst, kantoorlocatie met adres, telefoon en mobiel (werk) en e-mailadres. De leidinggevende zoekt hij in Entra ID op via diens UPN. Alleen wat verschilt gaat naar Entra ID. Daarna werkt hij via KnUser de AFAS-gebruiker bij en via KnEmployee de datum van de laatste synchronisatie op de medewerker. Tussen het aanmaken en de datum in dienst werkt de koppeling de gegevens niet bij.

E-mailadres na het tekenen van het contract (Profit)

Elk uur kijkt de koppeling welke nieuwe medewerkers hun contract hebben getekend. Voor een deel van de medewerkers vervangt hij dan op de AFAS-gebruiker het privé-e-mailadres door het zakelijke.

Blokkeren en verwijderen (Profit → Entra ID)

Elke avond blokkeert de koppeling in Entra ID de accounts van medewerkers met een einddatum van vandaag. Via KnUser zet hij voor de AFAS-gebruiker de toegang tot InSite en Profit Windows uit en wordt het e-mailadres het privé-adres; OutSite blijft open. Ligt de einddatum meer dan drie maanden terug, dan verwijdert hij de gebruiker uit Entra ID en blokkeert hij via KnUser de AFAS-gebruiker.

Groepen en mailboxrechten (Profit → Entra ID)

Een aparte groepssynchronisatie zet elke nacht de lidmaatschappen uit AFAS in Entra ID, op basis van teamrollen, projecten, AFAS-gebruikersgroepen en locatie. De koppeling voegt leden toe en haalt ze weg, en maakt ontbrekende groepen aan, waaronder de groepen voor gedeelde mailboxen en Teams per project. Daarna krijgen de leden van een mailboxgroep rechten op die gedeelde mailbox.

Fouten (koppeling → Profit)

Mislukt het aanmaken of bijwerken, dan maakt de koppeling via KnSubject een dossieritem aan op de medewerker, met de foutmelding, bijvoorbeeld dat de UPN al in gebruik is.

Betrokken AFAS-onderdelen

HRM: medewerkers, met de datum in dienst, de einddatum, het tekenen van het contract en dossieritems voor fouten.
Gebruikers: de AFAS-gebruiker, met UPN, e-mailadres en de toegang tot InSite, OutSite en Profit Windows.
Groepen: teamrollen, projecten, AFAS-gebruikersgroepen en locatie voor de groepen in Entra ID.
Connectoren: GetConnectoren voor het ophalen, en de UpdateConnectoren KnUser (AFAS-gebruiker), KnEmployee (medewerker) en KnSubject (dossieritem) voor het terugschrijven.
Extern: Microsoft Entra ID, via de Microsoft Graph API.