AFAS UPN automatisch bijwerken of aanmaken voor Entra ID

Wat is een UPN in AFAS?

UPN staat voor User Principal Name. Volgens Microsoft is het een inlognaam in de vorm van een e-mailadres: een voorvoegsel (de accountnaam), een @ en een domeinnaam, zoals naam@jouwbedrijf.nl. Een UPN moet uniek zijn, en Microsoft Entra ID gebruikt hem om gebruikers te laten inloggen (Microsoft Learn, UserPrincipalName, gecontroleerd op 2 november 2026).

Microsoft Entra ID is de dienst van Microsoft die accounts en toegang regelt, vroeger Azure AD genoemd. Wie Microsoft 365 gebruikt, heeft er al een.

In AFAS leg je de UPN vast per Profit-gebruiker. AFAS schrijft daarbij dat de UPN meestal een e-mailadres is, en dat je de juiste waarde bij je systeembeheerder opvraagt (help.afas.nl, Single sign-on inrichten, gecontroleerd op 2 november 2026).

Waarom wil je de UPN in AFAS automatisch vullen?

Omdat er twee dingen niet werken zolang het veld leeg is. Dit staat in de documentatie van AFAS (gecontroleerd op 2 november 2026):

AFAS stelt daarbij een eis: de UPN moet het primaire domein bevatten dat op de overzichtspagina van Entra ID staat. Anders krijg je fouten bij het synchroniseren.

Bij een paar nieuwe medewerkers per jaar vul je dat met de hand in. Komen er elke maand mensen bij, of stap je over op single sign-on met een bestaand personeelsbestand, dan wordt het handwerk groot en sluipen er typefouten in. Eén verkeerde letter en iemand kan op zijn eerste werkdag niet inloggen.

Kan AFAS de UPN zelf automatisch aanmaken?

Ja, vanaf Profit 9. Bij onboarding kan Profit op basis van de medewerker een gebruiker aanmaken. Die gebruiker kan dan automatisch een UPN krijgen, en AFAS reserveert die UPN ook in Entra ID. De opbouw van de UPN, het domein en wat er gebeurt bij een dubbele naam stel je in bij de UPN-generatie (help.afas.nl, Gebruikersgroepen synchroniseren met Entra ID).

In de onboarding vink je daarvoor UPN genereren aan. AFAS maakt de UPN pas later in de workflow aan. Er moet ook al een gebruiker bij de medewerker bestaan (help.afas.nl, Onboarden afronden, gecontroleerd op 2 november 2026).

Werk je op Profit 9 en loopt elke nieuwe medewerker via de onboarding, zet dan eerst deze ingebouwde functie aan. Daar heb je geen koppeling voor nodig.

Wanneer heb je toch een automatisering nodig?

In een paar situaties dekt de ingebouwde functie het niet:

• je hebt veel bestaande gebruikers zonder UPN, bijvoorbeeld omdat je nu pas overstapt op single sign-on;
• nieuwe medewerkers komen niet via de onboarding van AFAS binnen;
• je wilt de accounts in Entra ID met meer gegevens aanmaken, zoals afdeling of functie, of ook een licentie of groep toewijzen;
• je wilt periodiek controleren of AFAS en Entra ID nog overeenkomen.

Een Microsoft Graph-aanroep is de manier waarop software accounts in Entra ID leest of aanmaakt. Om een account aan te maken heb je onder meer accountEnabled, displayName, mailNickname, passwordProfile en userPrincipalName nodig. De UPN mag geen letters met accenten bevatten, en het domein moet een geverifieerd domein van je organisatie zijn (Microsoft Learn, Create User, gecontroleerd op 2 november 2026).

Hoe automatiseer je de AFAS UPN met n8n?

1. Lees de gebruikers uit AFASJe AFAS-beheerder maakt een GetConnector met medewerkers en gebruikers. Een workflow in n8n haalt die op vaste tijden op via de API. Hoe dat werkt, staat in AFAS koppeling.
2. Bouw de UPN volgens jouw regelEen Code-node maakt van voornaam en achternaam een UPN, haalt accenten en spaties weg en zet je primaire domein erachter.
3. Controleer of hij al bestaatDe workflow zoekt de UPN op in Entra ID via Microsoft Graph. Bestaat hij al, dan krijgt de nieuwe collega een variant, of gaat de vraag naar je beheerder.
4. Maak het account aan in Entra IDVia Microsoft Graph, met de rechten User.Create voor de app van de koppeling.
5. Zet de UPN terug in AFAS of leg hem voorDaarna staat dezelfde UPN in AFAS en in Entra ID.
6. Meld wat er gebeurdeEen bericht in Teams of een mail aan je beheerder, met per medewerker de UPN en eventuele fouten.

Over stap 5 wil ik eerlijk zijn. In de beschrijving van de UpdateConnector KnUser, waarmee je gebruikers toevoegt en wijzigt, vond ik op 2 november 2026 geen UPN-veld terug (help.afas.nl, KnUser). Ik controleer daarom eerst in de metainfo van jouw omgeving welke velden de koppeling mag schrijven. Kan het niet via de API, dan maakt n8n een lijst met voorgestelde UPN's die je beheerder in AFAS overneemt.

Waar let je op bij UPN en Entra ID?

Profit is leidend. Bij de synchronisatie van gebruikersgroepen overschrijft AFAS wijzigingen die je in Entra ID aan die groepen doet. Begin wijzigingen dus in AFAS.

Naamswijzigingen gaan niet mee. Volgens AFAS worden naamswijzigingen in Profit niet naar Entra ID gesynchroniseerd. Trouwt iemand of verandert een naam, dan moet dat apart geregeld worden. Ook dat kan een workflow oppakken.

Persoonsgegevens. Een UPN-koppeling verwerkt namen en e-mailadressen van medewerkers. Kijk waar je workflows draaien en welke diensten de gegevens zien. Dat lees je in n8n en de AVG. Draai je volledig op Microsoft, lees dan ook Power Automate of n8n?

Heb ik al zo'n koppeling gebouwd?

Een AFAS UPN-koppeling staat nog niet als case online. Wel koppelingen waarbij ik eerst lees en vergelijk voordat er iets geschreven wordt. Bij Autobedrijf Zieleman vergelijkt het systeem zijn uitkomst met SnelStart, zonder daar iets te wijzigen: 80 van de 80 facturen werden geboekt zoals de boekhouder het zelf deed. Meer projecten zie je op alle cases.

Zo begin ik ook bij een UPN-koppeling: eerst een lijst met voorstellen naast wat je beheerder zelf zou invullen, pas daarna automatisch. Op de pagina n8n-specialist lees je hoe ik werk voor kmo's en mkb-bedrijven in Vlaanderen en Nederland. Stuur me een WhatsApp, of plan een gratis videocall.

Veelgestelde vragen

Wat betekent UPN in AFAS?

UPN staat voor User Principal Name: de inlognaam van een gebruiker bij Microsoft Entra ID, meestal een e-mailadres. In AFAS leg je hem vast per Profit-gebruiker. AFAS gebruikt hem voor single sign-on op AFAS Online en voor de synchronisatie van gebruikersgroepen met Entra ID.

Waarom kan een gebruiker niet inloggen met single sign-on in AFAS?

Vaak omdat de UPN niet of verkeerd is ingevuld. Volgens AFAS moet de UPN van een gebruiker gevuld zijn voordat hij via single sign-on kan inloggen. Tot die tijd logt hij in met twee-factorauthenticatie.

Kan AFAS de UPN automatisch aanmaken?

Ja, vanaf Profit 9. Bij onboarding vink je UPN genereren aan. AFAS maakt de UPN later in de workflow aan en reserveert hem in Entra ID. De opbouw, het domein en wat er bij een dubbele naam gebeurt, stel je in bij de UPN-generatie.

Kan n8n de UPN in AFAS automatisch bijwerken?

n8n kan de gebruikers uit AFAS lezen, een UPN opbouwen, die controleren in Entra ID via Microsoft Graph en het account aanmaken. Of n8n de UPN ook via de API terugschrijft in AFAS, hangt af van de velden die je omgeving toestaat. Anders levert n8n een lijst met voorstellen voor je beheerder.

Wat kost een UPN-koppeling tussen AFAS en Entra ID?

Een koppeling op maat begint bij €1.500 eenmalig, plus vanaf €150 per maand voor hosting, bewaking en onderhoud, excl. btw. Werk je op Profit 9 en loopt iedereen via de onboarding, probeer dan eerst de ingebouwde UPN-generatie van AFAS.

Jurgen Claassens bouwt AI-automatiseringen voor ondernemers, mkb en kmo. Vijftien jaar operations bij Vattenfall, daarna mede-eigenaar van sales- en marketingbureaus. Meer over Jurgen of bekijk zijn projecten.