Staff Software Security Engineer | Workload Identity & Service Mesh

• Tipo de Trabalho: Trabalho Remoto

Sobre a Vaga
Buscamos uma pessoa Staff Security Engineer com experiência em Kubernetes, Service Mesh e segurança AWS.
Seu desafio será conectar a identidade de cada microsserviço às permissões de que ele realmente precisa — tanto para conversar com outros serviços (API x API) quanto para acessar recursos AWS.
Você vai liderar a construção de padrões de mTLS, autorização, identidade de workloads e provisionamento seguro. A proposta é que novos serviços e recursos já sejam entregues com os controles necessários, reduzindo credenciais estáticas, configurações manuais e dependência de tickets.

Responsabilidades e Atribuições:
Definir a estratégia de identidade, autenticação e autorização de workloads em Kubernetes e suas integrações com AWS;
Evoluir mTLS, CAs e o ciclo de vida de certificados, incluindo emissão, renovação, rotação e recuperação;
Criar políticas de comunicação entre microsserviços, comAuthorizationPolicy, menor privilégio e exceções governadas;
Definir e implementar microssegmentação entre workloads, combinando Network Policies e políticas de Service Mesh para restringir movimentação lateral, com adoção progressiva e validação dos fluxos necessários ao negócio;
Projetar a integração entre Kubernetes ServiceAccounts e IAM Roles por meio de EKS Pod Identity, priorizando credenciais temporárias;
Construir padrões de provisionamento que associem recursos cloud às identidades e permissões dos serviços consumidores — por exemplo, acesso de um microsserviço a tópicos Kafka no Amazon MSK, buckets S3 ou filas SQS;
Automatizar esses padrões com Terraform, Helm, GitOps e pipelines, incluindo validação de políticas e prevenção de permissões excessivas;
Liderar a adoção progressiva dos controles, com observabilidade, testes de acesso permitido e negado, recuperação e rollback;
Apoiar investigações de incidentes envolvendo certificados, permissões IAM, autenticação e conectividade;
Aplicar IA à investigação e revisão de políticas, gerando propostas de mudança versionadas, com menor privilégio, auditoria e aprovação humana para ações que afetem produção;
Influenciar decisões entre áreas, orientar outras pessoas engenheiras e produzir documentação e exemplos que facilitem a adoção self-service.
Viabilizar e abstrair os processos de criação de Regras e policies para os times de produto
Definir guardrails para integrações agenticas com GitOps, CI/CD, Service Mesh e ferramentas de segurança, garantindo menor privilégio, escopo explícito, logs e aprovação humana;
Projetar automações assistidas por IA para investigação de falhas de mTLS, análise de políticas, mapeamento de dependências e geração de propostas de remediação versionadas;

Requisitos e Qualificações:
Experiência sólida em Kubernetes e AWS
Experiência em iniciativas técnicas com impacto em múltiplos times, plataformas compartilhadas ou sistemas distribuídos;
Experiência implantando comunicação segura entre serviços em produção, preferencialmente com Istio e Envoy;
Experiência com microssegmentação em Kubernetes, incluindo mapeamento de dependências, definição de fluxos permitidos e aplicação progressiva de políticas de isolamento;
Vivência em segurança AWS, especialmente desenho de identidades, permissões e acesso de aplicações a serviços gerenciados;
Experiência substituindo credenciais estáticas por identidades de workload e credenciais temporárias;
Capacidade de conduzir mudanças de segurança sem comprometer disponibilidade, considerando falhas de certificados, autorização e dependências cloud;
Experiência construindo automações, integrações e padrões reutilizáveis com infraestrutura como código e CI/CD;
Habilidade para atuar em problemas ambíguos, influenciar decisões entre áreas e desenvolver outras pessoas engenheiras;
Uso crítico de IA na engenharia, com validação das respostas, proteção de dados e responsabilidade sobre as mudanças propostas.

Conhecimentos Técnicos:
Kubernetes e Service Mesh
Kubernetes, Amazon EKS, ServiceAccounts e fundamentos de isolamento e segurança de workloads;
Istio, Envoy, mTLS,AuthorizationPolicye autenticação JWT;
PKI, X.509, cadeias de confiança e automação do ciclo de vida de certificados;
Redes, DNS e diagnóstico de comunicação entre serviços.
Microssegmentação com Kubernetes NetworkPolicy e políticas de Service Mesh, incluindo controles L3/L4 e L7, tráfego ingress/egress e estratégias de default deny com exceções explícitas;
Identidade e Segurança AWS
AWS IAM: roles, policies, trust policies, condições e princípio de menor privilégio;
AWS STS, credenciais temporárias, federação OIDC, IRSA e EKS Pod Identity;
Avaliação de permissões AWS: políticas de identidade e de recurso, negação explícita, permissions boundaries e limites impostos por SCPs;
Autenticação e autorização em serviços como Amazon MSK, S3, SQS e SNS, respeitando os mecanismos específicos de cada serviço;
CloudTrail e IAM Access Analyzer para investigação, análise de permissões e identificação de acessos indevidos;
VPC, Security Groups e VPC Endpoints, distinguindo conectividade de rede de autorização por identidade.
Automação e Engenharia
Terraform, Helm, Argo CD, GitOps e pipelines de CI/CD;
Testes e validação de políticas como código;
Go, Python ou linguagem equivalente para automação e integrações;
Métricas, logs e traces para diagnóstico de autenticação, autorização e tráfego.

About Us