AFAS is de bron.
De visie achter deze koppeling is simpel: AFAS is leidend. In de autorisatietool van Profit 8 leg je via automatische mapping een directe verbinding tussen de AFAS-gebruikersgroepen en de groepen in Entra ID.
Dit zijn de belangrijkste spelregels:
- AFAS is leidend: Voeg je een medewerker in AFAS toe aan een groep? Dan zorgt de synchronisatie ervoor dat deze persoon direct in de juiste Entra-groep terechtkomt. Probeer je handmatig iemand toe te voegen in Entra ID aan een gesynchroniseerde groep? Dan zal AFAS deze wijziging tijdens de volgende synchronisatie onverbiddelijk overschrijven en de gebruiker verwijderen. Zo behoud je één zuivere waarheid voor je autorisaties.
- Eén-op-één relatie: Je kunt groepen niet dubbel koppelen. Eén groep in AFAS hoort bij exact één groep in Entra ID.
- Nieuwe groepen aanmaken: Vanuit AFAS kun je direct een nieuwe groep laten aanmaken in Entra ID met exact dezelfde naam. Let wel op: dit is een ‘kale’ groep. De juiste licenties en specifieke rechten koppel je zelf nog eenmalig in Entra ID. Pas je de omschrijving van een gebruikersgroep aan in AFAS, dan wordt deze wijziging automatisch doorgezet naar de gekoppelde Entra ID groep.
Automatisering van de volledige life cycle.
De koppeling is ontworpen om de volledige loopbaan van een medewerker te ondersteunen, van indiensttreding tot uitdiensttreding:
- Onboarding: Wanneer een nieuwe gebruiker in een groep valt én een geldige UPN heeft, wordt deze automatisch gesynchroniseerd naar Entra ID.
- Naamswijzigingen: Verandert de achternaam van een medewerker door bijvoorbeeld een huwelijk? Geen probleem. Naamswijzigingen worden automatisch gesynchroniseerd naar Entra ID.
- Offboarding: Bij uitdiensttreding wordt de gebruiker verwijderd uit de gekoppelde Entra ID-groepen. Daarnaast wordt het Entra ID-account geblokkeerd (‘disabled’), zodat toegang direct wordt ingetrokken terwijl historie behouden blijft. Dit zorgt ervoor dat het proces ook gebruikt kan worden om iemand herindienst te melden.
Gebruikersgroepen.
Een groot voordeel is dat niet alleen handmatig beheerde gebruikersgroepen gesynchroniseerd kunnen worden. Ook groepen op basis van functie, rol of selectie worden ondersteund. Hierdoor kunnen organisaties hun autorisatiebeheer verder automatiseren.
De achterliggende techniek.
Hoe weten de twee systemen dat ze over dezelfde persoon praten? Dat gebeurt volledig op basis van de UPN (User Principal Name).
- UPN vereist: Voor de standaard AFAS Entra ID-koppeling is een UPN vereist.
- Single Tenant: De koppeling is momenteel single tenant: één AFAS-omgeving kan aan één domein worden gekoppeld. Voor organisaties met meerdere domeinen is dit een belangrijk aandachtspunt!
- Logging en controle: Treden er tijdens de synchronisatie dubbele data of fouten op, dan zie je dit direct terug in een overzichtelijk logboek, zodat je waar nodig handmatig kunt bijsturen.
Wat is een UPN?
UPN staat voor User Principal Name. Dit is de unieke gebruikersnaam waarmee een gebruiker zich aanmeldt in Entra ID. Een UPN heeft meestal dezelfde opbouw als een e-mailadres, bijvoorbeeld j.jansen@differit.nl.
De AFAS Entra ID koppeling gebruikt de UPN om gebruikers in AFAS te koppelen aan de juiste gebruikers in Entra ID. Daarom is het belangrijk dat de UPN in AFAS overeenkomt met de UPN van de gebruiker in Microsoft Entra ID. Ontbreekt de UPN of komt deze niet overeen, dan kan AFAS de gebruiker niet synchroniseren naar Entra ID.
Goed om te weten!
- Organisaties hoeven niet per definitie opnieuw te beginnen. AFAS kan bestaande Entra ID-groepen automatisch herkennen en koppelen wanneer de groepsomschrijvingen overeenkomen.
- Voor organisaties met veel bestaande groepen biedt AFAS een bulkkoppeling, waarmee meerdere gebruikersgroepen in één keer aan Entra ID gekoppeld kunnen worden.
- Controleer vooraf of de UPN’s in AFAS aansluiten op het primaire domein van de Entra-tenant. Afwijkingen kunnen leiden tot synchronisatiefouten.
Klaar voor de start?
De functionaliteit is vanaf Profit 8 standaard beschikbaar in je omgeving en hoeft niet apart geactiveerd te worden, uiteraard moet je de instellingen nog wel goed zetten om AFAS en Entra ID te laten synchroniseren. Heb je hulp nodig bij het inrichten van deze koppeling? Neem contact met ons op voor een adviesgesprek.
Afbeelding 1: Gebruikersgroepen en gebruikers synchroniseren met Microsoft Entra ID
Dit was het zesde deel van onze serie over Profit 8. Eerder publiceerden we over:
- de lancering van Profitweb, en
- de onboarding optimalisatie
- de nieuwe rapportgenerator
- updates over Jonas AI
- updates voor werving en selectie
Houd onze blogs in de gaten, want er komt nog veel meer moois aan!
