IAM: mercado

Vacante

un empleo abierto que superó el filtro de calidad y menciona al menos dos tecnologías

Candidato observado

un candidato cuyo stack contiene esta tecnología; es un agregado: ni un solo registro sale del perímetro

Candidato emparejable

aún no contabilizado

Ventana

empleos abiertos en el momento en que se generó el snapshot

Principales 5: cloud, active directory, aws, azure, python. Dominio de IdP de workforce: uno de Okta (líder de la industria, Workforce Identity Cloud, conocimiento premium) / Microsoft Entra ID (antes Azure AD, domina en shops de Microsoft) / Ping Identity (enterprise) / OneLogin / JumpCloud / Keycloak (open-source de Red Hat, popular en la FR) / Authentik (open-source moderno, en auge) / Zitadel. Rusos: Avanpost (líder de la FR) / Solar inRights / Indeed Identity / RT-IAM / CryptoPro. PAM (Privileged Access Management): CyberArk (líder, PAM + secretos Conjur) / BeyondTrust / Delinea (fusión Thycotic + Centrify) / HashiCorp Vault + Boundary / Teleport (acceso moderno a infraestructura, en auge 2024+) / StrongDM. Rusos: Solar SafeInspect / Indeed PAM / Avanpost PAM / SKDPU NT (IT Bastion). IGA (Identity Governance & Administration): SailPoint (líder, IdentityIQ + IdentityNow) / Saviynt / Microsoft Entra ID Governance / Omada / One Identity. Rusos: Solar inRights / Avanpost IDM. Dominio de protocolos / estándares, obligatorio: SAML 2.0 (SSO enterprise), OAuth 2.0 / 2.1 (framework de autorización: grant types, PKCE, rotación de tokens), OIDC (OpenID Connect, capa de autenticación), SCIM (estándar de provisioning, automatización joiner-mover-leaver), FIDO2 / WebAuthn (passwordless), LDAP + Kerberos (directorio + auth legacy). MFA / Passwordless: FIDO2 / WebAuthn / Passkeys, YubiKey (tokens hardware), Duo Security (Cisco), Okta Verify / Microsoft Authenticator, magic links + OTP (legacy). Identidad Zero Trust: políticas de Conditional Access (autenticación basada en riesgo), verificación continua, device trust, ITDR (Identity Threat Detection & Response, en auge 2024+). Gestión de secretos (solapamiento): HashiCorp Vault + cloud-native. Lenguajes: Python principal (automatización de IAM + conectores SCIM + integraciones propias) + JavaScript / TypeScript (integración de frontend CIAM) + bash + PowerShell (administración de AD).

IAM Engineer (esta página): enfoque en la implementación de la gestión de identidades y accesos: SSO + MFA + provisioning + accesos privilegiados + gobierno. Una especialidad dentro de la seguridad. Identity Architect: IAM Senior con enfoque en la estrategia de toda la organización: diseño de la arquitectura de identidad Zero Trust + experiencia en protocolos + selección de tecnología + liderazgo en cumplimiento normativo. Menos programación, más estrategia. Evolución de carrera desde Senior IAM Engineer. Security Engineer (general): cobertura amplia de todos los dominios de seguridad (SIEM + EDR + red + IAM; pero IAM es solo una parte). Ver Security Engineer (general). Backend Engineer (centrado en autenticación): implementa la autenticación / autorización en el código del producto (flujos OAuth + gestión de sesiones + manejo de JWT + implementación de RBAC). No es un especialista en IAM, pero se solapa en el contexto CIAM. La retribución varía: nivel backend. Realidad 2026 (mapa de solapamiento): IAM ↔ Security Engineer: 40% (IAM es un dominio de la seguridad). IAM ↔ Backend (autenticación): 50% en el contexto CIAM (autenticación de cara al consumidor: los Backend Engineers suelen implementarla, los IAM Engineers la diseñan). IAM ↔ DevOps: 30% (identidad de máquinas + gestión de secretos + autenticación entre servicios). División IAM de empleados frente a CIAM: IAM de empleados: identidad de los empleados (Okta / Entra ID: SSO para apps internas + gestión del ciclo de vida): más cerca de IT / seguridad tradicional. CIAM (Customer IAM): autenticación de cara al consumidor (Auth0 / Cognito / Clerk: millones de usuarios + escalabilidad + UX): más cerca de la ingeniería backend + producto. Estas dos direcciones de IAM requieren conjuntos de habilidades distintos. Cambios de carrera: Sysadmin (administrador de AD) → IAM Engineer de empleados: 4-8 meses. Backend Engineer → CIAM Engineer: 3-6 meses (el conocimiento de autenticación se traslada). Security Engineer → IAM Engineer: 3-6 meses. IAM Senior → Identity Architect: 2-4 años.

Puntos fuertes: ecosistema Microsoft profundo, Conditional Access, tier gratuito con M365. Puntos débiles: tiers de licenciamiento complejos, históricamente peor integración con apps no Microsoft. 2) Okta (Workforce Identity Cloud): lo mejor para entornos multi-vendor + enfoque best-of-breed. Puntos fuertes: 7000+ integraciones de apps preconstruidas (el mayor catálogo), neutral de vendor, UX pulida, gestión del ciclo de vida fuerte. Puntos débiles: precio premium, golpe reputacional por la brecha de 2022 (recuperado). Caso de uso: organizaciones no centradas en Microsoft + que quieren la mejor cobertura de integración. 3) Ping Identity: muy enterprise, entornos híbridos complejos. Caso de uso: grandes empresas con híbrido on-prem + cloud + necesidades de federación complejas. 4) Keycloak (open-source, Red Hat): lo mejor para self-hosted + presupuesto cero + equipos técnicos. Puntos fuertes: gratis, con todas las funciones (SAML + OIDC + identity brokering), personalizable. Puntos débiles: carga operativa (lo operas tú), curva de aprendizaje más dura. Caso de uso: presupuesto ajustado + equipo técnico + popular en el contexto de la FR (preferencia por self-hosted). 5) Authentik / Zitadel: alternativas modernas open-source a Keycloak (mejor UX). En alza 2024+. 6) IdP de workforce ruso (tras la sustitución de importaciones): Avanpost (líder en la FR) / Solar inRights / Indeed Identity / RT-IAM: para organizaciones solo de la FR + empresas estatales. CIAM (autenticación de cara al consumidor): 7) Auth0 (propiedad de Okta): favorito de los desarrolladores, la mejor DX (developer experience), SDK / docs extensos. Caso de uso: startups → mid-market, time-to-market rápido. El precio escala agresivamente con MAU (Monthly Active Users) alto. 8) Amazon Cognito: lo mejor para aplicaciones nativas de AWS. Barato a escala. Puntos débiles: DX tosca, personalización limitada. 9) WorkOS: SSO-as-a-service B2B, «enterprise readiness en una API» (SAML + SCIM + directory sync para SaaS B2B que vende a empresas). En alza rápida 2024+: lo mejor para SaaS B2B que necesita soportar el SSO de clientes enterprise. 10) Clerk: moderno y amigable con el desarrollador, React-first, bonitos componentes de UI preconstruidos. Caso de uso: apps web modernas (Next.js / React), iteración rápida. 11) Stytch: passwordless-first, API moderna. 12) Firebase Authentication: lo mejor para apps móviles + ecosistema Firebase. 13) Ory (open-source: Kratos + Hydra + Keto): lo mejor para CIAM self-hosted + control total. 14) SuperTokens: alternativa CIAM open-source. Recomendaciones por defecto 2026: workforce en empresa Microsoft → Entra ID. workforce multi-vendor → Okta. workforce self-hosted sin presupuesto → Keycloak (o Authentik / Zitadel para mejor UX). organización solo de la FR → Avanpost / Solar. CIAM de app de consumidor → Auth0 (rápido) o Clerk (React moderno) o Cognito (nativo de AWS). SaaS B2B que necesita SSO enterprise → WorkOS. CIAM self-hosted → Ory o SuperTokens. Capa de autorización (separada de la autenticación): OPA (política general) / OpenFGA o SpiceDB (basadas en relaciones, estilo Zanzibar) / Cedar (AWS) / Oso o Permit.io (embebidas).

Sí, el 36% de las vacantes de IAM Engineer — full-remote o híbridas. El trabajo de IAM es principalmente cloud (consolas de IdP + plataformas SaaS + integraciones de API). Outsourcers — casi siempre remotos en proyectos de IAM de EE. UU. Los bancos rusos — híbrido/oficina por lo regulatorio + sensibilidad de los datos de identidad + verificación de antecedentes de seguridad. Los vendors de IAM rusos (Avanpost / Solar / Indeed Identity / CryptoPro) — híbrido o remoto tras la verificación de antecedentes. Las empresas estatales — híbrido/oficina por los security clearances (sobre todo para el trabajo de PAM — acceso privilegiado — roles de alta confianza). Los equipos de identidad de Big Tech — híbrido estándar. Los CIAM Engineers (de cara al consumidor — con sesgo a Backend) — remote-friendly por su naturaleza de product-engineering. Hubs de relocación: Polonia (UE Security-friendly) / Alemania / Canadá / Serbia. Inglés para el remoto internacional de IAM — obligatorio (las specs de protocolos — RFCs de SAML / OAuth / OIDC + docs de vendors Okta / Microsoft / SailPoint + comunidad están en inglés).

IAM Engineer (general): enfoque amplio en la identidad de empleados: SSO + MFA + provisioning + gestión de accesos para todos los usuarios. PAM Engineer (especialidad Privileged Access Management): enfoque específico en las cuentas privilegiadas (cuentas de administrador / root / de servicio: las identidades de mayor riesgo). Día a día: 1) despliegue de la plataforma PAM (CyberArk / BeyondTrust / Delinea / HashiCorp Boundary / Teleport), 2) custodia de credenciales privilegiadas (rotación de secretos + flujos de checkout / checkin), 3) grabación + monitorización de sesiones (grabar sesiones de administración para auditoría + análisis forense), 4) acceso privilegiado Just-In-Time (JIT) (conceder derechos de administrador temporalmente, revocación automática), 5) control de la escalada de privilegios + aplicación del mínimo privilegio, 6) gestión de cuentas de servicio / identidades de máquina (identidades no humanas: a menudo 10× más que las cuentas humanas), 7) procedimientos de acceso de emergencia (break-glass). Por qué es una especialidad: las cuentas privilegiadas son el objetivo principal del ransomware + los ataques APT (comprometer al administrador → fin de la partida). Mandato regulatorio (PCI-DSS / SOX / ley federal 187-FZ exigen controles PAM). Retribución: el PAM Engineer tiene una prima del +10-20% sobre el IAM general por ser una habilidad escasa y de alta confianza. IGA Engineer (especialidad Identity Governance & Administration): otra especialidad: enfoque en el gobierno de accesos: campañas de certificación de accesos (revisión periódica de «¿esta persona sigue necesitando este acceso?»), aplicación de políticas de segregación de funciones (SoD), flujos de solicitud de accesos, informes de cumplimiento (auditorías de accesos SOC 2 / ISO 27001 / SOX). Herramientas: SailPoint / Saviynt. CIAM Engineer: autenticación de cara al consumidor (millones de usuarios: escalabilidad + UX + orientado a la ingeniería backend). Ver el árbol de decisión de arriba. Authorization Engineer (en auge 2024+): especialidad de autorización de grano fino (OPA / OpenFGA / Cedar / SpiceDB): «quién puede hacer qué sobre qué recurso» a escala. Elección de carrera: IAM general si quieres amplitud + identidad de empleados, PAM si quieres alta confianza + cuentas privilegiadas en profundidad + seguridad crítica, IGA si te enfocas en gobierno + cumplimiento + auditoría, CIAM si quieres escala de consumidor + ingeniería de producto, Authorization Engineer si quieres autorización de grano fino + motores de políticas modernos.

Hoja de ruta: 1) Fundamentos de identidad: autenticación frente a autorización frente a registro (AAA), ciclo de vida de la identidad (alta-cambio-baja), principio de mínimo privilegio, RBAC frente a ABAC frente a ReBAC (control de acceso basado en roles / atributos / relaciones). 2) Protocolos a fondo, imprescindible: SAML 2.0 (aserciones + bindings + flujos iniciados por el SP frente a iniciados por el IdP), OAuth 2.0 / 2.1 (tipos de concesión: authorization code + PKCE + client credentials; tipos de tokens; errores habituales), OIDC (OpenID Connect) (ID tokens + UserInfo + discovery), SCIM (estándar de aprovisionamiento). Libro: «Solving Identity Management in Modern Applications» de Yvonne Wilson / Abhishek Hingnikar (canónico: OAuth/OIDC para desarrolladores). 3) Fundamentos de Active Directory: estructura de AD (bosques / dominios / OU), Group Policy, autenticación Kerberos, LDAP. Libro: «Active Directory» de Brian Desmond (O'Reilly). 4) Práctica con un IdP corporativo: elige uno: Okta (nivel gratuito de Okta Developer, el mejor para aprender + certificación Okta Certified Professional), Microsoft Entra ID (nivel gratuito de Azure + certificación SC-300) o Keycloak (autoalojado y gratuito: para aprender los protocolos a fondo). Configura SSO para apps de prueba. 5) MFA / sin contraseña: entiende FIDO2 / WebAuthn / Passkeys (el futuro sin contraseñas), configura una YubiKey, configura políticas de Conditional Access. 6) Práctica de CIAM (si la vía es de cara al consumidor): nivel gratuito de Auth0, Clerk o Keycloak. Implementa flujos de inicio de sesión en una app de prueba (React / Next.js). 7) Práctica de PAM (si la vía es de acceso privilegiado): HashiCorp Vault (autoalojado y gratuito) + Boundary, o Teleport (nivel gratuito). Entiende el almacenamiento de secretos + la grabación de sesiones + el acceso JIT. 8) Nociones de IGA (si la vía es de gobierno): formación de SailPoint (SailPoint University): certificación de accesos + conceptos de SoD. 9) Autorización (en auge desde 2024): OPA (Open Policy Agent, lenguaje Rego) + OpenFGA (basado en relaciones: lee el paper de Google Zanzibar) + Cedar (AWS). Construye una demo de autorización granular. 10) Automatización de IAM: Python para conectores SCIM + integraciones propias + automatización de la API del IdP (Okta API / Microsoft Graph API). 11) Vía de certificaciones: Okta Certified (Professional → Administrator → Consultant / Developer) o Microsoft SC-300 (Identity and Access Administrator): de base. Avanzadas: certificaciones de SailPoint / de CyberArk (Defender → Sentry → Guardian) / CIDPRO (Certified Identity Professional de IDPro, independiente del proveedor). 12) Portfolio de proyectos personales: a) configuración completa de SSO (Keycloak / Okta) con varias apps + SAML + OIDC + aprovisionamiento SCIM; b) app de demostración de CIAM sin contraseña (WebAuthn / Passkeys); c) demo de autorización granular (OpenFGA / OPA). Documenta en GitHub. Cursos en Rusia: BI.ZONE Cybersecurity Academy, Otus «IAM» / cursos de seguridad, formación de Avanpost (IAM ruso), formación de Solar (inRights IGA / SafeInspect PAM). Internacional (EN): Okta Learning (gratis, el mejor para la vía de Okta), Microsoft Learn SC-300 (gratis), IDPro Body of Knowledge (independiente del proveedor, el mejor recurso de base, gratis), documentación + blog de Auth0 (excelente para aprender CIAM), «OAuth 2 in Action» de Justin Richer / Antonio Sanso (Manning: protocolos a fondo). Libros imprescindibles: «Solving Identity Management in Modern Applications» de Wilson / Hingnikar, «OAuth 2 in Action» de Richer / Sanso, IDPro Body of Knowledge (en línea). Conferencias: Identiverse (la mayor conferencia de identidad), Gartner IAM Summit, European Identity & Cloud Conference (EIC). De sysadmin (administrador de AD) / Security Middle / Backend Middle + foco en IAM a IAM Junior: 4-8 meses.

108 vacantes abiertas activas de IAM Engineer con enfoque IAM explícito en nuestra muestra. El mercado real es significativamente más amplio — muchos roles de IAM se clasifican como Security Engineer / Backend Engineer general (implementación de auth CIAM) / DevOps (identidad de máquina + secrets) / IT Administrator (administración de AD). Los empleos de desarrollo realmente centrados en IAM en la CEI + Europa se estiman en 150–600 posiciones activas en cualquier momento 2026. Geografía: EE. UU., la India, Canadá. El mercado real es más amplio gracias al segmento remoto internacional (Okta / Microsoft Entra / Ping / SailPoint / CyberArk / WorkOS / Auth0 / Clerk / Stytch — full-remote-friendly). Cerrar un Senior IAM Engineer lleva — 6-12 semanas (más que un Security general por la rara combinación de habilidades — profundidad en protocolos + experiencia en plataformas + conocimiento de governance).

Un Senior IAM Engineer es dueño del ciclo de vida completo de la gestión de identidades y accesos + liderazgo técnico. Dominio profundo de los protocolos: SAML 2.0 (assertions + bindings + flujos iniciados por SP/IdP + firma / cifrado), OAuth 2.0 / 2.1 (todos los grant types + PKCE + rotación de tokens + DPoP + vulnerabilidades comunes: fuga de tokens / CSRF / manipulación de redirects), OIDC (ID tokens + claims + discovery + gestión de sesión + back-channel logout), SCIM (automatización del provisioning: joiner-mover-leaver), FIDO2 / WebAuthn (implementación sin contraseña), Kerberos + LDAP (directorio heredado). Dominio del IdP de workforce: uno de Okta / Microsoft Entra ID / Ping a fondo: arquitectura de SSO, automatización de la gestión del ciclo de vida, Conditional Access / políticas basadas en riesgo, integración de apps (7000+ en el catálogo de Okta), onboarding de apps SAML / OIDC propias, federación de IdP (escenarios multi-IdP). Dominio de los servicios de directorio: Active Directory a fondo (arquitectura de forest / domain / OU + Group Policy + replicación + seguridad de AD: nociones de Kerberoasting / DCSync), Entra ID híbrido (AD Connect / Cloud Sync). Dominio de PAM (si vas por la vía PAM): CyberArk / BeyondTrust / Delinea / HashiCorp Boundary / Teleport: bóveda de credenciales privilegiadas, grabación de sesiones, acceso JIT, gestión de cuentas de servicio, procedimientos break-glass. Dominio de IGA (si vas por la vía de gobierno): SailPoint / Saviynt: campañas de certificación de accesos, política de Segregation of Duties (SoD), flujos de solicitud de acceso, role mining, informes de cumplimiento. Dominio de CIAM (si vas por la vía de consumidor): Auth0 / Cognito / Clerk: autenticación de consumidor escalable (millones de MAU), UX sin contraseña, social login, perfilado progresivo, seguridad de cuentas (protección contra credential stuffing + detección de bots). Dominio de la autorización (en alza 2024+): OPA (lenguaje de políticas Rego), OpenFGA / SpiceDB (basada en relaciones, modelo Zanzibar de Google), Cedar (AWS), diseño de authz de grano fino a escala. Identidad Zero Trust: arquitectura de Conditional Access, verificación continua, confianza del dispositivo, integración de ITDR (Identity Threat Detection & Response). Automatización IAM: Python a fondo (conectores SCIM + automatización de API de IdP: Okta API / Microsoft Graph API + integraciones propias), Terraform para IAM como código (proveedor Terraform de Okta / de Entra). Seguridad de identidad: conciencia de los ataques a la identidad (phishing / MFA bombing / robo de tokens / OAuth consent phishing / Golden SAML), estrategia de migración a passwordless, endurecimiento del MFA. Diseño de sistemas para IAM: diseñar una arquitectura de SSO empresarial en una pizarra, diseñar CIAM para millones de usuarios, diseñar una arquitectura de identidad Zero Trust, diseñar flujos de acceso privilegiado. Marcos de cumplimiento: SOC 2 + ISO 27001 + SOX (controles de acceso) + PCI-DSS + 152-FZ + 187-FZ: certificación de accesos + apoyo a auditorías. Soft: redacción de ADRs para decisiones de IAM, redacción técnica (documentos de arquitectura IAM), colaboración transversal (equipos de Seguridad / IT / Backend / DevOps / RR. HH.: IAM toca a todos), comunicación con la dirección (estrategia de identidad al CISO / CIO), mentoría de IAM Engineers Middle. Inglés para Senior+ IMPRESCINDIBLE: las specs de los protocolos (RFCs de SAML / OAuth / OIDC) + la documentación de los vendors (Okta / Microsoft / SailPoint / CyberArk) + la comunidad (IDPro / Identiverse) están en inglés. Certificaciones: Okta Certified Consultant / Developer, Microsoft SC-300, certificaciones de SailPoint / CyberArk, CIDPRO (neutral de vendor). Extra opcional: contribuciones open-source a herramientas IAM (Keycloak / Ory / OpenFGA / Authentik), charlas en conferencias (Identiverse / EIC), profundidad en la especialidad de autorización (OpenFGA / SpiceDB, una habilidad escasa en alza): elevan de golpe el valor de mercado ante las empresas punteras de IAM (Okta / WorkOS / Authzed) que contratan.