Waarover gaat dit artikel?

Veel organisaties hebben medewerkers die geen bedrijfsmailbox hebbenn: productiemedewerkers, magazijniers, chauffeurs, seizoenarbeiders, poetspersoneel, verplegend personeel. Toch moeten ze kunnen aanmelden in Epowerhr om verlof aan te vragen, hun loonbrief te bekijken of een document te ondertekenen.

Gebruikt je organisatie Microsoft Entra ID (Office 365) voor de aanmelding in Epowerhr, dan heb je drie manieren om deze medewerkers toegang te geven:

1. Een Entra ID-account in je eigen tenant — een cloud-only account met een bedrijfs-UPN (voornaam.achternaam@bedrijf.be) maar zonder Microsoft 365-licentie.
2. Een gastaccount op het privé-e-mailadres van de medewerker — de medewerker wordt als gast uitgenodigd in je Entra ID-tenant en meldt aan met de identiteit die hij of zij al heeft (Microsoft-account zoals outlook.com of hotmail.com, Google zoals gmail.com, …). Epowerhr stuurt de aanmelding via een domain hint rechtstreeks naar je tenant.
3. Een lokale Epowerhr-gebruikersnaam en -wachtwoord — een Forms-authenticatiemethode die je rechtstreeks op de gebruiker in Epowerhr aanmaakt, zonder tussenkomst van Entra ID.

Bij opties 1 en 2 blijft elke aanmelding binnen je Entra ID: ze verschijnen in de Entra-aanmeldingslogboeken van de Epowerhr-bedrijfstoepassing, je Conditional Access- en MFA-beleid is van toepassing, en offboarding gebeurt op één plaats. Dat is een echt voordeel wanneer je toegangsbeheer en logging moet kunnen aantonen voor NIS2. Optie 3 is het snelst opgezet, maar staat buiten je identiteitsplatform.

Hieronder beschrijven we elke optie, gevolgd door een vergelijking naast elkaar en de praktische vragen die het vaakst terugkomen (waaronder "wat als ze hun wachtwoord vergeten?").

Voor je begint

• Epowerhr moet voor je tenant al geconfigureerd zijn met het authenticatietype Microsoft Entra ID (Office 365). Gebruik je vandaag alleen Forms-logins, neem dan eerst contact op met de support van Epowerhr.
• Voor opties 1 en 2 heb je een Entra ID-beheerder nodig (User Administrator of Global Administrator) om accounts aan te maken of gastuitnodigingen te versturen.
• Voor elke optie heb je in Epowerhr de rechten Administratie, Gebruikers (bekijken) en Authenticatiemethode toevoegen nodig om de aanmeldmethode op de gebruiker toe te voegen. Zie Toegang: gebruikers beheren.
• Beslis waar het herstelcontact van de medewerker zit: een privé-e-mailadres of een gsm-nummer. Zonder herstelcontact komt elk vergeten wachtwoord bij je IT-dienst (optie 1) of bij de Epowerhr-beheerder (optie 3) terecht.

Optie 1 — Entra ID-account in je eigen tenant, zonder licentie

Je Entra ID-beheerder maakt een cloud-only gebruiker aan in je tenant met een UPN op het bedrijfsdomein, bijvoorbeeld jan.peeters@bedrijf.be, en kent geen Microsoft 365-licentie toe. Entra ID zelf is hiervoor gratis: het account kan aanmelden bij elke toepassing die met je tenant gefedereerd is, dus ook bij Epowerhr.

Voeg in Epowerhr een authenticatiemethode van het type Microsoft Entra ID (Office 365) toe op de gebruiker en vul de UPN in als Login.

De medewerker meldt aan op de aanmeldpagina van Epowerhr met jan.peeters@bedrijf.be en het wachtwoord dat in Entra ID is ingesteld.

Wat de medewerker wel en niet kan met dit account

• Aanmelden in Epowerhr en in elke andere toepassing die je met Entra ID federeert.
• Niet Outlook, Teams, SharePoint of OneDrive openen: dat zijn gelicentieerde diensten en het account heeft geen licentie. De UPN ziet eruit als een mailbox, maar er zit geen mailbox achter. Maak dat duidelijk aan de medewerker, anders probeert hij of zij naar dat adres te mailen.
• Elke notificatiemail van Epowerhr gaat nog altijd naar het veld E-mail op het tabblad Detail van de gebruiker in Epowerhr. Vul daar het privé-e-mailadres van de medewerker in, niet de UPN.

Wachtwoord vergeten

Het account heeft een eigen Entra ID-wachtwoord, dus de medewerker heeft een manier nodig om dat te resetten:

• Self-service password reset (SSPR) is beschikbaar voor cloud-only gebruikers op elk Entra ID-licentieniveau, ook Free. Je beheerder schakelt SSPR in voor de groep waarin deze medewerkers zitten; de medewerker moet dan bij de eerste aanmelding een herstelmethode registreren (privé-e-mailadres, gsm-nummer of de Microsoft Authenticator-app). Daarna kan hij of zij zelf het wachtwoord resetten via https://aka.ms/sspr, zonder tussenkomst van IT.
• Is SSPR niet ingeschakeld, of heeft de medewerker nooit een herstelmethode geregistreerd, dan reset een Entra ID-beheerder het wachtwoord in het Microsoft Entra-beheercentrum en bezorgt de medewerker een tijdelijk wachtwoord. Hou hier rekening mee: wie maar één keer per maand aanmeldt, vergeet vaak zijn wachtwoord.
• Gebruikt je tenant security defaults of Conditional Access met MFA, dan moet de medewerker ook de Microsoft Authenticator-app (of een telefoonnummer) registreren op een privé-smartphone.

Offboarding

Schakel het account uit of verwijder het in Entra ID. De aanmelding in Epowerhr stopt onmiddellijk; de Epowerhr-gebruiker kun je daarna deactiveren.

Optie 2 — Gastaccount op het privé-e-mailadres van de medewerker

In plaats van een nieuwe identiteit aan te maken, nodigt je Entra ID-beheerder het privé-e-mailadres van de medewerker uit als gast (Entra External ID / B2B collaboration). De medewerker aanvaardt de uitnodiging één keer en meldt daarna aan bij je tenant met de identiteit die hij of zij al bezit:

Voeg in Epowerhr een authenticatiemethode van het type Microsoft Entra ID (Office 365) toe op de gebruiker en vul als Login het privé-e-mailadres in waarmee de gast is uitgenodigd.

Waarom de domain hint belangrijk is. Een gast bestaat alleen in jouw tenant. Komt de medewerker op de generieke aanmeldpagina van Microsoft terecht en typt hij of zij jan.peeters@outlook.com, dan meldt Microsoft aan bij het persoonlijke account, niet bij je tenant, en wordt de aanmelding geweigerd. Daarom stuurt Epowerhr een domain hint voor je bedrijfsdomein mee met de Entra ID-aanmeldaanvraag, zodat Microsoft meteen de aanmeldpagina van je tenant opent en de gastidentiteit gebruikt. Vraag de support van Epowerhr om de domain hint voor je tenant te configureren als die nog niet actief is.

Wat de medewerker krijgt

• Geen nieuw wachtwoord. Hij of zij blijft het wachtwoord van het eigen Microsoft- of Google-account gebruiken. Vergeten wachtwoorden worden door Microsoft of Google afgehandeld, nooit door je IT-dienst.
• MFA blijft gelden: Conditional Access-beleid dat MFA vereist, geldt ook voor gasten, en de gast registreert zijn of haar MFA-methode in je tenant bij het eerste gebruik.
• Geen licentiekost. B2B-gastaanmeldingen worden aangerekend per maandelijks actieve gebruiker, met een gratis plafond van 50.000 maandelijks actieve gebruikers per tenant, ruim boven wat een HR-toepassing nodig heeft.

Aandachtspunten

• De medewerker moet bereid zijn om zijn of haar privé-adres te gebruiken om aan te melden voor het werk. Spreek dat af binnen de arbeidsrelatie en neem het op in je privacydocumentatie; het adres wordt door je tenant verwerkt.
• Verandert de medewerker van privé-adres, dan moet de gast opnieuw uitgenodigd worden en moet je de Login in Epowerhr aanpassen.
• De route met eenmalige code vereist bij elke aanmelding toegang tot de mailbox, wat trager is dan een gefedereerd Microsoft- of Google-account. Geef waar mogelijk de voorkeur aan Microsoft- en Google-accounts.
• De aanmeldingslogboeken registreren de gastaanmelding met het externe adres als gebruiker, samen met de gebruikte identity provider.

Offboarding

Verwijder de gast uit je Entra ID-directory. De toegang tot Epowerhr stopt onmiddellijk; de medewerker behoudt zijn of haar privé-account ongewijzigd.

Optie 3 — Lokale Epowerhr-gebruikersnaam en -wachtwoord (Forms)

Voeg op de Epowerhr-gebruiker een authenticatiemethode van het type Forms toe, kies een login en een initieel wachtwoord, en bewaar. Epowerhr mailt de login en het wachtwoord naar het E-mail-adres op het tabblad Detail van de gebruiker, dus vul het privé-adres van de medewerker in voor je de methode bewaart. De procedure staat beschreven in Toegang: gebruikers beheren.

De medewerker meldt aan op de aanmeldpagina van Epowerhr met die login en dat wachtwoord. Entra ID komt er niet aan te pas.

Wachtwoord vergeten

De medewerker gebruikt de link wachtwoord vergeten op de aanmeldpagina van Epowerhr; de resetmail gaat naar hetzelfde E-mail-adres. Heeft de medewerker geen werkend privé-adres, dan wijzigt een Epowerhr-beheerder de Forms-methode en stelt een nieuw wachtwoord in, dat opnieuw gemaild wordt.

Aandachtspunten

• Dit is een extra wachtwoord dat de medewerker moet onthouden en dat jij moet beheren (sterkte, rotatie, lock-out). Het staat in de identity server van Epowerhr, buiten je Entra ID.
• Aanmeldingen worden gelogd door Epowerhr, niet in je Entra-aanmeldingslogboeken. Centraliseer je aanmeldbewijs in Entra ID of een SIEM voor NIS2, dan ontbreken deze aanmeldingen daar.
• Je Conditional Access-beleid (MFA, locatie, toestel) is niet van toepassing.
• Offboarding is een tweede stap: de persoon uitschakelen in Entra ID doet niets met een Forms-login. Je moet ook de Epowerhr-gebruiker deactiveren (of de Forms-methode uitschakelen).

Vergelijking

Aanbeveling

• Kies standaard voor optie 2 wanneer medewerkers een Microsoft- of Google-account hebben en aanvaarden om dat te gebruiken: geen wachtwoord te beheren, geen licentie, volledige Entra-logging.
• Gebruik optie 1 wanneer je beleid vereist dat elke werknemer een bedrijfsidentiteit heeft, of wanneer je geen privé-adressen in je directory wilt. Schakel SSPR in voor je uitrolt, anders komen wachtwoordresets op je servicedesk terecht.
• Hou optie 3 voor uitzonderingen en noodsituaties, bijvoorbeeld een externe auditor met een korte opdracht, of een beheerdersnoodingang terwijl de Entra ID-koppeling wordt aangepast. Vermijd het als standaard voor een hele populatie.

De drie opties sluiten elkaar niet uit. Een gebruiker kan zowel een Microsoft Entra ID (Office 365)- als een Forms-methode hebben; je kunt een medewerker ook later van optie 3 naar optie 1 of 2 verhuizen door de Microsoft Entra ID (Office 365)-methode toe te voegen en de Forms-methode te verwijderen.

Veelgestelde vragen

Kunnen we opties combineren binnen één organisatie? Ja. Kantoorpersoneel met een licentie, productiemedewerkers op gastaccounts en enkele Forms-logins kunnen naast elkaar bestaan. Elke Epowerhr-gebruiker heeft gewoon de authenticatiemethode die bij hem of haar past.

De medewerker met een account zonder licentie probeert Teams te openen en krijgt een licentiefout. Is er iets mis? Nee. Het account dient alleen om aan te melden bij gefedereerde toepassingen zoals Epowerhr. Heeft de medewerker wel Teams of SharePoint nodig, ken dan een licentie toe (bijvoorbeeld Microsoft 365 F1 of F3 voor frontline workers); daarna werkt hetzelfde account overal.

Waarom krijgt de gast "Je kunt hier niet aanmelden met een persoonlijk account" bij het aanmelden? De domain hint is niet actief voor je tenant, of de medewerker is vertrokken vanaf een Microsoft-pagina in plaats van de aanmeldpagina van Epowerhr. Start altijd vanaf de aanmeldpagina van Epowerhr en vraag de support van Epowerhr om te bevestigen dat de domain hint geconfigureerd is.

Verschijnen gastaanmeldingen echt in onze Entra ID-aanmeldingslogboeken? Ja. Elke interactieve aanmelding bij de Epowerhr-bedrijfstoepassing wordt gelogd in je tenant, ook die van gasten en ook mislukte pogingen, met het Conditional Access-resultaat. Let wel: Entra ID bewaart aanmeldingslogboeken 7 dagen op het Free-niveau en 30 dagen op P1/P2. Voor NIS2-bewijs stuur je de logboeken door naar een Log Analytics-werkruimte, Microsoft Sentinel of je SIEM voor langere bewaring.

De medewerker is het wachtwoord van het Entra-account zonder licentie vergeten. Wat nu? Is SSPR ingeschakeld en heeft de medewerker een herstelmethode geregistreerd, dan reset hij of zij het zelf via https://aka.ms/sspr. Anders reset een Entra ID-beheerder het wachtwoord in het Entra-beheercentrum. Epowerhr kan geen Entra ID-wachtwoorden resetten.

De medewerker is het wachtwoord van zijn of haar Gmail- of Outlook-account vergeten. Dat is een zaak tussen de medewerker en Google of Microsoft. Zodra het account hersteld is, werkt de toegang tot Epowerhr opnieuw zonder dat jij iets moet aanpassen.

Kunnen we MFA afdwingen voor deze medewerkers? Opties 1 en 2: ja, via Conditional Access of security defaults in Entra ID; de medewerker registreert de Microsoft Authenticator-app op een privé-smartphone. Optie 3: Epowerhr Forms-logins vallen niet onder je Entra ID-beleid.

Wat gebeurt er als de medewerker uit dienst gaat? Opties 1 en 2: schakel het account of de gast uit of verwijder het in Entra ID, en deactiveer daarna de gebruiker in Epowerhr voor een proper dossier. Optie 3: deactiveer de gebruiker in Epowerhr; in Entra ID hoeft niets te veranderen.

We stappen over van Forms-logins naar een van de Entra ID-opties. Verliezen we iets? Nee. Voeg eerst op elke gebruiker de Microsoft Entra ID (Office 365)-methode toe, laat de medewerker één keer aanmelden om te bevestigen dat het werkt, en verwijder dan de Forms-methode. De Epowerhr-gebruiker, zijn of haar groepen, rechten en historiek blijven ongewijzigd.