IAM : marché

Offre

une offre ouverte ayant passé le contrôle qualité et citant au moins deux technologies

Candidat observé

un candidat dont la stack contient cette technologie ; un agrégat — aucune fiche individuelle ne sort du périmètre

Candidat correspondant

pas encore compté

Fenêtre

offres ouvertes au moment de la création de l'instantané

Top 5 : cloud, active directory, aws, azure, python. Maîtrise d'un IdP pour les collaborateurs : l'un de Okta (leader du secteur — Workforce Identity Cloud — connaissance premium) / Microsoft Entra ID (ex-Azure AD — domine chez les entreprises Microsoft) / Ping Identity (entreprise) / OneLogin / JumpCloud / Keycloak (open source de Red Hat — populaire en Russie) / Authentik (open source moderne en hausse) / Zitadel. Russes : Avanpost (leader en Russie) / Solar inRights / Indeed Identity / RT-IAM / CryptoPro. PAM (Privileged Access Management) : CyberArk (leader — PAM + secrets Conjur) / BeyondTrust / Delinea (fusion Thycotic + Centrify) / HashiCorp Vault + Boundary / Teleport (accès moderne à l'infrastructure — en hausse depuis 2024+) / StrongDM. Russes : Solar SafeInspect / Indeed PAM / Avanpost PAM / SKDPU NT (IT Bastion). IGA (Identity Governance & Administration) : SailPoint (leader — IdentityIQ + IdentityNow) / Saviynt / Microsoft Entra ID Governance / Omada / One Identity. Russes : Solar inRights / Avanpost IDM. Maîtrise des protocoles / standards — indispensable : SAML 2.0 (SSO d'entreprise), OAuth 2.0 / 2.1 (framework d'autorisation — grant types, PKCE, rotation des jetons), OIDC (OpenID Connect — couche d'authentification), SCIM (standard de provisionnement — automatisation arrivées-mutations-départs), FIDO2 / WebAuthn (sans mot de passe), LDAP + Kerberos (annuaire + authentification historiques). MFA / sans mot de passe : FIDO2 / WebAuthn / Passkeys, YubiKey (jetons matériels), Duo Security (Cisco), Okta Verify / Microsoft Authenticator, liens magiques + OTP (historique). Identité Zero Trust : politiques d'accès conditionnel (authentification fondée sur le risque), vérification continue, confiance des appareils, ITDR (Identity Threat Detection & Response — en hausse depuis 2024+). Gestion des secrets (recoupement) : HashiCorp Vault + solutions natives du cloud. Langages : Python en premier (automatisation IAM + connecteurs SCIM + intégrations sur mesure) + JavaScript / TypeScript (intégration frontend CIAM) + bash + PowerShell (administration d'AD).

Ingénieur IAM (cette page) — centré sur la mise en œuvre de la gestion des identités et des accès : SSO + MFA + provisioning + accès à privilèges + gouvernance. Spécialité au sein de la sécurité. Architecte Identité — IAM Senior orienté stratégie à l'échelle de l'organisation : conception de l'architecture d'identité Zero Trust + expertise des protocoles + choix technologiques + pilotage de la conformité. Moins de programmation, plus de stratégie. Évolution de carrière de l'Ingénieur IAM Senior. Ingénieur Sécurité (général) — couverture large de tous les domaines de la sécurité (SIEM + EDR + réseau + IAM — mais l'IAM n'en est qu'une partie). Voir Ingénieur Sécurité (général). Ingénieur Backend (orienté authentification) — implémente l'authentification / l'autorisation dans le code produit (flux OAuth + gestion des sessions + traitement des JWT + implémentation du RBAC). Pas un spécialiste IAM, mais recoupement dans le contexte CIAM. Rémunération variable — niveau backend. Réalité 2026 (carte des recoupements) : IAM ↔ Ingénieur Sécurité : 40 % (l'IAM est un domaine de la sécurité). IAM ↔ Backend (authentification) : 50 % dans le contexte CIAM (authentification côté clients — les Ingénieurs Backend implémentent souvent, les Ingénieurs IAM conçoivent). IAM ↔ DevOps : 30 % (identité machine + gestion des secrets + authentification de service à service). Séparation IAM collaborateurs vs CIAM : IAM collaborateurs — identité des employés (Okta / Entra ID — SSO pour les applications internes + gestion du cycle de vie) — plus proche de l'IT / de la sécurité traditionnelles. CIAM (Customer IAM) — authentification côté clients (Auth0 / Cognito / Clerk — des millions d'utilisateurs + scalabilité + UX) — plus proche de l'ingénierie Backend + du produit. Ces deux directions IAM exigent des compétences différentes. Reconversions : Administrateur système (admin AD) → Ingénieur IAM collaborateurs — 4-8 mois. Ingénieur Backend → Ingénieur CIAM — 3-6 mois (les connaissances en authentification se transposent). Ingénieur Sécurité → Ingénieur IAM — 3-6 mois. IAM Senior → Architecte Identité — 2-4 ans.

Points forts : écosystème Microsoft approfondi, Conditional Access, offre gratuite avec M365. Points faibles : niveaux de licence complexes, intégration historiquement plus faible des applications non Microsoft. 2) Okta (Workforce Identity Cloud) — le meilleur pour les environnements multi-éditeurs + l'approche best-of-breed. Points forts : 7000+ intégrations d'applications prêtes à l'emploi (le plus grand catalogue), indépendant des éditeurs, UX soignée, gestion du cycle de vie solide. Points faibles : tarification premium, atteinte à la réputation après l'incident de 2022 (surmontée). Cas d'usage : organisations non centrées sur Microsoft + souhaitant la meilleure couverture d'intégrations. 3) Ping Identity — orienté grandes entreprises, environnements hybrides complexes. Cas d'usage : grandes entreprises avec hybride on-prem + cloud + besoins de fédération complexes. 4) Keycloak (open source — Red Hat) — le meilleur pour l'auto-hébergement + budget nul + équipes techniques. Points forts : gratuit, complet (SAML + OIDC + identity brokering), personnalisable. Points faibles : charge d'exploitation (c'est vous qui le faites tourner), courbe d'apprentissage plus raide. Cas d'usage : budget limité + équipe technique + populaire dans le contexte russe (préférence pour l'auto-hébergement). 5) Authentik / Zitadel — alternatives modernes open source à Keycloak (meilleure UX). En croissance 2024+. 6) IdP russes pour les collaborateurs (après la substitution des importations) : Avanpost (leader en Russie) / Solar inRights / Indeed Identity / RT-IAM — pour les organisations exclusivement russes + les entreprises publiques. CIAM (authentification grand public) : 7) Auth0 (propriété d'Okta) — le favori des développeurs, la meilleure DX (expérience développeur), SDK / documentation étendus. Cas d'usage : des startups au mid-market, mise sur le marché rapide. La tarification augmente fortement avec un MAU élevé (utilisateurs actifs mensuels). 8) Amazon Cognito — le meilleur pour les applications natives AWS. Bon marché à grande échelle. Points faibles : DX peu pratique, personnalisation limitée. 9) WorkOS — SSO-as-a-service B2B — « la préparation entreprise en une seule API » (SAML + SCIM + synchronisation d'annuaire pour les SaaS B2B qui vendent aux grandes entreprises). En forte croissance 2024+ — le meilleur pour les SaaS B2B qui doivent prendre en charge le SSO des clients entreprises. 10) Clerk — moderne, adapté aux développeurs, React-first, beaux composants d'UI prêts à l'emploi. Cas d'usage : applications web modernes (Next.js / React), itérations rapides. 11) Stytch — sans mot de passe d'abord, API moderne. 12) Firebase Authentication — le meilleur pour les applications mobiles + l'écosystème Firebase. 13) Ory (open source — Kratos + Hydra + Keto) — le meilleur pour un CIAM auto-hébergé + un contrôle total. 14) SuperTokens — alternative CIAM open source. Recommandations par défaut 2026 : Collaborateurs dans un environnement Microsoft → Entra ID. Collaborateurs multi-éditeurs → Okta. Collaborateurs, auto-hébergé, budget nul → Keycloak (ou Authentik / Zitadel pour une meilleure UX). Organisation exclusivement russe → Avanpost / Solar. CIAM d'application grand public → Auth0 (rapide) ou Clerk (React moderne) ou Cognito (natif AWS). SaaS B2B ayant besoin du SSO entreprise → WorkOS. CIAM auto-hébergé → Ory ou SuperTokens. Couche d'autorisation (séparée de l'authentification) : OPA (politiques générales) / OpenFGA ou SpiceDB (basés sur les relations, style Zanzibar) / Cedar (AWS) / Oso ou Permit.io (embarqués).

Oui, 37 % des offres d'ingénieur IAM sont entièrement à distance ou hybrides. Le travail IAM se fait principalement dans le cloud (consoles d'IdP + plateformes SaaS + intégrations d'API). Les sociétés d'outsourcing — presque toujours à distance sur des projets IAM américains. Banques russes — hybride/bureau en raison de la réglementation + de la sensibilité des données d'identité + de la vérification des antécédents de sécurité. Éditeurs IAM russes (Avanpost / Solar / Indeed Identity / CryptoPro) — hybride ou à distance après vérification des antécédents. Entreprises publiques — hybride/bureau en raison des habilitations de sécurité (surtout pour le travail PAM — accès à privilèges — postes à haut niveau de confiance). Équipes identité des Big Tech — hybride standard. Ingénieurs CIAM (orientés grand public — proches du Backend) — très compatibles avec le tout à distance du fait de leur nature d'ingénierie produit. Pôles d'expatriation : Pologne (UE favorable à la sécurité) / Allemagne / Canada / Serbie. L'anglais pour le télétravail IAM international — indispensable (spécifications des protocoles — RFC SAML / OAuth / OIDC + documentation des éditeurs Okta / Microsoft / SailPoint + communauté sont en anglais).

Ingénieur IAM (général) — centré sur l'identité des collaborateurs au sens large : SSO + MFA + provisioning + gestion des accès pour tous les utilisateurs. Ingénieur PAM (spécialité Privileged Access Management) — centré spécifiquement sur les comptes à privilèges (administrateur / root / comptes de service — les identités les plus à risque). Au quotidien : 1) Déploiement de la plateforme PAM (CyberArk / BeyondTrust / Delinea / HashiCorp Boundary / Teleport), 2) Coffre-fort des identifiants à privilèges (rotation des secrets + workflows d'emprunt / restitution), 3) Enregistrement + supervision des sessions (enregistrer les sessions d'administration pour l'audit + l'investigation), 4) Accès à privilèges Just-In-Time (JIT) (accorder des droits d'administration temporairement, révocation automatique), 5) Contrôle de l'élévation de privilèges + application du moindre privilège, 6) Gestion des comptes de service / identités machine (identités non humaines — souvent 10× plus nombreuses que les comptes humains), 7) Procédures d'accès d'urgence (break-glass). Pourquoi une spécialité : les comptes à privilèges sont la cible principale des ransomwares + attaques APT (compromettre un admin → partie terminée). Obligation réglementaire (PCI-DSS / SOX / loi fédérale 187-FZ exigent des contrôles PAM). Rémunération : Ingénieur PAM — prime par rapport à l'IAM général +10-20 % du fait de la rareté de la compétence + du haut niveau de confiance requis. Ingénieur IGA (spécialité Identity Governance & Administration) — autre spécialité : centrée sur la gouvernance des accès — campagnes de certification des accès (revue périodique « cette personne a-t-elle encore besoin de cet accès ? »), application de la politique de séparation des tâches (SoD), workflows de demande d'accès, reporting de conformité (SOC 2 / ISO 27001 / audits d'accès SOX). Outils : SailPoint / Saviynt. Ingénieur CIAM — authentification côté clients (des millions d'utilisateurs — scalabilité + UX + orientation ingénierie Backend). Voir l'arbre de décision ci-dessus. Ingénieur Autorisation (en progression 2024+) — spécialité de l'autorisation fine (OPA / OpenFGA / Cedar / SpiceDB) — « qui peut faire quoi sur quelle ressource » à grande échelle. Choix de carrière : IAM général pour la largeur + l'identité des collaborateurs, PAM pour la haute confiance + les comptes à privilèges en profondeur + la sécurité critique, IGA pour la gouvernance + la conformité + l'audit, CIAM pour l'échelle grand public + l'ingénierie produit, Ingénieur Autorisation pour l'autorisation fine + les moteurs de politiques modernes.

Feuille de route : 1) Fondamentaux de l'identité — authentification vs autorisation vs traçabilité (AAA), cycle de vie des identités (arrivée-mobilité-départ), principe du moindre privilège, RBAC vs ABAC vs ReBAC (contrôle d'accès basé sur les rôles / les attributs / les relations). 2) Protocoles en profondeur — indispensable : SAML 2.0 (assertions + bindings + flux initiés par le SP vs par l'IdP), OAuth 2.0 / 2.1 (types d'autorisation — authorization code + PKCE + client credentials ; types de jetons ; pièges courants), OIDC (OpenID Connect) (jetons d'identité + UserInfo + discovery), SCIM (standard de provisionnement). Livre : « Solving Identity Management in Modern Applications » d'Yvonne Wilson / Abhishek Hingnikar (canonique — OAuth/OIDC pour les développeurs). 3) Fondamentaux d'Active Directory — structure d'AD (forêts / domaines / OU), stratégies de groupe, authentification Kerberos, LDAP. Livre : « Active Directory » de Brian Desmond (O'Reilly). 4) Pratique d'un IdP pour les employés — en choisir un : Okta (offre gratuite Okta Developer — la meilleure pour apprendre + certification Okta Certified Professional) ou Microsoft Entra ID (offre gratuite Azure + certification SC-300) ou Keycloak (auto-hébergé gratuit — pour apprendre les protocoles en profondeur). Mettre en place le SSO pour des applications de test. 5) MFA / sans mot de passe — comprendre FIDO2 / WebAuthn / Passkeys (l'avenir sans mot de passe), configurer une YubiKey, configurer des politiques d'accès conditionnel. 6) Pratique du CIAM (pour la filière grand public) — offre gratuite Auth0 ou Clerk ou Keycloak. Implémenter les flux de connexion dans une application de test (React / Next.js). 7) Pratique du PAM (pour la filière accès à privilèges) — HashiCorp Vault (auto-hébergé gratuit) + Boundary, ou Teleport (offre gratuite). Comprendre le coffre-fort de secrets + l'enregistrement des sessions + l'accès juste-à-temps. 8) Bases de l'IGA (pour la filière gouvernance) — formation SailPoint (SailPoint University) — certification des accès + notions de séparation des tâches (SoD). 9) Autorisation (en croissance 2024+) — OPA (Open Policy Agent — langage Rego) + OpenFGA (basé sur les relations — lire l'article Google Zanzibar) + Cedar (AWS). Construire une démo d'autorisation fine. 10) Automatisation de l'IAM — Python pour les connecteurs SCIM + intégrations sur mesure + automatisation via les API des IdP (Okta API / Microsoft Graph API). 11) Parcours de certifications : Okta Certified (Professional → Administrator → Consultant / Developer) ou Microsoft SC-300 (Identity and Access Administrator) — le socle. Avancé : certifications SailPoint / certifications CyberArk (Defender → Sentry → Guardian) / CIDPRO (Certified Identity Professional — IDPro — indépendante des éditeurs). 12) Portfolio de projets personnels : a) mise en place complète du SSO (Keycloak / Okta) avec plusieurs applications + SAML + OIDC + provisionnement SCIM ; b) application de démo CIAM sans mot de passe (WebAuthn / Passkeys) ; c) démo d'autorisation fine (OpenFGA / OPA). Documenter sur GitHub. Formations en Russie : BI.ZONE Cybersecurity Academy, Otus « IAM » / formations en sécurité, formation Avanpost (IAM russe), formation Solar (IGA inRights / PAM SafeInspect). International (EN) : Okta Learning (gratuit — le meilleur pour la filière Okta), Microsoft Learn SC-300 (gratuit), IDPro Body of Knowledge (indépendant des éditeurs — la meilleure ressource de base, gratuite), documentation + blog Auth0 (excellent pour apprendre le CIAM), « OAuth 2 in Action » de Justin Richer / Antonio Sanso (Manning — les protocoles en profondeur). Livres à lire absolument : « Solving Identity Management in Modern Applications » de Wilson / Hingnikar, « OAuth 2 in Action » de Richer / Sanso, IDPro Body of Knowledge (en ligne). Conférences : Identiverse (la plus grande conférence sur l'identité), Gartner IAM Summit, European Identity & Cloud Conference (EIC). Administrateur système (admin AD) / Sécurité Middle / Backend Middle + orientation IAM → IAM Junior — 4-8 mois.

109 active open IAM Engineer vacancies with explicit IAM focus in our sample. The real market is significantly wider — many IAM roles classified as general Security Engineer / Backend Engineer (CIAM auth implementation) / DevOps (machine identity + secrets) / IT Administrator (AD administration). True IAM-focused dev jobs in CIS + Europe estimated 150–600 active positions at any moment 2026. Geography: the US, India, Canada. The real market is wider due to the international remote segment (Okta / Microsoft Entra / Ping / SailPoint / CyberArk / WorkOS / Auth0 / Clerk / Stytch — full-remote-friendly). Senior IAM Engineer closing time — 6-12 weeks (longer than general Security due to rare-skill — protocols depth + platform expertise + governance knowledge combination).

L'ingénieur IAM Senior est responsable de tout le cycle de vie de la gestion des identités et des accès (identity & access management) + du leadership technique. Maîtrise approfondie des protocoles : SAML 2.0 (assertions + bindings + flux initiés par le SP/l'IdP + signature / chiffrement), OAuth 2.0 / 2.1 (tous les grant types + PKCE + rotation des tokens + DPoP + vulnérabilités courantes — fuite de tokens / CSRF / manipulation des redirections), OIDC (ID tokens + claims + discovery + gestion de session + back-channel logout), SCIM (automatisation du provisionnement — arrivées, mobilités, départs), FIDO2 / WebAuthn (mise en œuvre du sans mot de passe), Kerberos + LDAP (annuaires historiques). Maîtrise d'un IdP pour les collaborateurs : l'un d'Okta / Microsoft Entra ID / Ping en profondeur — architecture SSO, automatisation de la gestion du cycle de vie, Conditional Access / politiques basées sur le risque, intégration d'applications (catalogue de 7000+ pour Okta), intégration d'applications SAML / OIDC sur mesure, fédération d'IdP (scénarios multi-IdP). Maîtrise des services d'annuaire : Active Directory en profondeur (architecture forêt / domaine / OU + Group Policy + réplication + sécurité AD — connaissance de Kerberoasting / DCSync), Entra ID hybride (AD Connect / Cloud Sync). Maîtrise du PAM (filière PAM) : CyberArk / BeyondTrust / Delinea / HashiCorp Boundary / Teleport — coffre-fort des identifiants à privilèges, enregistrement des sessions, accès JIT, gestion des comptes de service, procédures de bris de glace. Maîtrise de l'IGA (filière gouvernance) : SailPoint / Saviynt — campagnes de certification des accès, politique de séparation des tâches (SoD), workflows de demande d'accès, role mining, reporting de conformité. Maîtrise du CIAM (filière grand public) : Auth0 / Cognito / Clerk — authentification grand public évolutive (des millions de MAU), UX sans mot de passe, connexion via les réseaux sociaux, profilage progressif, sécurité des comptes (protection contre le credential stuffing + détection des bots). Maîtrise de l'autorisation (en croissance 2024+) : OPA (langage de politiques Rego), OpenFGA / SpiceDB (basés sur les relations — modèle Google Zanzibar), Cedar (AWS), conception d'autorisations fines à grande échelle. Identité Zero Trust : architecture Conditional Access, vérification continue, confiance dans l'appareil, intégration ITDR (Identity Threat Detection & Response). Automatisation IAM : Python en profondeur (connecteurs SCIM + automatisation via les API des IdP — Okta API / Microsoft Graph API + intégrations sur mesure), Terraform pour l'IAM en IaC (provider Terraform Okta / Entra Terraform). Sécurité des identités : connaissance des attaques sur les identités (phishing / MFA bombing / vol de tokens / phishing par consentement OAuth / Golden SAML), stratégie de migration vers le sans mot de passe, durcissement du MFA. Conception de systèmes pour l'IAM : concevoir au tableau une architecture SSO d'entreprise, concevoir un CIAM pour des millions d'utilisateurs, concevoir une architecture d'identité Zero Trust, concevoir des workflows d'accès à privilèges. Cadres de conformité : SOC 2 + ISO 27001 + SOX (contrôles d'accès) + PCI-DSS + 152-FZ + 187-FZ — certification des accès + soutien aux audits. Soft skills : rédaction d'ADR pour les décisions IAM, rédaction technique (documentation d'architecture IAM), collaboration entre équipes (sécurité / IT / backend / DevOps / RH — l'IAM touche tout le monde), communication avec la direction (stratégie d'identité pour le CISO / CIO), mentorat des ingénieurs IAM Middle. Anglais pour Senior+ INDISPENSABLE — les spécifications des protocoles (RFC SAML / OAuth / OIDC) + la documentation des éditeurs (Okta / Microsoft / SailPoint / CyberArk) + la communauté (IDPro / Identiverse) sont en anglais. Certifications : Okta Certified Consultant / Developer, Microsoft SC-300, certifications SailPoint / CyberArk, CIDPRO (indépendante des éditeurs). Bonus facultatif : contributions open source aux outils IAM (Keycloak / Ory / OpenFGA / Authentik), interventions en conférence (Identiverse / EIC), spécialisation approfondie en autorisation (OpenFGA / SpiceDB — compétence rare en croissance) — augmentent fortement la valeur sur le marché pour les entreprises IAM de pointe (Okta / WorkOS / Authzed) qui recrutent.