Описание
Мы ищем Senior Identity & Access Management Engineer для разработки и внедрения безопасных паттернов распространения идентичности и авторизации в экосистемах AI-агентов. Роль фокусируется на runtime identity, On-Behalf-Of (OBO) token exchange, федерации идентичности и безопасной коммуникации agent-to-tool с использованием AWS Bedrock AgentCore и современных корпоративных identity-платформ.
Задачи
•Проектирование и реализация безопасного распространения идентичности по цепочкам взаимодействия agent → tool → API
•Построение и поддержка потоков On-Behalf-Of (OBO) token exchange и механизмов ограниченной делегации
•Интеграция возможностей AWS Bedrock AgentCore Identity в рабочие процессы runtime агентов
•Реализация паттернов аутентификации и авторизации на базе OAuth 2.0, OpenID Connect (OIDC) и JWT
•Разработка интеграций федерации идентичности с корпоративными identity-провайдерами, такими как Microsoft Entra ID, Okta или Amazon Cognito
•Настройка outbound-авторизации на уровне gateway и управления учётными данными per-target, обеспечивая, что конфиденциальные учётные данные никогда не раскрываются вызывающим агентам
•Построение процессов безопасной выдачи, валидации, обмена, ротации и управления жизненным циклом токенов
•Проектирование и реализация механизмов брокеринга workload identity и маппинга идентичности агентов
•Реализация identity-aware контролей авторизации с использованием Cedar policies, claims mapping и тонкой настройки доступа
•Сотрудничество с платформенными, security и runtime командами для согласования контролей идентичности с корпоративными стандартами безопасности
•Поддержка безопасных паттернов авторизации для agent-to-agent (A2A) и agent-to-tool вызовов
•Участие в security-ревью, threat modeling и архитектурных обсуждениях, связанных с платформами AI-агентов
•Определение и обеспечение соблюдения best practices для runtime identity, федеративного доступа, делегированной авторизации и защиты учётных данных
Требования
•AWS Bedrock AgentCore Identity или аналогичная технология (inbound auth, outbound auth, token vault)
•On-Behalf-Of (OBO) token exchange и ограниченное распространение идентичности по цепочкам agent → tool → API
•JWT / OAuth 2.0 / OIDC (claims, scopes, валидация audience/issuer, короткоживущие ограниченные токены)
•Федерация идентичности и интеграция MS Entra Agent ID или аналогичной технологии (брокеринг workload identity)
•Outbound-авторизация на уровне gateway и управление учётными данными per-target (секреты никогда не раскрываются вызывающему агенту)
•Интеграция AgentCore Runtime в жизненный цикл вызова агента
•Cedar / MS Entra claims mapping для identity-aware авторизации (координация с Runtime Controls)
•5+ лет опыта в cloud security или identity engineering
•Практический опыт реализации OAuth 2.0 / OIDC / JWT (выдача, валидация, обмен токенов)
•Опыт работы с On-Behalf-Of / token-exchange потоками в production (RFC 8693 или эквивалент)
•Опыт федерации корпоративной идентичности с MS Entra, Okta или Cognito
•Опыт безопасного управления учётными данными/секретами и жизненным циклом токенов (ротация, vaulting)
Будет плюсом
•Опыт раннего внедрения AWS Bedrock AgentCore Identity или эквивалента
•Интеграция outbound-auth AWS AgentCore Gateway
•Паттерны авторизации MCP / A2A tool-invocation
•Опыт с AgentCore Policy (Cedar) или AWS Verified Permissions
Условия
В Intellias технологии занимают центральное место, но люди всегда важнее процессов. Создавая комфортную атмосферу в команде, компания помогает сотрудникам раскрывать потенциал и достигать выдающихся результатов, предлагая ряд льгот, поддерживающих благополучие и профессиональный рост.
