IAM: mercato

Posizione

un'offerta aperta che ha superato il controllo di qualità e indica almeno due tecnologie

Candidato osservato

un candidato il cui stack contiene questa tecnologia; un dato aggregato: nessun singolo record esce dal perimetro

Candidato abbinabile

non ancora conteggiato

Finestra

offerte aperte nel momento in cui è stato creato lo snapshot

I principali nel 5: cloud, active directory, aws, azure, python. Padronanza degli IdP aziendali: uno tra Okta (leader del settore: Workforce Identity Cloud, conoscenza premium) / Microsoft Entra ID (ex Azure AD: domina nelle aziende Microsoft) / Ping Identity (enterprise) / OneLogin / JumpCloud / Keycloak (open source Red Hat: popolare nella Federazione Russa) / Authentik (open source moderno in crescita) / Zitadel. Russi: Avanpost (leader nella Federazione Russa) / Solar inRights / Indeed Identity / RT-IAM / CryptoPro. PAM (Privileged Access Management): CyberArk (leader: PAM + segreti Conjur) / BeyondTrust / Delinea (fusione Thycotic + Centrify) / HashiCorp Vault + Boundary / Teleport (accesso moderno all'infrastruttura: in crescita 2024+) / StrongDM. Russi: Solar SafeInspect / Indeed PAM / Avanpost PAM / SKDPU NT (IT Bastion). IGA (Identity Governance & Administration): SailPoint (leader: IdentityIQ + IdentityNow) / Saviynt / Microsoft Entra ID Governance / Omada / One Identity. Russi: Solar inRights / Avanpost IDM. Padronanza di protocolli / standard: indispensabile: SAML 2.0 (SSO enterprise), OAuth 2.0 / 2.1 (framework di autorizzazione: grant type, PKCE, rotazione dei token), OIDC (OpenID Connect: livello di autenticazione), SCIM (standard di provisioning: automazione joiner-mover-leaver), FIDO2 / WebAuthn (passwordless), LDAP + Kerberos (directory + autenticazione legacy). MFA / Passwordless: FIDO2 / WebAuthn / Passkeys, YubiKey (token hardware), Duo Security (Cisco), Okta Verify / Microsoft Authenticator, magic link + OTP (legacy). Identità Zero Trust: policy di Conditional Access (autenticazione basata sul rischio), verifica continua, fiducia nel dispositivo, ITDR (Identity Threat Detection & Response: in crescita 2024+). Gestione dei segreti (sovrapposizione): HashiCorp Vault + cloud-native. Linguaggi: Python principale (automazione IAM + connettori SCIM + integrazioni personalizzate) + JavaScript / TypeScript (integrazione frontend CIAM) + bash + PowerShell (amministrazione AD).

IAM Engineer (questa pagina): focus sull'implementazione di identity & access management: SSO + MFA + provisioning + accessi privilegiati + governance. Una specialità all'interno della sicurezza. Identity Architect: Senior IAM con focus sulla strategia a livello aziendale: progettazione dell'architettura delle identità Zero Trust + competenza sui protocolli + scelta delle tecnologie + guida della conformità. Meno programmazione, più strategia. Evoluzione di carriera dal Senior IAM Engineer. Security Engineer (generale): copertura ampia di tutti i domini della sicurezza (SIEM + EDR + rete + IAM: ma l'IAM è solo una parte). Vedi Security Engineer (generale). Backend Engineer (focalizzato sull'autenticazione): implementa autenticazione / autorizzazione nel codice di prodotto (flussi OAuth + gestione delle sessioni + gestione dei JWT + implementazione RBAC). Non è uno specialista IAM, ma c'è sovrapposizione nel contesto CIAM. La retribuzione varia: fascia backend. Realtà 2026 (mappa delle sovrapposizioni): IAM ↔ Security Engineer: 40% (l'IAM è un dominio della sicurezza). IAM ↔ Backend (autenticazione): 50% nel contesto CIAM (autenticazione rivolta ai consumatori: spesso i Backend Engineer implementano, gli IAM Engineer progettano). IAM ↔ DevOps: 30% (identità delle macchine + gestione dei segreti + autenticazione tra servizi). Divisione IAM per i dipendenti vs CIAM: IAM per i dipendenti: identità dei dipendenti (Okta / Entra ID: SSO per le app interne + gestione del ciclo di vita): più vicino all'IT / sicurezza tradizionale. CIAM (Customer IAM): autenticazione rivolta ai consumatori (Auth0 / Cognito / Clerk: milioni di utenti + scalabilità + UX): più vicino all'ingegneria backend + al prodotto. Queste due direzioni IAM richiedono competenze diverse. Cambi di carriera: Sysadmin (amministratore AD) → IAM Engineer per i dipendenti: 4-8 mesi. Backend Engineer → CIAM Engineer: 3-6 mesi (le conoscenze sull'autenticazione si trasferiscono). Security Engineer → IAM Engineer: 3-6 mesi. Senior IAM → Identity Architect: 2-4 anni.

Punti di forza: profondo ecosistema Microsoft, Conditional Access, free tier con M365. Punti deboli: livelli di licenza complessi, storicamente un'integrazione più debole con le app non Microsoft. 2) Okta (Workforce Identity Cloud): il migliore per gli ambienti multi-vendor + l'approccio best-of-breed. Punti di forza: 7000+ integrazioni con app già pronte (il catalogo più ampio), indipendente dai vendor, UX curata, forte gestione del ciclo di vita. Punti deboli: prezzi premium, danno reputazionale della violazione del 2022 (recuperato). Caso d'uso: organizzazioni non incentrate su Microsoft + chi vuole la migliore copertura di integrazioni. 3) Ping Identity: orientato all'enterprise, ambienti ibridi complessi. Caso d'uso: grandi aziende con ibrido on-prem + cloud + esigenze di federazione complesse. 4) Keycloak (open source: Red Hat): il migliore per self-hosted + budget zero + team tecnici. Punti di forza: gratuito, completo (SAML + OIDC + identity brokering), personalizzabile. Punti deboli: onere operativo (lo gestisci tu), curva di apprendimento più ripida. Caso d'uso: budget limitato + team tecnico + popolare nel contesto della Federazione Russa (preferenza per il self-hosted). 5) Authentik / Zitadel: alternative open source moderne a Keycloak (UX migliore). In crescita 2024+. 6) IdP aziendali russi (dopo la sostituzione delle importazioni): Avanpost (leader in Federazione Russa) / Solar inRights / Indeed Identity / RT-IAM: per le organizzazioni che operano solo in Federazione Russa + le aziende statali. CIAM (autenticazione per i consumatori): 7) Auth0 (di proprietà di Okta): il preferito degli sviluppatori, la migliore DX (developer experience), SDK / documentazione ampi. Caso d'uso: dalle startup al mid-market, time-to-market rapido. I prezzi crescono in modo aggressivo con molti MAU (Monthly Active Users). 8) Amazon Cognito: il migliore per le applicazioni native AWS. Economico su larga scala. Punti deboli: DX macchinosa, personalizzazione limitata. 9) WorkOS: SSO-as-a-service B2B, «enterprise readiness in un'unica API» (SAML + SCIM + sincronizzazione delle directory per i SaaS B2B che vendono alle grandi aziende). In rapida crescita 2024+: il migliore per i SaaS B2B che devono supportare l'SSO dei clienti enterprise. 10) Clerk: moderno, adatto agli sviluppatori, pensato prima per React, bei componenti UI già pronti. Caso d'uso: app web moderne (Next.js / React), iterazione rapida. 11) Stytch: passwordless prima di tutto, API moderna. 12) Firebase Authentication: il migliore per le app mobile + l'ecosistema Firebase. 13) Ory (open source: Kratos + Hydra + Keto): il migliore per il CIAM self-hosted + il pieno controllo. 14) SuperTokens: alternativa CIAM open source. Raccomandazioni predefinite 2026: Workforce in ambiente Microsoft → Entra ID. Workforce multi-vendor → Okta. Workforce self-hosted a budget zero → Keycloak (o Authentik / Zitadel per una UX migliore). Organizzazione solo in Federazione Russa → Avanpost / Solar. CIAM per app consumer → Auth0 (veloce) o Clerk (React moderno) o Cognito (nativo AWS). SaaS B2B che necessita di SSO enterprise → WorkOS. CIAM self-hosted → Ory o SuperTokens. Layer di autorizzazione (separato dall'autenticazione): OPA (policy generali) / OpenFGA o SpiceDB (basati sulle relazioni, in stile Zanzibar) / Cedar (AWS) / Oso o Permit.io (integrati).

Sì, il 37% delle offerte IAM Engineer è completamente da remoto o ibrido. Il lavoro IAM è soprattutto nel cloud (console IdP + piattaforme SaaS + integrazioni API). Gli outsourcer: quasi sempre da remoto su progetti IAM statunitensi. Banche russe: ibrido/in sede per obblighi normativi + sensibilità dei dati di identità + verifica dei precedenti di sicurezza. Vendor IAM russi (Avanpost / Solar / Indeed Identity / CryptoPro): ibrido o da remoto dopo la verifica dei precedenti. Aziende statali: ibrido/in sede per le autorizzazioni di sicurezza (soprattutto per il lavoro PAM, accesso privilegiato: ruoli ad alta fiducia). Team di identità nelle Big Tech: ibrido come standard. CIAM Engineer (rivolti ai consumatori, orientati al Backend): adatti al lavoro completamente da remoto per la natura di ingegneria di prodotto. Hub per chi si trasferisce: Polonia (UE favorevole alla sicurezza) / Germania / Canada / Serbia. Inglese per il lavoro IAM internazionale da remoto: indispensabile (specifiche dei protocolli: RFC di SAML / OAuth / OIDC + documentazione dei vendor Okta / Microsoft / SailPoint + community sono in inglese).

IAM Engineer (generale): focus sull'identità dei dipendenti in senso ampio: SSO + MFA + provisioning + gestione degli accessi per tutti gli utenti. PAM Engineer (specialità Privileged Access Management): focus specifico sugli account privilegiati (amministratore / root / account di servizio: le identità a più alto rischio). Il lavoro quotidiano: 1) Deploy della piattaforma PAM (CyberArk / BeyondTrust / Delinea / HashiCorp Boundary / Teleport), 2) Vaulting delle credenziali privilegiate (rotazione dei segreti + flussi di checkout / checkin), 3) Registrazione + monitoraggio delle sessioni (registrare le sessioni degli amministratori per audit + analisi forense), 4) Accesso privilegiato Just-In-Time (JIT) (concedere temporaneamente diritti di amministratore, revoca automatica), 5) Controllo dell'escalation dei privilegi + applicazione del minimo privilegio, 6) Gestione degli account di servizio / delle identità delle macchine (identità non umane: spesso 10× più degli account umani), 7) Procedure di accesso break-glass (accesso di emergenza). Perché è una specialità: gli account privilegiati sono il bersaglio principale di ransomware + attacchi APT (compromesso l'amministratore → partita finita). Obbligo normativo (PCI-DSS / SOX / la legge 187-FZ richiedono controlli PAM). Retribuzione: il PAM Engineer ha un premio sull'IAM generico del +10-20% per la rarità della competenza e la natura ad alta fiducia. IGA Engineer (specialità Identity Governance & Administration): un'altra specialità: focus sulla governance degli accessi: campagne di certificazione degli accessi (revisione periodica «questa persona ha ancora bisogno di questo accesso?»), applicazione delle policy di Segregation of Duties (SoD), flussi di richiesta degli accessi, reportistica di conformità (audit degli accessi SOC 2 / ISO 27001 / SOX). Strumenti: SailPoint / Saviynt. CIAM Engineer: autenticazione rivolta ai consumatori (milioni di utenti: scalabilità + UX + orientamento all'ingegneria backend). Vedi l'albero decisionale sopra. Authorization Engineer (in crescita 2024+): specialità dell'autorizzazione granulare (OPA / OpenFGA / Cedar / SpiceDB): «chi può fare cosa su quale risorsa» su larga scala. Scelta di carriera: IAM generico se ampiezza + identità dei dipendenti, PAM se alta fiducia + account privilegiati a fondo + criticità per la sicurezza, IGA se focus su governance + conformità + audit, CIAM se scala consumer + ingegneria di prodotto, Authorization Engineer se autorizzazione granulare + motori di policy moderni.

Roadmap: 1) Fondamenti di identità: autenticazione vs autorizzazione vs accounting (AAA), ciclo di vita dell'identità (joiner-mover-leaver), principio del least privilege, RBAC vs ABAC vs ReBAC (Role / Attribute / Relationship-Based Access Control). 2) Protocolli in profondità: obbligatori: SAML 2.0 (asserzioni + binding + flussi avviati da SP vs da IdP), OAuth 2.0 / 2.1 (grant type: authorization code + PKCE + client credentials; tipi di token; errori comuni), OIDC (OpenID Connect) (ID token + UserInfo + discovery), SCIM (standard di provisioning). Libro: «Solving Identity Management in Modern Applications» di Yvonne Wilson / Abhishek Hingnikar (canonico: OAuth/OIDC per sviluppatori). 3) Fondamenti di Active Directory: struttura di AD (foreste / domini / OU), Group Policy, autenticazione Kerberos, LDAP. Libro: «Active Directory» di Brian Desmond (O'Reilly). 4) Pratica con un IdP aziendale: scegline uno: Okta (free tier Okta Developer: il migliore per imparare + certificazione Okta Certified Professional) o Microsoft Entra ID (free tier di Azure + certificazione SC-300) o Keycloak (self-hosted gratuito: per imparare a fondo i protocolli). Configura l'SSO per app di test. 5) MFA / Passwordless: capisci FIDO2 / WebAuthn / Passkeys (il futuro senza password), configura una YubiKey, imposta le policy di Conditional Access. 6) Pratica di CIAM (se il percorso è rivolto ai consumatori): free tier di Auth0 o Clerk o Keycloak. Implementa i flussi di login in un'app di test (React / Next.js). 7) Pratica di PAM (se il percorso è sugli accessi privilegiati): HashiCorp Vault (self-hosted gratuito) + Boundary, o Teleport (free tier). Capisci il vaulting dei segreti + la registrazione delle sessioni + l'accesso JIT. 8) Basi di IGA (se il percorso è sulla governance): formazione SailPoint (SailPoint University): certificazione degli accessi + concetti di SoD. 9) Autorizzazione (in crescita 2024+): OPA (Open Policy Agent: linguaggio Rego) + OpenFGA (basato sulle relazioni: leggi il paper Google Zanzibar) + Cedar (AWS). Costruisci una demo di autorizzazione a grana fine. 10) Automazione IAM: Python per connettori SCIM + integrazioni custom + automazione delle API degli IdP (Okta API / Microsoft Graph API). 11) Percorso delle certificazioni: Okta Certified (Professional → Administrator → Consultant / Developer) o Microsoft SC-300 (Identity and Access Administrator): di base. Avanzate: certificazioni SailPoint / certificazioni CyberArk (Defender → Sentry → Guardian) / CIDPRO (Certified Identity Professional: IDPro, indipendente dai vendor). 12) Portfolio di progetti personali: a) configurazione SSO completa (Keycloak / Okta) con più app + SAML + OIDC + provisioning SCIM; b) app demo CIAM passwordless (WebAuthn / Passkeys); c) demo di autorizzazione a grana fine (OpenFGA / OPA). Documenta su GitHub. Corsi in Federazione Russa: BI.ZONE Cybersecurity Academy, Otus «IAM» / corsi di sicurezza, formazione Avanpost (IAM russo), formazione Solar (inRights IGA / SafeInspect PAM). Internazionale (eng): Okta Learning (gratuito: il migliore per il percorso Okta), Microsoft Learn SC-300 (gratuito), IDPro Body of Knowledge (indipendente dai vendor: la migliore risorsa di base, gratuita), documentazione + blog di Auth0 (eccellenti per imparare il CIAM), «OAuth 2 in Action» di Justin Richer / Antonio Sanso (Manning: protocolli in profondità). Libri da leggere assolutamente: «Solving Identity Management in Modern Applications» di Wilson / Hingnikar, «OAuth 2 in Action» di Richer / Sanso, IDPro Body of Knowledge (online). Conferenze: Identiverse (la più grande conferenza sull'identità), Gartner IAM Summit, European Identity & Cloud Conference (EIC). Sysadmin (amministratore AD) / Security Middle / Backend Middle + focus IAM → IAM Junior: 4-8 mesi.

109 active open IAM Engineer vacancies with explicit IAM focus in our sample. The real market is significantly wider — many IAM roles classified as general Security Engineer / Backend Engineer (CIAM auth implementation) / DevOps (machine identity + secrets) / IT Administrator (AD administration). True IAM-focused dev jobs in CIS + Europe estimated 150–600 active positions at any moment 2026. Geography: the US, India, Canada. The real market is wider due to the international remote segment (Okta / Microsoft Entra / Ping / SailPoint / CyberArk / WorkOS / Auth0 / Clerk / Stytch — full-remote-friendly). Senior IAM Engineer closing time — 6-12 weeks (longer than general Security due to rare-skill — protocols depth + platform expertise + governance knowledge combination).

Il Senior IAM Engineer è responsabile dell'intero ciclo di vita dell'identity & access management + della leadership tecnica. Padronanza approfondita dei protocolli: SAML 2.0 (asserzioni + binding + flussi avviati da SP/IdP + firma / cifratura), OAuth 2.0 / 2.1 (tutti i grant type + PKCE + rotazione dei token + DPoP + vulnerabilità comuni: fuga di token / CSRF / manipolazione dei redirect), OIDC (ID token + claim + discovery + gestione delle sessioni + logout back-channel), SCIM (automazione del provisioning: joiner-mover-leaver), FIDO2 / WebAuthn (implementazione passwordless), Kerberos + LDAP (directory legacy). Padronanza di un IdP aziendale: uno tra Okta / Microsoft Entra ID / Ping a fondo: architettura SSO, automazione della gestione del ciclo di vita, Conditional Access / policy basate sul rischio, integrazione delle app (catalogo di 7000+ per Okta), onboarding di app SAML / OIDC custom, federazione degli IdP (scenari multi-IdP). Padronanza dei servizi di directory: Active Directory a fondo (architettura foreste / domini / OU + Group Policy + replica + sicurezza di AD: conoscenza di Kerberoasting / DCSync), Entra ID ibrido (AD Connect / Cloud Sync). Padronanza del PAM (se percorso PAM): CyberArk / BeyondTrust / Delinea / HashiCorp Boundary / Teleport: vaulting delle credenziali privilegiate, registrazione delle sessioni, accesso JIT, gestione degli account di servizio, procedure break-glass. Padronanza dell'IGA (se percorso governance): SailPoint / Saviynt: campagne di certificazione degli accessi, policy di Segregation of Duties (SoD), workflow di richiesta degli accessi, role mining, reportistica di conformità. Padronanza del CIAM (se percorso consumer): Auth0 / Cognito / Clerk: autenticazione consumer scalabile (milioni di MAU), UX passwordless, social login, profilazione progressiva, sicurezza degli account (protezione dal credential stuffing + rilevamento dei bot). Padronanza dell'autorizzazione (in crescita 2024+): OPA (linguaggio di policy Rego), OpenFGA / SpiceDB (basati sulle relazioni: modello Google Zanzibar), Cedar (AWS), design dell'autorizzazione a grana fine su larga scala. Identità Zero Trust: architettura di Conditional Access, verifica continua, fiducia nei dispositivi, integrazione ITDR (Identity Threat Detection & Response). Automazione IAM: Python a fondo (connettori SCIM + automazione delle API degli IdP: Okta API / Microsoft Graph API + integrazioni custom), Terraform per l'IAM come IaC (provider Terraform di Okta / Entra). Sicurezza dell'identità: conoscenza degli attacchi all'identità (phishing / MFA bombing / furto di token / OAuth consent phishing / Golden SAML), strategia di migrazione al passwordless, hardening dell'MFA. System design per l'IAM: progettare alla lavagna un'architettura SSO enterprise, progettare un CIAM per milioni di utenti, progettare un'architettura di identità Zero Trust, progettare i workflow degli accessi privilegiati. Framework di conformità: SOC 2 + ISO 27001 + SOX (controlli di accesso) + PCI-DSS + legge federale 152-FZ + legge federale 187-FZ: certificazione degli accessi + supporto agli audit. Soft: scrittura di ADR per le decisioni IAM, scrittura tecnica (documentazione dell'architettura IAM), collaborazione tra team (Security / IT / Backend / DevOps / HR: l'IAM tocca tutti), comunicazione con il top management (strategia dell'identità per CISO / CIO), mentoring degli IAM Engineer Middle. Inglese per Senior+ OBBLIGATORIO: le specifiche dei protocolli (RFC di SAML / OAuth / OIDC) + la documentazione dei vendor (Okta / Microsoft / SailPoint / CyberArk) + la community (IDPro / Identiverse) sono in inglese. Certificazioni: Okta Certified Consultant / Developer, Microsoft SC-300, certificazioni SailPoint / CyberArk, CIDPRO (indipendente dai vendor). Bonus facoltativo: contributi open source agli strumenti IAM (Keycloak / Ory / OpenFGA / Authentik), talk alle conferenze (Identiverse / EIC), specializzazione approfondita nell'autorizzazione (OpenFGA / SpiceDB: competenza rara in crescita): aumentano nettamente il valore di mercato per le aziende IAM di frontiera (Okta / WorkOS / Authzed) che assumono.