Met de release van AFAS Profit 8 kwam er een langverwachte functie bij: een native Profit 8 Entra ID koppeling. Voor het eerst kun je vanuit AFAS gebruikersgroepen rechtstreeks synchroniseren naar Microsoft Entra ID, zonder tussenoplossing. Dat is goed nieuws: AFAS erkent daarmee dat je HR-systeem de logische bron is voor identiteiten en toegang. Tegelijk roept het bij veel IT-beheerders de vraag op: hoe ver reikt deze koppeling eigenlijk, en wat als mijn omgeving net wat complexer is?

In deze blog leggen we uit wat de Profit 8 Entra ID koppeling precies doet, waar ze sterk in is, en op welke punten ze bewust eenvoudig is gehouden. Daarna laten we zien wat een koppeling via Joinly toevoegt, zodat je een weloverwogen keuze kunt maken die past bij jouw organisatie.

Wat is de Profit 8 Entra ID koppeling?

De AFAS Entra ID koppeling in Profit 8 maakt het mogelijk om gebruikersgroepen uit Profit automatisch te synchroniseren naar Microsoft Entra ID. Je koppelt een gebruikersgroep in AFAS aan een groep in Entra ID, en vanaf dat moment houdt AFAS die groep bij. Voeg je iemand toe aan de Profit-groep, dan verschijnt de gebruiker in de Entra ID-groep; verwijder je iemand, dan wordt het lidmaatschap ook in Entra ID ingetrokken.

Belangrijk uitgangspunt: Profit is leidend. AFAS is de bron van waarheid en overschrijft wijzigingen die je handmatig in Entra ID doet. Dat is precies zoals het hoort in identity management, je wilt niet dat rechten buiten je HR-proces om ontstaan.

Concreet regelt de native koppeling onder meer:

• Groepslidmaatschappen synchroniseren van Profit naar Entra ID (toevoegen én verwijderen).

• UPN-generatie bij onboarding, op basis van een naamconventie zoals voornaam.achternaam@domein, met detectie van dubbele namen.

• Uitdiensttreding: bij offboarding worden accounts uitgeschakeld (niet verwijderd) in beide systemen.

• Groepsomschrijving doorzetten vanuit Profit.

Om de koppeling te activeren configureer je in Profit een Directory ID, Application ID en Application Secret, en stel je in Entra ID de juiste API-permissies in (lezen/schrijven van groepen en gebruikersprofielen). De UPN-waarden moeten aansluiten op je primaire Entra-domein.

Voor organisaties met een overzichtelijke, volledig cloud-gebaseerde Microsoft-omgeving is dit een prima startpunt. Je haalt handmatig groepsbeheer weg en houdt Entra ID synchroon met je personeelsadministratie. AFAS heeft hiermee een belangrijke stap gezet, en het is goed dat de basis nu standaard in Profit zit.

Waar de native koppeling bewust bij de basis blijft

De Profit 8 Entra ID koppeling is ontworpen om één ding goed te doen: AFAS-gebruikersgroepen spiegelen naar Entra ID-groepen. Dat is waardevol, maar het betekent ook dat de scope afgebakend is. Voor veel Nederlandse organisaties begint de identity-praktijk juist net buiten die scope. De belangrijkste aandachtspunten:

Alleen Microsoft Entra ID als doelsysteem. De koppeling schrijft naar Entra ID in de cloud. Heb je nog een on-premises Active Directory of Exchange on-prem (een hybride situatie die in Nederland nog volop voorkomt), dan valt dat buiten de native koppeling.

Groepssynchronisatie, geen volledige lifecycle-orkestratie. De koppeling houdt groepslidmaatschappen bij. Vervolgacties die horen bij joiner-mover-leaver — zoals het toewijzen en intrekken van licenties, het opschonen van mailboxen, het daadwerkelijk verwijderen van accounts na een bewaartermijn, of acties in andere systemen, vragen aanvullende inrichting.

Één bron, één type doel. De koppeling verbindt AFAS met Entra ID. Werk je met meerdere HR-bronnen, of wil je vanuit AFAS ook andere doelsystemen voeden (bijvoorbeeld een ITSM-tool, een leerplatform of een branchespecifieke applicatie), dan reikt de standaardkoppeling daar niet.

Beperkte governance-laag. Synchroniseren op groepsniveau is niet hetzelfde als rolgebaseerde (RBAC) of attribuut-gebaseerde (ABAC) autorisatie, waarbij toegang automatisch volgt uit functie, afdeling, locatie of kostenplaats. Ook workflows met goedkeuringen en notificaties — bijvoorbeeld een manager die een uitzondering moet accorderen, zitten niet in de basiskoppeling.

Dit zijn geen tekortkomingen van AFAS; het is een kwestie van scope. AFAS levert een sterk HR- en ERP-platform en heeft met de Entra ID koppeling de deur naar geautomatiseerd identity management opengezet. Voor omgevingen die verder gaan dan één bron en één cloud-doel, is een gespecialiseerde identity lifecycle management-oplossing de logische aanvulling.

Het verschil met een koppeling via Joinly

Joinly is een Europees, ISO 27001-gecertificeerd platform voor Identity & Access Management dat de volledige levenscyclus van een medewerker automatiseert — van indiensttreding, via functiewijzigingen, tot uitdiensttreding. Joinly leest wijzigingen rechtstreeks uit AFAS (via de REST API) en vertaalt die naar de juiste acties in al je doelsystemen. Waar de native koppeling groepen spiegelt, orkestreert Joinly het complete proces eromheen.

Wat een koppeling via Joinly toevoegt ten opzichte van de standaard Profit 8 Entra ID koppeling:

• Hybride omgevingen worden ondersteund. Naast Entra ID koppelt Joinly ook met Active Directory on-premises en Exchange, zodat hybride organisaties niet vastlopen op de grens tussen cloud en on-prem.

• Volledige vervolgacties. Joinly regelt niet alleen groepslidmaatschap, maar ook licentietoewijzing, offboarding, het verwijderen of archiveren van accounts na een bewaartermijn en alle andere stappen die bij een correcte joiner-mover-leaver horen.

• Rolgebaseerde toegang (RBAC). Toegang volgt automatisch uit functie, afdeling of organisatie-eenheid. Iemand die van rol wisselt, krijgt in één beweging de juiste rechten — en verliest de oude.

• Attribuut-gebaseerde toegang (ABAC). Voor fijnmazige situaties bepaalt Joinly toegang op basis van attributen zoals locatie, contracttype, kostenplaats of project. Zo dek je uitzonderingen af zonder een woud aan groepen.

• Workflows, notificaties en goedkeuringen. Processen die menselijke tussenkomst vragen, een accordering, een melding aan de servicedesk, een seintje naar de manager, worden als workflow ingericht.

• Alle HR-systemen als bron. Naast AFAS koppelt Joinly ook met bijvoorbeeld Youforce, Workday en andere HR-systemen. Werk je met meerdere bronnen, dan komen ze samen in één identity-proces.

• Alle denkbare doelsystemen. Van Microsoft 365 tot branchespecifieke applicaties: Joinly voedt niet alleen Entra ID, maar elk doelsysteem dat je wilt aansturen vanuit je HR-bron.

• Koppeling met ITSM zoals TOPdesk. Provisioning-acties kunnen automatisch tickets of taken aanmaken in je servicemanagement-tool, zodat de servicedesk altijd op de hoogte is.

• Elke UPN-constructie en naamopbouw. Joinly ondersteunt alle denkbare UPN-constructies, opbouw van displaynames, functiebenamingen en naamconventies, inclusief fallback-patronen die naambotsingen voorkomen bij dubbele namen of meerdere aanstellingen.

Daarbovenop houdt Joinly een volledige audit trail bij: elke actie is herleidbaar tot de HR-brongegevens. Dat helpt bij aantoonbare compliance met NIS2 en ISO 27001, en geeft je op elk moment antwoord op de vraag wie heeft toegang tot wat, en waarom?

Profit 8 Entra ID koppeling versus Joinly: de vergelijking

Wanneer kies je wat?

De keuze hangt af van de complexiteit van je omgeving. Heb je een volledig cloud-gebaseerde Microsoft-omgeving, werk je uitsluitend met AFAS als bron en wil je vooral groepslidmaatschappen synchroon houden? Dan is de native Profit 8 Entra ID koppeling een prima en toegankelijke oplossing waarmee je snel waarde haalt.

Loop je tegen één of meer van de volgende situaties aan, een hybride AD/Exchange-omgeving, licentie- en offboarding-automatisering, rol- of attribuutgebaseerde toegang, meerdere HR-bronnen of doelsystemen, ITSM-integratie, of complexe UPN- en naamregels, dan biedt een koppeling via Joinly de orkestratielaag die de native koppeling bewust niet levert. In veel gevallen bouwen organisaties juist voort op de fundamenten die AFAS heeft gelegd, en gebruiken ze Joinly om het proces eromheen compleet en waterdicht te maken.

Conclusie

De Profit 8 Entra ID koppeling is een welkome stap: AFAS omarmt het principe dat je HR-systeem leidend is voor identiteiten en toegang, en levert een solide basis om gebruikersgroepen naar Entra ID te synchroniseren. Voor eenvoudige, cloud-only omgevingen is dat precies genoeg.

Zodra je omgeving complexer wordt, hybride infrastructuur, volledige lifecycle-automatisering, RBAC/ABAC, meerdere bronnen en doelen, workflows en ITSM, vraagt identity management om een gespecialiseerd platform. Joinly bouwt voort op de AFAS-brongegevens en automatiseert het volledige proces, zodat elke medewerker op dag één de juiste toegang heeft en bij vertrek netjes wordt afgesloten. Zo combineer je het beste van beide werelden: AFAS als betrouwbare bron, Joinly als de motor die er geautomatiseerd, veilig en aantoonbaar compliant identity management van maakt.

Benieuwd hoe een koppeling via Joinly er voor jouw AFAS-omgeving uitziet? Plan een vrijblijvende demo en we laten het je zien.