Ingeniero de Identidad de Agentes – AgentCore Identity, OBO y Federación

Estamos buscando un "Senior Identity & Access Management Engineer" para diseñar e implementar patrones seguros de propagación de identidad y autorización en ecosistemas de agentes de IA. El rol se centra en la identidad en tiempo de ejecución (runtime identity), el intercambio de tokens "On-Behalf-Of" (OBO), la federación de identidades y la comunicación segura de agente a herramienta utilizando "AWS Bedrock AgentCore" y plataformas de identidad empresarial modernas.

Serás responsable de garantizar que los agentes, las herramientas y las API descendentes operen con identidades y permisos correctamente delimitados, permitiendo una delegación segura, la aplicación de la autorización y el aislamiento de credenciales a lo largo de todo el ciclo de vida de la invocación del agente.

Este puesto requiere una profunda experiencia práctica con OAuth 2.0, OIDC, validación de JWT, flujos de intercambio de tokens y federación de identidad empresarial. Es muy deseable contar con experiencia en el corretaje de identidad de cargas de trabajo (workload identity brokering), modelos de autorización de agentes y control de acceso basado en políticas.

Nuestro cliente es una corporación multinacional con más de un siglo de historia y oficinas en más de 180 países. Su objetivo más ambicioso en este momento es introducir una gama de Productos de Riesgo Reducido (RRPs). El público objetivo es de más de 1.000 millones de consumidores en todo el mundo. La plataforma de TI aloja más de 700 aplicaciones.
La misión de Intellia es ayudar al cliente con la ingeniería de un ecosistema de software integral para un producto de IoT revolucionario en el límite entre la experiencia de consumo innovadora y la tecnología de vanguardia. Nuestros equipos participan en la ingeniería de componentes centrales de la plataforma para soluciones de eCommerce, Marketing Digital e IoT de primer nivel. Como ingeniero, formarás parte del Core Architecture Team y serás responsable de la arquitectura y la implementación de las mejores prácticas en nuestra Digital Engineering Enterprise Platform.
La Plataforma es un conjunto de servicios y aplicaciones de internet que aceleran el desarrollo y la entrega de aplicaciones de software encargándose de los retos comunes del SDLC. La Plataforma proporciona acceso y consumo para los equipos de ingeniería de un conjunto de servicios, tecnologías y prácticas para su desarrollo y para la operación de su aplicación, garantizando un conjunto de cumplimiento y mejores prácticas.

• Diseñar e implementar la propagación segura de la identidad a través de las cadenas de interacción agente → herramienta → API.
• Construir y dar soporte a los flujos de intercambio de tokens "On-Behalf-Of" (OBO) y a los mecanismos de delegación delimitados.
• Integrar las capacidades de identidad de "AWS Bedrock AgentCore" en los flujos de trabajo de ejecución de los agentes.
• Implementar patrones de autenticación y autorización basados en OAuth 2.0, OpenID Connect (OIDC) y JWT.
• Desarrollar integraciones de federación de identidad con proveedores de identidad empresariales como "Microsoft Entra ID", "Okta" o "Amazon Cognito".
• Configurar la autorización de salida a nivel de gateway y la gestión de credenciales por objetivo, garantizando que las credenciales sensibles nunca queden expuestas a los agentes que realizan la llamada.
• Construir procesos seguros de emisión, validación, intercambio, rotación y gestión del ciclo de vida de los tokens.
• Diseñar e implementar mecanismos de corretaje de identidad de cargas de trabajo (workload identity brokering) y de mapeo de identidad de agentes.
• Implementar controles de autorización conscientes de la identidad utilizando políticas "Cedar", mapeo de "claims" y aplicación de acceso de grano fino.
• Colaborar con los equipos de plataforma, seguridad y ejecución (runtime) para alinear los controles de identidad con los estándares de seguridad de la empresa.
• Dar soporte a los patrones de autorización de invocación segura de agente a agente (A2A) y de agente a herramienta.
• Participar en revisiones de seguridad, modelado de amenazas y discusiones de arquitectura relacionadas con plataformas de agentes de IA.
• Definir y aplicar las mejores prácticas para la identidad en tiempo de ejecución, el acceso federado, la autorización delegada y la protección de credenciales.

Habilidades:

• "AWS Bedrock AgentCore Identity" o tecnología similar (autenticación de entrada, autenticación de salida, bóveda de tokens)
• Intercambio de tokens "On-Behalf-Of" (OBO) y propagación de identidad delimitada a través de cadenas agente → herramienta → API
• JWT / OAuth 2.0 / OIDC (claims, scopes, validación de audience/issuer, tokens delimitados de corta duración)
• Federación de identidad e integración de "MS Entra Agent ID" o tecnología similar (workload identity brokering)
• Autorización de salida de gateway y gestión de credenciales por objetivo (los secretos nunca se exponen al agente que realiza la llamada)
• Integración de la identidad de "AgentCore Runtime" en el ciclo de vida de la invocación del agente
• Mapeo de claims de "Cedar" / "MS Entra" para la autorización consciente de la identidad (coordinación con "Runtime Controls")

Experiencia:

• Más de 5 años en seguridad en la nube o ingeniería de identidad
• Implementación práctica de OAuth 2.0 / OIDC / JWT (emisión, validación y intercambio de tokens)
• Flujos de "On-Behalf-Of" / intercambio de tokens en producción (RFC 8693 o equivalente)
• Federación de identidad empresarial con "MS Entra", "Okta" o "Cognito"
• Gestión segura de secretos/credenciales y del ciclo de vida de los tokens (rotación, almacenamiento en bóveda)

Deseable:

• Adoptante temprano de "AWS Bedrock AgentCore Identity" o equivalente
• Integración de "AWS AgentCore Gateway" para la autenticación de salida
• Patrones de autenticación de invocación de herramientas "MCP" / "A2A"
• Exposición de "AgentCore Policy" ("Cedar") o "AWS Verified Permissions"