AFAS-koppelingen
AFAS koppelen met Entra ID en Microsoft 365: wat regelt SSO wel en niet?
Met SSO loggen medewerkers via Entra ID in bij AFAS. Accounts en rechten aanmaken of intrekken bij in- en uitdienst regelt SSO niet; dat vraagt een aparte koppeling.
Een nieuwe collega staat in AFAS. SSO staat aan, dus inloggen gaat met het Microsoft-account. Alleen: dat account bestaat nog niet. IT maakt het met de hand aan, zet de collega in de goede groepen en hoopt dat er niets wordt vergeten. Bij uitdienst gaat het omgekeerd, en vaak te laat.
Op deze pagina lees je wat de koppeling tussen AFAS en Microsoft standaard regelt, wat niet, en hoe je toegang bij in- en uitdienst automatiseert. Lees ook waarom accounts nog met de hand worden aangemaakt.
In het kort
Het probleem. SSO staat aan, maar accounts, groepen en rechten worden bij elke in- en uitdienst nog met de hand geregeld.
De uitkomst. AFAS is de bron: een mutatie in AFAS zet het aanmaken, wijzigen of intrekken van toegang in gang, met een log van elke stap.
Zo werkt het
- Richt SSO in, zodat medewerkers met hun Microsoft-account inloggen.
- Maak AFAS de bron voor wie in dienst is en welke functie iemand heeft.
- Laat een Flow het account en de groepen in Entra ID voorbereiden volgens jouw regels.
- Trek toegang in zodra iemand uit dienst gaat.
Doe de gratis Flow Check30 minuten, gratis en vrijblijvend
Bijgewerkt op
Inhoudsopgave
Op deze pagina behandelen we de volgende onderwerpen:
- Wat regelt SSO wel en niet?
- Hoe maak je accounts automatisch aan vanuit AFAS?
- Wat gebeurt er bij uitdienst?
- Outlook, agenda en e-mail: wat zit er standaard in AFAS?
- De UPN: een klein veld met grote gevolgen
- Zo maak je het resultaat meetbaar
- Waar begin je?
- Verdieping: de technische inrichting
- Veelgestelde vragen
SSO en het beheren van accounts worden vaak door elkaar gehaald. Het zijn twee verschillende dingen.
Wat regelt SSO wel en niet?
Bij AFAS Online kun je single sign-on gebruiken met een eigen identity provider, zoals Microsoft Entra ID. Het inloggen wordt dan niet door AFAS afgehandeld, maar door die identity provider. Je kiest één identity provider. De inrichting aan de kant van de identity provider doe je zelf of met een partner; AFAS biedt daar geen ondersteuning op.
| Onderwerp | Regelt SSO dit? |
|---|---|
| Inloggen bij AFAS met het Microsoft-account | Ja |
| Een account aanmaken in Entra ID bij indiensttreding | Nee |
| Groepen en licenties toekennen | Nee |
| Toegang intrekken bij uitdienst | Nee |
| Rechten binnen AFAS | Nee, die regel je in de autorisatie van AFAS |
SSO is dus de voordeur. Wie een sleutel krijgt en wanneer die weer wordt ingeleverd, regel je apart.
Hoe maak je accounts automatisch aan vanuit AFAS?
Met de Flow AFAS Microsoft Entra ID-koppeling is AFAS de bron. Een mutatie in AFAS, zoals een indiensttreding of een functiewijziging, zet de Flow in gang. Die bereidt de toegang in Entra ID voor volgens jouw regels, logt elke stap en meldt uitzonderingen voordat ze een probleem worden.
Aanmaken, voorbereiden en akkoord geven zijn verschillende stappen. Jij bepaalt hoe ver de Flow gaat: het account volledig klaarzetten, of alleen voorbereiden met een akkoord erop. De Flow kent alleen de groepen toe die volgens je regels bij de functie horen. Wat afwijkt, gaat naar IT.
Voor wijzigingen daarna is er de Flow Automatisch gebruikers aanpassen: die past gebruikers aan op basis van je regels, signaleert uitzonderingen en controleert periodiek of alles nog klopt.
Wat gebeurt er bij uitdienst?
Toegang die blijft bestaan nadat iemand is vertrokken, is een risico dat niemand ziet tot het misgaat. De Flow UPN leegmaken maakt bij een uitdienstmutatie de UPN leeg, legt vast wat er gebeurt en meldt afwijkingen aan IT en HR. Lees ook waarom toegang nog met de hand wordt ingetrokken.
Outlook, agenda en e-mail: wat zit er standaard in AFAS?
| Functie | Wat AFAS biedt | Let op |
|---|---|---|
| E-mail vastleggen als dossieritem | Een invoegtoepassing voor Outlook | Werkt met de persoonlijke mailbox van de gebruiker, niet met een gedeelde mailbox |
| Agenda synchroniseren | Een Exchange-koppeling tussen de agenda in InSite en Outlook | Welke variant past, hangt af van je Exchange-omgeving; niet elke variant wordt in AFAS Online ondersteund |
| Inloggen | SSO via je identity provider | De inrichting bij de identity provider doe je zelf of met een partner |
Kijk dus eerst wat je omgeving standaard kan, voordat je iets laat bouwen.
De UPN: een klein veld met grote gevolgen
De UPN is de login-naam waarmee Microsoft een gebruiker herkent. Die moet in AFAS en in Microsoft gelijk zijn. Klopt hij niet, dan werkt inloggen niet goed en ziet een gebruiker in een Power BI-dashboard niets of het verkeerde. De Flow UPN vullen controleert op ontbrekende UPN's en vult ze volgens jouw naamregels.
Zo maak je het resultaat meetbaar
Leg in de Flow Check een nulmeting vast, zodat je na livegang kunt vergelijken met dezelfde definities. Dit zijn de meetpunten die hier het meest zeggen:
| Meetpunt | Wat het laat zien |
|---|---|
| Aandeel nieuwe medewerkers met een werkend account op de eerste werkdag | Of de start goed geregeld is |
| Tijd tussen indiensttreding in AFAS en een klaarstaand account | Hoe goed HR en IT op elkaar aansluiten |
| Tijd tussen uitdienst en ingetrokken toegang | Hoe groot het risico bij vertrek is |
| Aantal accounts zonder gekoppelde medewerker in AFAS | Hoeveel toegang niemand meer beheert |
Neem de laatste tien in- en uitdiensttredingen als nulmeting: wanneer stond het account klaar, en wanneer was de toegang weg?
Waar begin je?
Leg naast elkaar wie er volgens AFAS in dienst is en wie er een actief account heeft. De verschillen laten zien waar het proces lekt. Leg daarna per functie vast welke groepen en rechten erbij horen. Zonder die regels valt er niets te automatiseren.
Verdieping: de technische inrichting
Voor SSO met Entra ID op basis van OpenID Connect heeft de beheerder van Profit drie gegevens nodig: de configuratie-URL, een client-ID en een client secret. Gebruikers in AFAS kun je via de API toevoegen en wijzigen. Daarmee kan een koppeling een mutatie in AFAS vertalen naar een actie in Entra ID, en andersom de UPN in AFAS bijwerken.
Welke rechten de koppeling in Entra ID nodig heeft, hoe naamconventies en groepen zijn ingericht en of de gegevens in AFAS daarvoor compleet zijn, onderzoeken we in de Flow Check. Na livegang blijft de Flow onderhouden via Flow Service.
De uitleg op deze pagina is gebaseerd op de documentatie van AFAS, stand oktober 2026. AFAS werkt de software regelmatig bij. Controleer details en data in het AFAS Help Center.
Gratis Flow Check · 30 minuten
Toegang die klopt, vanaf dag één
Doe de gratis Flow Check. In 30 minuten kijken we samen naar je proces voor in- en uitdienst tussen AFAS en Microsoft. Je ontvangt het belangrijkste knelpunt, de Flow die past en een indicatie van de koppelingen die nodig zijn.
Veelgestelde vragen
Kan AFAS koppelen met Entra ID?
Ja. Bij AFAS Online kun je single sign-on inrichten met Entra ID als identity provider. Daarnaast kan een koppeling via de API een mutatie in AFAS vertalen naar een actie in Entra ID.
Maakt SSO automatisch accounts aan?
Nee. SSO regelt alleen het inloggen. Het aanmaken van een account in Entra ID, het toekennen van groepen en licenties en het intrekken van toegang regel je apart.
Wat gebeurt er met de toegang als iemand uit dienst gaat?
Dat hangt af van je proces. Zonder koppeling moet iemand de toegang met de hand intrekken. Met een Flow zet een uitdienstmutatie in AFAS het intrekken in gang, met een log en een melding bij afwijkingen.
Kan ik e-mail uit Outlook vastleggen in AFAS?
Ja. AFAS biedt een invoegtoepassing voor Outlook waarmee je e-mail vastlegt als dossieritem. Die werkt met de persoonlijke mailbox van de gebruiker, niet met een gedeelde mailbox.
Synchroniseert AFAS met de Outlook-agenda?
Dat kan met de Exchange-koppeling tussen de agenda in InSite en Outlook. Welke variant past, hangt af van je Exchange-omgeving. Niet elke variant wordt in AFAS Online ondersteund.
Zet de Flow zelf accounts aan of uit?
Dat bepaal jij. De Flow kan volledig klaarzetten of alleen voorbereiden met een akkoord erop. In de Flow Check leggen we de grenzen en testregels vast.