Ingénieur principal de l’IAM

Ingénieur principal de l’IAM

Franchise World Siège Social, LLC

Shelton, CT

Pourquoi rejoindre Subway?

À Subway, nous ne restons pas immobiles. Nous construisons.

C’est une entreprise axée sur ce qui compte le plus : accroître la rentabilité des franchisés, renforcer notre marque et créer de la valeur à long terme. Les gens qui s’épanouissent ici sont ceux qui veulent vraiment avoir un impact.

Tu ne feras pas juste le travail. Tu vas la façonner.

On bouge vite. On pense comme des propriétaires. Nous prenons des décisions qui comptent. Nous nous tenons à un niveau élevé parce que ce que nous faisons a un impact direct sur des milliers de franchisés à travers le monde.

Si vous apportez de l’énergie, de la responsabilité et un biais d’action, vous vous intégrerez parfaitement.

Nous prenons le travail au sérieux, mais nous savons aussi que les meilleurs résultats viennent des équipes qui se soutiennent mutuellement, célèbrent leurs victoires et se présentent prêtes à bâtir quelque chose de meilleur chaque jour.

C’est votre chance de faire partie de ce qui s’en vient.

Aperçu du poste

L’ingénieur principal de l’IAM est un technologue principal pratique responsable de l’ingénierie, de la sécurisation et de l’évolution de la plateforme d’identité d’entreprise de Subway. Subway exploite une architecture d’identité moderne centrée sur le courtier : un pipeline d’identité piloté par le SIRH alimente Okta comme courtier d’identité et principal fournisseur SSO, qui fédére et fournit l’accès à travers un ensemble hybride couvrant Active Directory, Microsoft Entra ID, Microsoft 365, ServiceNow, AWS IAM Identity Center et un vaste portefeuille SaaS. Ce rôle gère des problèmes complexes de fédération, de provisionnement et de gouvernance d’accès de bout en bout, traitant l’infrastructure d’identité comme un logiciel — contrôlé par version, testé, déployé via pipelines CI/CD, et observable en production. L’ingénieur principal de l’IAM agit comme expert principal en la matière et copropriétaire de la direction technique de l’IAM, mentor technique au sein de l’équipe de l’IAM, et partenaire de conception de confiance pour la cybersécurité, l’infrastructure et la technologie RH.

Responsabilités

• Ingénier et exploiter Okta en tant que courtier d’identité d’entreprise — annuaire universel, gestion du cycle de vie, intégrations SSO (SAML 2.0, OIDC, WS-Federation vers Microsoft 365) et flux de travail Okta; concevoir et dépanner la fédération de bout en bout, incluant le contenu des assertions et des jetons, la cartographie des revendications/attributs, la signature et le chiffrement, ainsi que le comportement des sessions à travers les applications Okta, Entra ID, Active Directory et SaaS en aval.

• Maintenir et améliorer le provisionnement SCIM 2.0 au niveau du protocole — schémas, extensions personnalisées, sémantique PATCH, gestion des erreurs et réconciliation — entre Ceridian Dayforce, Okta, et les systèmes en aval incluant Active Directory, Entra ID, ServiceNow, Jamf, AWS IAM Identity Center et Microsoft 365; Posséder le modèle hybride de maîtrise des attributs et adopter des changements architecturaux qui consolident l’autorité de la source de vérité.

• Appliquer les principes de confiance zéro et appliquer le moindre privilège dans tout l’ensemble : MFA résistante au phishing et authentification sans mot de passe, évaluation continue du contexte de session et d’appareil, gestion des accès privilégiés (PAM) avec élévation temporelle et juste-à-temps, séparation des tâches, et contrôles de gouvernance d’accès via Okta Identity Governance, incluant les campagnes de certification d’accès et les demandes d’accès en libre-service.

• Sécuriser l’identité pour les systèmes LLM et IA agents — régir les identités non humaines, appliquer les identifiants à portée limitée et de courte durée pour l’accès des agents, appliquer l’autorisation humain-in-the-loop pour les actions sensibles; appliquer les meilleures pratiques de sécurité des API, y compris la conception d’API protégée OAuth 2.0, la validation et le cadrage des jetons, ainsi que la défense contre les 10 principaux risques de sécurité des API OWASP, incluant BOLA/IDOR.

• Intégrer la sécurité des terminaux avec l’identité sous Windows et macOS : signaux de confiance et de posture des appareils dans la politique d’authentification, Okta FastPass/Device Trust, conformité des appareils Entra, posture EDR, SSO de plateforme, MFA de bureau et identifiants résistants au phishing liés aux appareils.

• Concevoir et mettre en œuvre l’automatisation des menuiseurs/déménageurs/laisseurs basée sur les événements HRIS; élargir l’accès libre-service via le catalogue d’accès Okta et le libre-service basé sur le jeu de permissions AWS IAM Identity Center; construire l’automatisation opérationnelle en PowerShell, Python et bash; gérer le code de la plateforme d’identité dans Git avec des pipelines CI/CD évalués par les pairs et Terraform pour les ressources cloud portant l’identité.

• Opérations quotidiennes de la plateforme d’identité : configuration des applications SSO, résolution d’incidents IAM et analyse des causes profondes, mises à niveau, correctifs, gestion MFA et nettoyage des accès; interroger la télémétrie d’identité dans CrowdStrike Falcon Next-Gen SIEM et gérer la détection et la réponse aux menaces d’identité avec CrowdStrike Falcon Identity Protection; Soutenez les audits internes et externes avec des preuves d’accès.

• Agir comme autorité technique principale pour les décisions d’architecture et d’ingénierie en IAM; développer et maintenir des diagrammes d’architecture d’identité et des bases de configuration; rédiger des documents de conception technique pour des automatisations et intégrations importantes avant la construction; mentor d’ingénieurs et analystes opérationnels de l’IAM; contribuer à la feuille de route stratégique de l’IAM et à l’évaluation de la maturité des programmes.

Qualifications

• Baccalauréat en informatique, technologies de l’information, cybersécurité, ou dans un domaine connexe — ou une expérience de travail équivalente.

• 7+ ans d’expérience en gestion des identités et des accès, en ingénierie de l’identité ou en ingénierie de la sécurité avec une portée IAM importante, incluant la propriété de plateformes d’identité à des niveaux supérieurs ou de chef.

• Expertise approfondie au niveau des protocoles en OAuth 2.0 et OIDC (types de subventions, cycles de vie de jetons, PKCE, portées et revendications, gestion des jetons porteurs) et SAML 2.0 (assertions, échange de métadonnées, signature et chiffrement, flux initiés par SP et IdP).

• Expertise pratique avec Okta en tant que courtier en identité d’entreprise : annuaire universel, gestion du cycle de vie, flux de travail Okta, intégration d’applications SSO et provisionnement SCIM; L’expérience en gouvernance d’identité Okta est fortement recommandée.

• Application démontrée de l’architecture zéro confiance et de la conception d’accès à moindre privilège dans un environnement d’entreprise en production.

• Conception et administration avancées d’Active Directory dans un environnement IDaaS hybride : OU et stratégie de groupe, conception GPO et modèles d’administration à paliers; la conception avancée de politiques Microsoft Entra ID, incluant l’accès conditionnel, les politiques de risque de protection d’identité et la politique MFA.

• Expertise au niveau du protocole SCIM 2.0 — schémas de base et d’entreprise, extensions de schémas personnalisées, sémantique PATCH et gestion des erreurs de provisionnement.

• Solide base en sécurité API : conception d’API protégée OAuth 2.0, validation et portée des jetons, et le Top 10 de la sécurité de l’API OWASP incluant les vulnérabilités BOLA/DOR.

• Expérience dans la sécurisation ou la gouvernance de l’identité pour les systèmes LLM et IA agents : cycle de vie d’identité non humaine, cale d’accréditation pour les agents IA, et contrôles de moindre privilège sur l’accès machine à machine.

• Maîtrise de la protection d’identité Falcon CrowdStrike (ITDR, application des politiques basée sur le risque) ou d’une plateforme ITDR comparable; de l’expérience à interroger la télémétrie d’identité dans un SIEM d’entreprise.

• Expérience dans l’intégration de la sécurité des terminaux avec l’identité sous Windows et macOS : signaux de posture des appareils dans la politique d’accès, SSO/MFA de bureau, et intégration MDM (Jamf, Intune, ou équivalent).

• Un script compétent en PowerShell, Python et Bash; La maîtrise DevOps inclut le contrôle de version basé sur Git et l’authorship du pipeline CI/CD (Azure Pipelines ou GitHub Actions).

• 1+ an d’expérience avec l’automatisation d’identité pilotée par le SIRH (Ceridian Dayforce, Workday, SuccessFactors, UKG ou similaires).

Qualifications préférées

• Expérience directe de l’API Ceridian Dayforce REST (adressage XRefCode, gestion de poste, événements liés au statut d’emploi).

• Expérience AWS IAM et AWS IAM Identity Center, en particulier la gestion d’accès basée sur le jeu de permissions.

• Exposition aux outils IGA dédiés (SailPoint, Saviynt, Omada) au niveau de la conception ou de la mise en œuvre.

• Familiarité avec le NIST SP 800-63 (assurance d’identité numérique) et le NIST SP 800-207 (architecture zéro confiance).

• Expérience dans des environnements réglementés, franchisés ou multi-entités où la gouvernance de l’identité franchit les frontières organisationnelles.

• Certifications pertinentes : Professionnel/consultant certifié Okta, CISSP, SC-300 ou AWS Security Specialty.

Qu’est-ce qu’on offre?

• Régimes d’assurance (médicaux, vie)

• Pension/401K/RSP (spécifique au pays)

• Bonus compétitif

• Allocation de mobilité

• Remboursement des frais de scolarité

• Vacances d’entreprise

• Temps de bénévolat

• et plus encore.....