IAM: mercado

Vaga

uma vaga aberta que passou pelo filtro de qualidade e lista pelo menos duas tecnologias

Candidato observado

um candidato cujo stack contém esta tecnologia; um agregado — nenhum registro individual sai do perímetro

Candidato compatível

ainda não contado

Janela

vagas abertas no momento em que o snapshot foi gerado

Top 5: cloud, active directory, aws, azure, python. Domínio de IdP de workforce: um de Okta (líder da indústria — Workforce Identity Cloud — conhecimento premium) / Microsoft Entra ID (ex-Azure AD — domina em shops Microsoft) / Ping Identity (enterprise) / OneLogin / JumpCloud / Keycloak (open-source Red Hat — popular na Rússia) / Authentik (open-source moderno em ascensão) / Zitadel. Russos: Avanpost (líder na Rússia) / Solar inRights / Indeed Identity / RT-IAM / CryptoPro. PAM (Privileged Access Management): CyberArk (líder — PAM + Conjur secrets) / BeyondTrust / Delinea (fusão Thycotic + Centrify) / HashiCorp Vault + Boundary / Teleport (acesso moderno a infraestrutura — em ascensão 2024+) / StrongDM. Russos: Solar SafeInspect / Indeed PAM / Avanpost PAM / SKDPU NT (IT Bastion). IGA (Identity Governance & Administration): SailPoint (líder — IdentityIQ + IdentityNow) / Saviynt / Microsoft Entra ID Governance / Omada / One Identity. Russos: Solar inRights / Avanpost IDM. Domínio de protocolos / padrões — obrigatório: SAML 2.0 (SSO enterprise), OAuth 2.0 / 2.1 (framework de autorização — grant types, PKCE, token rotation), OIDC (OpenID Connect — camada de autenticação), SCIM (padrão de provisioning — automação joiner-mover-leaver), FIDO2 / WebAuthn (passwordless), LDAP + Kerberos (directory + auth legacy). MFA / Passwordless: FIDO2 / WebAuthn / Passkeys, YubiKey (hardware tokens), Duo Security (Cisco), Okta Verify / Microsoft Authenticator, magic links + OTP (legacy). Identidade Zero Trust: políticas de Conditional Access (autenticação baseada em risco), verificação contínua, device trust, ITDR (Identity Threat Detection & Response — em ascensão 2024+). Secrets management (sobreposição): HashiCorp Vault + cloud-native. Linguagens: Python principal (automação de IAM + conectores SCIM + integrações customizadas) + JavaScript / TypeScript (integração de frontend CIAM) + bash + PowerShell (administração de AD).

IAM Engineer (esta página) — foco na implementação de gestão de identidades e acessos: SSO + MFA + provisionamento + acesso privilegiado + governança. Especialidade dentro de segurança. Identity Architect — IAM Sênior com foco em estratégia para toda a organização: design de arquitetura de identidade Zero Trust + expertise em protocolos + seleção de tecnologias + liderança em compliance. Menos programação, mais estratégia. Evolução de carreira a partir de Senior IAM Engineer. Security Engineer (geral) — cobertura ampla de todos os domínios de segurança (SIEM + EDR + rede + IAM — mas IAM é só uma parte). Veja Security Engineer (geral). Backend Engineer (foco em autenticação) — implementa autenticação / autorização no código do produto (fluxos OAuth + gestão de sessões + manipulação de JWT + implementação de RBAC). Não é especialista em IAM, mas há sobreposição no contexto de CIAM. Remuneração varia — faixa de backend. Realidade 2026 (mapa de sobreposição): IAM ↔ Security Engineer: 40% (IAM é um domínio de segurança). IAM ↔ Backend (autenticação): 50% no contexto de CIAM (autenticação voltada ao consumidor — Backend Engineers costumam implementar, IAM Engineers projetam). IAM ↔ DevOps: 30% (identidade de máquinas + gestão de segredos + autenticação entre serviços). Divisão entre IAM corporativo e CIAM: IAM corporativo — identidade de colaboradores (Okta / Entra ID — SSO para aplicações internas + gestão do ciclo de vida) — mais próximo de TI / segurança tradicional. CIAM (Customer IAM) — autenticação voltada ao consumidor (Auth0 / Cognito / Clerk — milhões de usuários + escalabilidade + UX) — mais próximo de engenharia backend + produto. Essas duas vertentes de IAM exigem conjuntos de habilidades diferentes. Transições de carreira: Sysadmin (admin de AD) → IAM Engineer corporativo — 4-8 meses. Backend Engineer → CIAM Engineer — 3-6 meses (o conhecimento de autenticação é aproveitado). Security Engineer → IAM Engineer — 3-6 meses. IAM Sênior → Identity Architect — 2-4 anos.

Pontos fortes: ecossistema Microsoft profundo, Conditional Access, free tier com M365. Pontos fracos: níveis de licenciamento complexos, integração historicamente mais fraca com apps não-Microsoft. 2) Okta (Workforce Identity Cloud) — melhor para ambientes multi-vendor + abordagem best-of-breed. Pontos fortes: 7000+ integrações de apps pré-construídas (maior catálogo), vendor-neutral, UX polida, forte lifecycle management. Pontos fracos: preço premium, impacto reputacional da brecha de 2022 (recuperado). Caso de uso: organizações não centradas em Microsoft + que querem a melhor cobertura de integração. 3) Ping Identity — enterprise-heavy, ambientes híbridos complexos. Caso de uso: grandes enterprises com híbrido on-prem + cloud + necessidades complexas de federação. 4) Keycloak (open-source — Red Hat) — melhor para self-hosted + orçamento zero + equipes técnicas. Pontos fortes: gratuito, full-featured (SAML + OIDC + identity brokering), customizável. Pontos fracos: carga operacional (você o opera), curva de aprendizado mais íngreme. Caso de uso: orçamento limitado + equipe técnica + popular no contexto da RF (preferência por self-hosted). 5) Authentik / Zitadel — alternativas modernas open-source ao Keycloak (melhor UX). Em alta 2024+. 6) IdP de workforce russo (após a substituição de importações): Avanpost (líder na RF) / Solar inRights / Indeed Identity / RT-IAM — para organizações apenas-RF + empresas estatais. CIAM (auth voltada ao consumidor): 7) Auth0 (da Okta) — favorito dos desenvolvedores, melhor DX (developer experience), SDK / docs extensos. Caso de uso: startups → mid-market, time-to-market rápido. O preço escala agressivamente em MAU alto (Monthly Active Users). 8) Amazon Cognito — melhor para aplicações AWS-native. Barato em escala. Pontos fracos: DX desajeitado, customização limitada. 9) WorkOS — SSO-as-a-service B2B — «enterprise readiness em uma API» (SAML + SCIM + directory sync para SaaS B2B que vende para enterprises). Em rápida ascensão 2024+ — melhor para SaaS B2B que precisa suportar o SSO de clientes enterprise. 10) Clerk — moderno e developer-friendly, React-first, lindos componentes de UI pré-construídos. Caso de uso: web apps modernos (Next.js / React), iteração rápida. 11) Stytch — passwordless-first, API moderna. 12) Firebase Authentication — melhor para apps mobile + ecossistema Firebase. 13) Ory (open-source — Kratos + Hydra + Keto) — melhor para CIAM self-hosted + controle total. 14) SuperTokens — alternativa CIAM open-source. Recomendações padrão 2026: workforce de empresa Microsoft → Entra ID. workforce multi-vendor → Okta. workforce self-hosted de orçamento zero → Keycloak (ou Authentik / Zitadel para melhor UX). org apenas-RF → Avanpost / Solar. CIAM de app de consumidor → Auth0 (rápido) ou Clerk (React moderno) ou Cognito (AWS-native). SaaS B2B que precisa de SSO enterprise → WorkOS. CIAM self-hosted → Ory ou SuperTokens. Camada de autorização (separada da autenticação): OPA (política geral) / OpenFGA ou SpiceDB (baseado em relações, estilo Zanzibar) / Cedar (AWS) / Oso ou Permit.io (embutido).

Sim, 37% das vagas de IAM Engineer — totalmente remotas ou híbridas. O trabalho de IAM é principalmente baseado em nuvem (consoles de IdP + plataformas SaaS + integrações de API). Empresas de outsourcing — quase sempre remotas em projetos de IAM dos EUA. Bancos russos — híbrido/presencial por causa de regulamentação + sensibilidade de dados de identidade + verificação de antecedentes de segurança. Vendors russos de IAM (Avanpost / Solar / Indeed Identity / CryptoPro) — híbrido ou remoto após verificação de antecedentes. Empresas estatais — híbrido/presencial por causa de security clearances (especialmente para trabalho de PAM — acesso privilegiado — cargos de alta confiança). Times de identity da Big Tech — híbrido padrão. CIAM Engineers (consumer-facing — com viés para Backend) — propícios ao remoto total pela natureza de product-engineering. Hubs de relocação: Polônia (UE Security-friendly) / Alemanha / Canadá / Sérvia. Inglês para remoto internacional de IAM — obrigatório (especificações de protocolo — RFCs de SAML / OAuth / OIDC + docs de vendors Okta / Microsoft / SailPoint + comunidade são em inglês).

IAM Engineer (geral) — foco amplo em identidade de colaboradores: SSO + MFA + provisionamento + gestão de acessos para todos os usuários. PAM Engineer (especialidade em Privileged Access Management) — foco específico em contas privilegiadas (administrador / root / contas de serviço — as identidades de maior risco). No dia a dia: 1) Implantação de plataforma PAM (CyberArk / BeyondTrust / Delinea / HashiCorp Boundary / Teleport), 2) Cofre de credenciais privilegiadas (rotação de segredos + fluxos de checkout / checkin), 3) Gravação + monitoramento de sessões (gravar sessões de administradores para auditoria + perícia), 4) Acesso privilegiado Just-In-Time (JIT) (conceder direitos de admin temporariamente, revogar automaticamente), 5) Controle de escalonamento de privilégios + aplicação do menor privilégio, 6) Gestão de contas de serviço / identidades de máquina (identidades não humanas — muitas vezes 10× mais que contas humanas), 7) Procedimentos de acesso break-glass (acesso de emergência). Por que é uma especialidade: contas privilegiadas são o alvo principal de ransomware + ataques APT (comprometeu o admin → fim de jogo). Exigência regulatória (PCI-DSS / SOX / Lei Federal 187-FZ exigem controles de PAM). Remuneração: o PAM Engineer tem prêmio sobre o IAM geral de +10-20% por ser habilidade rara + de alta confiança. IGA Engineer (especialidade em Identity Governance & Administration) — outra especialidade: foco em governança de acessos — campanhas de certificação de acessos (revisão periódica «esta pessoa ainda precisa deste acesso?»), aplicação de políticas de Segregação de Funções (SoD), fluxos de solicitação de acesso, relatórios de compliance (auditorias de acesso SOC 2 / ISO 27001 / SOX). Ferramentas: SailPoint / Saviynt. CIAM Engineer — autenticação voltada ao consumidor (milhões de usuários — escalabilidade + UX + inclinação para engenharia backend). Veja a árvore de decisão acima. Authorization Engineer (em alta 2024+) — especialidade em autorização granular (OPA / OpenFGA / Cedar / SpiceDB) — «quem pode fazer o quê em qual recurso» em escala. Escolha de carreira: IAM geral se você quer amplitude + identidade de colaboradores, PAM se quer alta confiança + profundidade em contas privilegiadas + segurança crítica, IGA se quer foco em governança + compliance + auditoria, CIAM se quer escala de consumidor + engenharia de produto, Authorization Engineer se quer autorização granular + motores de políticas modernos.

Roadmap: 1) Fundamentos de identidade — autenticação vs autorização vs accounting (AAA), ciclo de vida da identidade (joiner-mover-leaver), princípio de least-privilege, RBAC vs ABAC vs ReBAC (Role / Attribute / Relationship-Based Access Control). 2) Protocolos a fundo — obrigatório: SAML 2.0 (assertions + bindings + fluxos SP-initiated vs IdP-initiated), OAuth 2.0 / 2.1 (grant types — authorization code + PKCE + client credentials; tipos de token; armadilhas comuns), OIDC (OpenID Connect) (ID tokens + UserInfo + discovery), SCIM (padrão de provisioning). Livro: «Solving Identity Management in Modern Applications» Yvonne Wilson / Abhishek Hingnikar (canônico — OAuth/OIDC para desenvolvedores). 3) Fundamentos de Active Directory — estrutura do AD (forests / domains / OUs), Group Policy, autenticação Kerberos, LDAP. Livro: «Active Directory» Brian Desmond (O'Reilly). 4) IdP de workforce na prática — escolha um: Okta (Okta Developer free tier — melhor para aprender + certificação Okta Certified Professional) ou Microsoft Entra ID (Azure free tier + certificação SC-300) ou Keycloak (self-host gratuito — aprenda os protocolos a fundo). Configure SSO para apps de teste. 5) MFA / Passwordless — entenda FIDO2 / WebAuthn / Passkeys (futuro passwordless), configure YubiKey, configure políticas de Conditional Access. 6) CIAM na prática (se track voltado ao consumidor) — Auth0 free tier ou Clerk ou Keycloak. Implemente fluxos de login em um app de teste (React / Next.js). 7) PAM na prática (se track de acesso privilegiado) — HashiCorp Vault (self-host gratuito) + Boundary, ou Teleport (free tier). Entenda vaulting de secrets + gravação de sessão + acesso JIT. 8) Noções de IGA (se track de governança) — treinamento SailPoint (SailPoint University) — certificação de acesso + conceitos de SoD. 9) Autorização (em alta 2024+) — OPA (Open Policy Agent — linguagem Rego) + OpenFGA (baseado em relacionamento — leia o paper Google Zanzibar) + Cedar (AWS). Construa uma demo de authz granular. 10) Automação de IAM — Python para conectores SCIM + integrações customizadas + automação de API de IdP (Okta API / Microsoft Graph API). 11) Caminho de certificações: Okta Certified (Professional → Administrator → Consultant / Developer) ou Microsoft SC-300 (Identity and Access Administrator) — base. Avançadas: certificações SailPoint / certificações CyberArk (Defender → Sentry → Guardian) / CIDPRO (Certified Identity Professional — IDPro — vendor-neutral). 12) Portfólio de pet projects: a) setup completo de SSO (Keycloak / Okta) com múltiplos apps + SAML + OIDC + provisioning SCIM; b) app de demo CIAM com passwordless (WebAuthn / Passkeys); c) demo de autorização granular (OpenFGA / OPA). Documente no GitHub. Cursos RF: BI.ZONE Cybersecurity Academy, Otus «IAM» / cursos de Security, treinamento Avanpost (IAM russo), treinamento Solar (inRights IGA / SafeInspect PAM). Internacional (eng): Okta Learning (gratuito — melhor para o track Okta), Microsoft Learn SC-300 (gratuito), IDPro Body of Knowledge (vendor-neutral — melhor recurso de base, gratuito), docs + blog do Auth0 (excelente aprendizado de CIAM), «OAuth 2 in Action» Justin Richer / Antonio Sanso (Manning — protocolos a fundo). Livros obrigatórios: «Solving Identity Management in Modern Applications» Wilson / Hingnikar, «OAuth 2 in Action» Richer / Sanso, IDPro Body of Knowledge (online). Conferências: Identiverse (maior conferência de identidade), Gartner IAM Summit, European Identity & Cloud Conference (EIC). Sysadmin (admin de AD) / Security Middle / Backend Middle + foco em IAM → IAM Junior — 4-8 meses.

109 active open IAM Engineer vacancies with explicit IAM focus in our sample. The real market is significantly wider — many IAM roles classified as general Security Engineer / Backend Engineer (CIAM auth implementation) / DevOps (machine identity + secrets) / IT Administrator (AD administration). True IAM-focused dev jobs in CIS + Europe estimated 150–600 active positions at any moment 2026. Geography: the US, India, Canada. The real market is wider due to the international remote segment (Okta / Microsoft Entra / Ping / SailPoint / CyberArk / WorkOS / Auth0 / Clerk / Stytch — full-remote-friendly). Senior IAM Engineer closing time — 6-12 weeks (longer than general Security due to rare-skill — protocols depth + platform expertise + governance knowledge combination).

O Senior IAM Engineer é dono do ciclo de vida completo de identity & access management + liderança técnica. Domínio profundo de protocolos: SAML 2.0 (assertions + bindings + flows SP/IdP-initiated + assinatura / criptografia), OAuth 2.0 / 2.1 (todos os grant types + PKCE + token rotation + DPoP + vulnerabilidades comuns — token leakage / CSRF / manipulação de redirect), OIDC (ID tokens + claims + discovery + session management + back-channel logout), SCIM (automação de provisioning — joiner-mover-leaver), FIDO2 / WebAuthn (implementação passwordless), Kerberos + LDAP (directory legado). Domínio de IdP de workforce: um de Okta / Microsoft Entra ID / Ping a fundo — arquitetura de SSO, automação de lifecycle management, políticas de Conditional Access / risk-based, integração de apps (catálogo de 7000+ para Okta), onboarding de apps SAML / OIDC customizados, federação de IdP (cenários multi-IdP). Domínio de directory services: Active Directory a fundo (arquitetura de forest / domain / OU + Group Policy + replicação + segurança de AD — consciência de Kerberoasting / DCSync), Entra ID híbrido (AD Connect / Cloud Sync). Domínio de PAM (se track de PAM): CyberArk / BeyondTrust / Delinea / HashiCorp Boundary / Teleport — vaulting de credenciais privilegiadas, gravação de sessão, acesso JIT, gestão de service accounts, procedimentos break-glass. Domínio de IGA (se track de governança): SailPoint / Saviynt — campanhas de certificação de acesso, política de Segregation of Duties (SoD), workflows de access request, role mining, relatórios de conformidade. Domínio de CIAM (se track de consumer): Auth0 / Cognito / Clerk — auth de consumidor escalável (milhões de MAU), UX passwordless, social login, progressive profiling, segurança de conta (proteção contra credential stuffing + bot detection). Domínio de autorização (em alta 2024+): OPA (linguagem de política Rego), OpenFGA / SpiceDB (baseado em relações — modelo Google Zanzibar), Cedar (AWS), design de authz fine-grained em escala. Identidade Zero Trust: arquitetura de Conditional Access, verificação contínua, device trust, integração de ITDR (Identity Threat Detection & Response). Automação de IAM: Python a fundo (conectores SCIM + automação de API de IdP — Okta API / Microsoft Graph API + integrações customizadas), Terraform para IAM como IaC (provider Terraform da Okta / Entra Terraform). Segurança de identidade: consciência de ataques de identidade (phishing / MFA bombing / token theft / OAuth consent phishing / Golden SAML), estratégia de migração passwordless, hardening de MFA. System design para IAM: projetar arquitetura de SSO enterprise em um whiteboard, projetar CIAM para milhões de usuários, projetar arquitetura de identidade Zero Trust, projetar workflows de acesso privilegiado. Frameworks de conformidade: SOC 2 + ISO 27001 + SOX (controles de acesso) + PCI-DSS + 152-FZ + 187-FZ — certificação de acesso + suporte a auditoria. Soft: escrita de ADRs para decisões de IAM, technical writing (docs de arquitetura de IAM), colaboração cross-team (equipes de Security / IT / Backend / DevOps / HR — IAM toca em todos), comunicação executiva (estratégia de identidade para CISO / CIO), mentoria de Middle IAM Engineers. Inglês para Senior+ OBRIGATÓRIO — specs de protocolos (RFCs de SAML / OAuth / OIDC) + docs de fornecedores (Okta / Microsoft / SailPoint / CyberArk) + comunidade (IDPro / Identiverse) são em inglês. Certificações: Okta Certified Consultant / Developer, Microsoft SC-300, certificações SailPoint / CyberArk, CIDPRO (vendor-neutral). Bônus opcional: contribuições open-source a ferramentas de IAM (Keycloak / Ory / OpenFGA / Authentik), palestras em conferências (Identiverse / EIC), profundidade na especialidade de autorização (OpenFGA / SpiceDB — skill raro em alta) — aumentam bruscamente o valor de mercado para empresas de IAM de ponta (Okta / WorkOS / Authzed) que estão contratando.