Wanneer identity-beheer dubbel werk wordt
Een nieuwe collega begint. HR legt de gegevens vast, IT maakt het account gereed en verschillende systemen moeten dezelfde werkelijkheid blijven volgen. Zolang de koppeling tussen die stappen ontbreekt, hangt de betrouwbaarheid af van mensen die wijzigingen op tijd overnemen.
Bij Wigo4it werkte HR in AFAS, terwijl IT dezelfde gebruikers ook beheerde in Microsoft Identity Manager (MIM). Er was geen automatische koppeling tussen beide systemen. Een indiensttreding of naamswijziging betekende daardoor extra werk, met ruimte voor verschillen tussen administraties.
De vraag achter de migratie was praktisch: hoe kunnen medewerkergegevens leidend worden, handmatig beheer afnemen en architectuurkeuzes openblijven?
AFAS als bron. Keycloak als schakel.
De nieuwe inrichting begint bij een duidelijke verdeling van verantwoordelijkheden. AFAS is de leidende bron voor medewerkergegevens. Keycloak vormt de centrale identity store. Microsoft Entra ID blijft verantwoordelijk voor de identiteiten die nodig zijn voor Microsoft-diensten.
De synchronisatie is opgesplitst in twee stappen: van AFAS naar Keycloak en van Keycloak naar Entra ID. Daardoor zijn het ophalen van HR-gegevens en het verwerken ervan in de Microsoft-omgeving afzonderlijk te onderhouden.
“Eén bron van waarheid” betekent hier dat HR-gegevens op één plek worden beheerd. Accounts bestaan nog steeds in meerdere systemen. Het verschil is dat die systemen dezelfde bron volgen, in plaats van ieder een eigen administratie te vormen.
Keuzevrijheid vraagt ook om beheer
Keycloak biedt een open-sourcebasis voor identity en ondersteunt open standaarden. Dat vergroot de ruimte om onderdelen van het landschap onafhankelijker in te richten. De synchronisatielogica blijft bovendien leesbaar en aanpasbaar.
Daarmee verdwijnen afhankelijkheden niet volledig. API’s, datamodellen, configuratie en kennis van de gekozen componenten blijven bepalend. Open source brengt ook verantwoordelijkheid mee voor updates, beveiliging, beschikbaarheid en onderhoud. Een ander identity-platform invoeren blijft een wijziging die ontwerp en tests vereist.
Waarom Entra ID onderdeel blijft van de oplossing
Bij Wigo4it draait de cloudinfrastructuur in Azure. Ook Microsoft 365 en de bestaande beveiligingsinrichting zijn verbonden met Entra ID. Die functies hebben een duidelijke plaats in het landschap:
- Identity Governance ondersteunt het beheren en periodiek beoordelen van toegang.
- Privileged Identity Management maakt tijdelijke activatie van beheerrechten mogelijk, met de ingerichte goedkeurings- en controleprocessen.
- Conditional Access past toegangsbeleid toe op basis van onder meer apparaat, locatie en risico.
- Microsoft 365 gebruikt Entra ID voor diensten zoals Teams, SharePoint en Exchange.
De architectuur behoudt deze functies en maakt de verwerking van HR-gegevens minder afhankelijk van MIM. Digitale autonomie krijgt daarmee een concrete invulling: kunnen bepalen waar gegevens vandaan komen, hoe ze worden verwerkt en welke onderdelen aanpasbaar blijven.
“Autonomie haalt risico niet weg. Het legt het bij jou neer.”
Uit de oorspronkelijke publicatie van Pascal van der Horst
Betrouwbare automatisering begint bij de bron
Automatisch synchroniseren helpt alleen als de invoer bruikbaar is. Daarom controleert de synchronisatie verplichte velden, de opbouw van e-mailadressen en de verwachte notatie van telefoonnummers. JSON-schemavalidatie helpt om afwijkingen vroeg te herkennen.
Ontbreekt een vereist veld, dan wordt de betreffende gebruiker overgeslagen en ontvangt het verantwoordelijke team een melding. HR blijft verantwoordelijk voor de medewerkergegevens. IT beheert de koppelingen en de verwerking ervan.
Ook uitdiensttreding hoort bij het ontwerp
De uitdiensttredingsdatum in AFAS stuurt de accountlevenscyclus. Actieve gebruikers worden bijgewerkt. Bij uitdiensttreding schakelt de synchronisatie de accounts in Keycloak en Entra ID uit. Na een ingestelde periode volgt verwijdering in beide systemen.
Een volledig offboardingproces vraagt daarnaast aandacht voor bestaande sessies, applicatietoegang en bewaarplichten. Die bredere controles zijn een aandachtspunt bij toepassing in een andere organisatie; het diagram toont uitsluitend de beschreven accountverwerking.
Maak zichtbaar wat er gebeurt
Bijzondere gebeurtenissen leiden tot Teams-notificaties voor HR, het beheerteam en waar relevant officemanagement. Denk aan een aangemaakte gebruiker, een verwijderd account, een onvolledig profiel of een mislukte aanmaakactie.
Een periodiek overzicht telt de aangemaakte, bijgewerkte, uitgeschakelde, verwijderde en mislukte verwerkingen. Daarnaast legt een auditlog acties vast met tijdstip en resultaat. Zo wordt ook zichtbaar wanneer de keten aandacht nodig heeft.
Ontworpen om te testen en over te dragen
De oplossing bestaat uit Bash-scripts en JSON-configuratie. De afzonderlijke stappen zijn modulair opgebouwd: gegevens ophalen, valideren, omzetten en verwerken. Een wijziging aan een API kan daardoor gericht worden aangepakt, met controle op de gevolgen voor de rest van de keten.
In de oorspronkelijke publicatie van 3 april 2026 beschreef Pascal van der Horst 333 geautomatiseerde tests voor de twee synchronisatiepipelines en de gedeelde hulpfuncties. De tests gebruiken BATS en behandelen onder meer nieuwe medewerkers, wijzigingen, uitdiensttreding en ongeldige profielen. Dat aantal beschrijft de situatie van toen; het is geen actuele kwaliteitsmeting.
Een dry-run doorloopt authenticatie en datavalidatie en maakt geplande acties inzichtelijk, zonder de bijbehorende mutaties uit te voeren. Dat helpt bij acceptatie en overdracht. Behandel de uitvoer daarbij als gevoelige informatie: identiteitsgegevens in rapporten en logs vragen om beperkte toegang en passende bewaartermijnen.
Authenticatie passend bij de omgeving
Voor de verbinding met Azure-diensten ondersteunt de oplossing vier authenticatiemethoden:
| Methode | Toepassing |
|---|---|
azure_cli | Lokale ontwikkeling met de aangemelde engineer. |
managed_identity | Ondersteunde Azure-runtime met een toegewezen identiteit. |
workload_identity | Een pipeline met ingerichte OIDC-federatie, zoals GitHub Actions. |
client_secret | Een service principal met een beheerd en te roteren secret. |
Waar de runtime het ondersteunt, hebben managed identity en workload identity de voorkeur. Ze vermijden een langdurig client secret voor die Azure-verbinding. Rechten, federatievoorwaarden en andere credentials in de keten blijven aandacht vragen.
Wat deze aanpak andere organisaties kan leren
De in het oorspronkelijke artikel beschreven opbrengst is vooral operationeel: de dubbele gebruikersadministratie vervalt, personeelsmutaties worden automatisch verwerkt en de verantwoordelijkheden tussen HR en IT zijn duidelijker. De afhankelijkheid van de MIM-server verdwijnt, terwijl de gekozen Microsoft-diensten behouden blijven.
Er zijn in deze case geen gekwantificeerde besparingen of doorlooptijdmetingen gepubliceerd. De waarde zit in de inrichting van de keten en de controle daarop.
Voor een vergelijkbaar traject vormen vier vragen het vertrekpunt:
- Welk systeem is leidend voor welke gegevens, en wie is eigenaar van de kwaliteit?
- Welke stappen bij instroom, wijziging en uitstroom gebeuren nog handmatig?
- Hoe worden fouten zichtbaar, opgevolgd en opnieuw verwerkt?
- Kan het beheerteam wijzigingen testen, beoordelen en overdragen?
De passende oplossing volgt uit die antwoorden. In deze praktijkcase bracht de combinatie van AFAS, Keycloak en Entra ID meer samenhang in het identity-landschap. De bredere les is dat autonomie ook dagelijks beheer vraagt: duidelijke verantwoordelijkheden, inzicht in de verwerking en een onderhoudbare architectuur.
Over deze publicatie
Deze praktijkervaring gaat over Wigo4it. De oorspronkelijke publicatie vermeldt Pascal van der Horst als auteur en Platform & Cloud Engineer bij Wigo4it. Deze bewerking presenteert het project niet als een klantopdracht aan Horst IT Consultancy.
Lees het oorspronkelijke artikel op developer.overheid.nl. De diagrammen zijn opnieuw getekend op basis van de beschreven architectuur. Toelichtingen over beheer, logging en toepassing bij andere organisaties zijn redactionele aanvullingen.
Meer grip op identity en beheer.
Van HR-mutatie tot toegang tot applicaties: een heldere keten begint met inzicht in de huidige inrichting. Horst IT Consultancy ondersteunt bij architectuur, automatisering en beheer.
Bespreek een identity-vraagstuk