Senior инженер по безопасности идентификации

Ramp — компания, создающая инфраструктуру для финансовых команд. Её решения автоматизируют движение корпоративных расходов: авторизацию платежей, выявление рисков, категоризацию трат и закрытие книг. Ежегодный оборот через платформу составляет более $275 млрд, ею пользуются более 85 000 компаний.

О роли

Корпоративная безопасность Ramp отвечает за уровень идентификации и доступа: Okta, Google Workspace, связанные SaaS-приложения и управление правами. Требуется Senior Security Engineer, Identity, который превратит этот уровень в IAM как сервис — платформу, доступную сотрудникам Ramp без создания тикетов. Роль предполагает практическую работу: проектирование идентификации в Ramp и написание кода для её реализации. Это конфигурация идентификации в Terraform, управление правами через агентный рабочий процесс и on-call агент, отвечающий на вопросы о доступе. По мере того как доступ всё чаще предоставляется приложениям и ИИ-агентам, а не людям, вы будете отвечать за выдачу, ограничение области действия и аудит таких идентичностей. Позиция подчиняется руководителю Corporate Security и тесно взаимодействует с IT, Security Engineering, AI DevX и командой данных.

Задачи

• Вести Terraform для сервисов идентификации: приложения Okta, серверы авторизации, политики аутентификации, группы и правила групп, провижининг SCIM.
• Проектировать и эксплуатировать кастомные серверы авторизации, включая аудитории, scopes, claims и политики доступа для внутренних сервисов и ИИ-агентов.
• Реализовывать доступ между приложениями и агентами через Cross App Access (XAA) и ID-JAG, чтобы делегированный доступ управлялся IdP, а не выдавался каждому пользователю вручную.
• Отвечать за платформу IGA: каталог прав, владение, запросы на доступ, ограниченные по времени гранты и сертификации.
• Строить агентный рабочий процесс, который переводит команду от запроса «нужна группа людей с доступом к X» к определённому, принадлежащему кому-то и управляемому праву, с изменениями Terraform и IGA, открытыми для ревью.
• Строить графы идентичностей с помощью инструментов ISPM для выявления избыточных и давних прав у людей и нечеловеческих идентичностей.
• Создавать озеро данных идентичности для on-call агента, который объясняет события вроде ошибки User Not Assigned Application в Okta до обращения сотрудника в поддержку.

Требования

• 6+ лет в области инженерии идентичности или IAM, включая операционное владение Okta или эквивалентным провайдером идентичности в масштабе.
• Глубокое понимание OAuth 2.0, OIDC, SAML и SCIM, включая то, как кастомные серверы авторизации выдают и проверяют aud, scope и claims.
• Рабочее знание того, как XAA и ID-JAG работают под капотом, включая обмен токенами и JWT bearer grants.
• Опыт работы с ISPM или инструментами графов идентичности и превращения их находок в автоматизированное устранение.
• Опыт владения платформой IGA или создания эквивалента внутри компании.
• Опыт Terraform для управления провайдерами идентичности, включая проектирование модулей, состояние и CI.
• Программирование на Python или Go, опыт работы с API платформ.

Условия

• Гибкий неограниченный отпуск (Flexible PTO).
• Централизованный заказ оборудования для домашнего офиса.
• Стипендия на здоровье и благополучие.
• Бюджет на поездки между офисами.
• Еженедельная стипендия на кофе.
• Для США: полное покрытие медицинской, стоматологической и офтальмологической страховки, частичное покрытие для иждивенцев; годовой член One Medical; 401(k) с участием работодателя; HRA на фертильность до $10 000 в год; отпуск по уходу за ребёнком до 16 недель (роды + уход) или 8 недель (только уход) со 100% оплатой; страхование питомцев; офисные привилегии (обед, снеки, напитки); покрытие расходов на релокацию в Нью-Йорк или Сан-Франциско при необходимости.
• Для Канады: групповая медицинская, стоматологическая и офтальмологическая страховка через Sun Life; страхование жизни, AD&D и инвалидности; покрытие лекарств для фертильности до $4 000 за всё время; групповой пенсионный план с участием работодателя (RRSP + DPSP); отпуск по уходу за ребёнком до 16 недель (роды + уход) или 8 недель (только уход) со 100% оплатой и возможностью дополнительного времени с пониженной оплатой; программа помощи сотрудникам и виртуальная помощь через Lumino Health.
• Для Великобритании: частная медицинская страховка через Freedom Elite; виртуальный терапевт и помощь на дому через eMed x Livi; пенсионная программа через Penfold с опцией salary sacrifice; отпуск по уходу за ребёнком до 16 недель (роды + уход) или 8 недель (только уход) со 100% оплатой и возможностью дополнительного времени с пониженной оплатой.