provisioning vanuit HR data naar AD/O365/,,,

[Blokker_1999]

Na een korte discussie vandaag op het werk die mij met meer vragen dan iets anders heeft opgezadeld wil ik eens even de vraag stellen aan mede systeembeheerders.

Hoe zorgen jullie voor een vertaling vanuit HR naar jullie MS omgeving? En dan heb ik het primair over on- en offboarding van gebruikers. Gaat jullie HR systeem zelf de gebruiker in AD aanmaken, mailbox aanmaken, o365, Teams, ... in orde zetten? Hebben jullie daar commerciele middleware voor? Of gebruiken jullie daar zelf geschreven applicaties voor?

Bij mijn huidige werkgever, alsook bij mijn vorige werkgevers, werd dat gedaan met volledig in-house ontwikkelde en beheerde software, over het algemeen volledig geschreven in PowerShell. En dat lijkt mij ook niet vreemd. Elke onderneming is uniek en heeft zijn eigen wensen. Het lijkt mij niet eenvoudig om daar een eengemaakte tool bovenop te zetten want dat gaat vaak heel wat aanpassingen vereisen die vele bedrijven niet aan hun HR processen gaan willen doen.

Tijdens een gesprek met management vandaag kwam evenwel naar boven dat hij vond dat zoiets eigenlijk te groot en complex is voor iets als PS en het eigenlijk in C# of iets dergelijks geschreven zou moeten worden. Toch zie je dat, zeker voor vele MS producten, de voorkeur vanuit MS voor het beheer ervan uitgaat naar PowerShell en dat daar de managementttools voor worden geschreven. En zeker niet voor alles bestaan er rest APIs.

Omdat mijn beeld beperkt is tot een handvol ondernemingen waar ik tot op heden gewerkt heb zou ik wel eens willen weten hoe men hier in andere ondernemingen mee omgaat. Merk wel op dat het hier telkens om ondernemingen van 1000 man of meer gaat en automatisatie dus wel loont in deze processen. In mijn huidige onderneming staan we op een kruispunt en ben op zoek naar de juiste richting om te volgen.

[holoX]

Wij doen het met een powershell script (met een GUI).
Onze HR data is leading; begin je eerder? Kan niet, je account mag nog niet bestaan. Ga je eind van deze week uit dienst? Dan gaat je account aan het einde van de week om 0:00 dicht in de AD.
Het script kijkt iedere nacht naar nieuwe medewerkers, functiewijzingen en gewijzigde uit dienst datums en past dat aan in de AD. Medewerkers met een tijdelijk contract krijgen een expiratiedatum op hun account.
De helpdesk kijkt iedere morgen in hun tooling of er nieuwe gebruikers gevonden zijn in hr data. Als dat het geval is krijgen ze een voorbeeld van de nieuwe user te zien (denk aan naamgeving, e-mail) en kunnen ze vanuit daar een mailbox, teams account en diverse rechten ‘aanvinken’. Binnen enkele minuten is het account actief en kan de nieuwe medewerker een verzoek doen om zijn account gegevens op te halen.
Betreft een omgeving met ongeveer 1300 actieve gebruikers (10/15% tijdelijken), mix van MS on prem en ms365.
Ik vergeet vast nog iets maar dit is ongeveer de opzet. Powershell vonden we ideaal, zeker vanwege de bijna 100% ms omgeving maar ook vanwege de kennis in huis.
Volgende stap is medewerkers uit dienst. Die worden nu disabled maar handmatig opgeruimd. Dat willen we nog wat slimmer gaan aanpakken.

[P_de_B]

Wij (2000 mdw en veel flexkrachten) doen het met middleware van Tools4Ever (HelloID). Ja, dat kost geld maar de bewezen oplossing, flexibiliteit van businessrules en koppelingen naar andere systemen gaf voor mij de doorslag.

Daarnaast is het voor bijv. accountants heel helder wat er gebeurt en helpt dat weer bij de audits die zij doen. Rechten aanvinken door een medewerker zoals hierboven is wat mij betreft uit den boze. Dat moet echt automatisch gaan, en zelfs dan moet je maatregelen inbouwen om het te controleren. Helemaal als dat handmatig door de servicedesk gedaan wordt.

Overigens is zo'n oplossing echt wel slim genoeg om met veel systemen en koppelingen uit de voeten te kunnen. Voor veel partijen hebben ze out of the box interfaces.

[ Voor 38% gewijzigd door P_de_B op 26-03-2022 21:49 ]

[Question Mark]

Bij praktisch alle grote bedrijven waar ik gezeten heb wordt hier tooling voor aangeschaft, en niet zelf met scripting of programmeerwerk zelf iets gebouwd.

Blokker_1999 schreef op vrijdag 25 maart 2022 @ 18:37:
Elke onderneming is uniek en heeft zijn eigen wensen. Het lijkt mij niet eenvoudig om daar een eengemaakte tool bovenop te zetten want dat gaat vaak heel wat aanpassingen vereisen die vele bedrijven niet aan hun HR processen gaan willen doen.

Het maakt natuurlijk niet veel uit of je de business logica in "of the shellf" tooling gaat bouwen, of zelf helemaal van scratch in Powershell of C#. In beide gevallen moet je de business logica gaan bouwen. Het is niet zo dat de aan te kopen tooling je verplicht om processen op een bepaalde manier in te richten. Je kunt complete workflows bouwen die je bestaande processen ondersteunen...

[nextware]

Blokker_1999 schreef op vrijdag 25 maart 2022 @ 18:37:
Na een korte discussie vandaag op het werk die mij met meer vragen dan iets anders heeft opgezadeld wil ik eens even de vraag stellen aan mede systeembeheerders.

Hoe zorgen jullie voor een vertaling vanuit HR naar jullie MS omgeving? En dan heb ik het primair over on- en offboarding van gebruikers. Gaat jullie HR systeem zelf de gebruiker in AD aanmaken, mailbox aanmaken, o365, Teams, ... in orde zetten? Hebben jullie daar commerciele middleware voor? Of gebruiken jullie daar zelf geschreven applicaties voor?

Bij ons is er in Azure AD een WorkDay User Provisioning aangemaakt.
Binnen WorkDay wordt er dan door HR een gebruiker aangemaakt, de provisioning zorgt ervoor dat deze in Azure AD terechtkomt. Vanuit daar zorgt de AAD Sync service ervoor dat deze in de on-premises AD terecht komt.
En zodra de user daarin staat zorgt onze ServiceNow ervoor dat het useraccount geheel wordt afgewerkt met, onder andere, een M365 licentie, AD-groepen, etc

Als er ergens in het proces iets niet goed gaat, dan ontvangt onze Servicedesk daarvan een mailtje en die corrigeren het dan waarna het user account in orde is.

Een kleine test die we hebben uitgevoerd levert ons op dat een useraccount geheel klaar is binnen een uurtje nadat het account in WorkDay is aangemaakt.

Heeft even wat voeten in de aarde gehad om dit werkend te krijgen, maar het werkt nu perfect en heeft ons als IT afdeling heel wat werk uit handen genomen

[E.vanRootselaar]

Modbreak:

Misschien goed bedoeld, maar in deze vorm is dit gewoon spam..

[ Voor 90% gewijzigd door Question Mark op 01-04-2022 10:35 ]

[Blokker_1999]

E.vanRootselaar schreef op vrijdag 1 april 2022 @ 08:55:
[modbreak]Misschien goed bedoeld, maar in deze vorm is dit gewoon spam..[/]

Gegeven de modbreak neem ik aan dat je probeerde van hier een product aan te bevelen. Hoewel het leuk is om te zien wat er op de markt is, had ik vooral graag ervaringen van mensen gezien over hoe zij er in staan tussen de keuze zelfbouw of commercieel omdat ik zelf tot op heden nog niet in een omgeving gewerkt heb waar de middleware niet zelf ontwikkeld werd en je dus bijvoorbeeld ook nooit HR gedwongen hebt om hun processen lichtjes aan te passen aan wat de middleware wel of niet kan doen bijvoorbeeld.

[Linke Loe]

Wij gebruiken hiervoor Onelogin als IAM platform, gekoppeld aan Workday als HR directory. Wij hebben bewust gekozen voor een 3rd party systeem, om op die manier ook user provisioning en single sign-on te kunnen doen voor andere applicaties. Van onze 7000 medewerkers heeft maar ongeveer 10% een zakelijk mailadres, dus heeft het voor ons geen zin om met eigen gebouwde Powershell scripting aan de slag te gaan. We hebben immers niet voor alle actieve medewerkers een (Azure) AD account.

Wij hebben het IAM platform ingevoerd, tegelijkertijd met de implementatie van Workday. De HR afdelingen hadden dus sowieso al te maken met veranderingen van hun processen, waardoor het alleen maar makkelijker werd om de processen van IT en HR op elkaar af te stemmen. Persoonlijk heb ik het als een grotere uitdaging ervaren, om de HR afdelingen zich ervan bewust te maken, dat zij nu eigenlijk verantwoordelijk worden gemaakt voor correcte toegang tot applicaties als Office365, Salesforce en ons service management systeem 4Me. Immers, op basis van informatie uit Workday bepaalt Onelogin welke toegang een medewerker gaat krijgen. Ik ben dan weer erg benieuwd naar hoe dit bij anderen opgepakt wordt.

[P_de_B]

Blokker_1999 schreef op vrijdag 1 april 2022 @ 11:21:
[...]

en je dus bijvoorbeeld ook nooit HR gedwongen hebt om hun processen lichtjes aan te passen aan wat de middleware wel of niet kan doen bijvoorbeeld.

Als je goede middleware hebt is dat echt niet nodig hoor.

[ftpfreak]

Wij gebruikte hiervoor een Powershell script om het HR systeem aan AD te koppelen. Zowel het aanmaken als het disablen en verwijderen van accounts was hiermee geautomatiseerd. Net zoals het registreren van de acties in een ticket systeem.

We liepen er later wel tegenaan dat het best veel tijd kost om op dit script aanpassingen en verbeteringen door te voeren.
Aangezien er behoefte is om nog meer te automatiseren richting accounts en rechten binnen applicaties is er toch voor gekozen om dit Powershell script uit te fasseren en hier een commerciele oplossing voor aan te schaffen en te implementeren.

Het is in het begin wel een kwestie van HR opvoeden, als een medewerker niet in het HR systeem staat dan zal er geen account gemaakt worden. We liepen er wel tegenaan dat er vragen kwamen of we dan niet toch handmatig een account wilde aanmaken.

[ Voor 3% gewijzigd door ftpfreak op 03-04-2022 09:49 ]