AWS: servicios básicos

Amazon Web Services (AWS) es una plataforma de computación en la nube que ofrece servicios de infraestructura, almacenamiento, bases de datos, redes, seguridad, monitorización, automatización y desarrollo de aplicaciones.

Para empezar no es necesario conocer todo el catálogo. Resulta más útil comprender primero unas pocas categorías fundamentales y cómo se relacionan entre sí.

El objetivo inicial debe ser comprender qué problema resuelve cada servicio y cómo se integra con los demás, no memorizar decenas de nombres comerciales.

Amazon EC2 permite crear servidores virtuales denominados instancias. Podemos elegir sistema operativo, capacidad de CPU, memoria, almacenamiento y configuración de red.

EC2 es apropiado cuando necesitamos un servidor sobre el que queremos mantener un grado importante de control.

Ese control también implica responsabilidad: sistema operativo, actualizaciones, configuración del software y parte de la seguridad quedan bajo gestión del cliente.

Un bucket no debería hacerse público simplemente para resolver rápidamente un problema de acceso.

AWS dispone de distintos mecanismos para controlar quién puede acceder a objetos:

• políticas IAM;
• políticas de bucket;
• configuración de acceso público;
• cifrado;
• versionado;
• reglas de ciclo de vida.

En una arquitectura real conviene aplicar el principio de mínimo privilegio: cada usuario, aplicación o servicio debería disponer únicamente de los permisos necesarios.

Al crear una cuenta AWS existe una identidad raíz con privilegios amplios. Esa identidad debe reservarse para tareas que realmente la requieran.

Como práctica básica:

• proteger la cuenta raíz con autenticación multifactor;
• no utilizarla para tareas cotidianas;
• no crear claves de acceso permanentes para la cuenta raíz;
• utilizar identidades y roles adecuados para la administración diaria.

Una arquitectura frecuente separa los recursos que necesitan exposición pública de aquellos que deberían permanecer en redes privadas.

El objetivo no es exponer directamente todos los componentes, sino permitir únicamente los flujos de comunicación necesarios.

AWS Lambda permite ejecutar funciones sin administrar directamente servidores para cada ejecución.

Una función puede responder, por ejemplo, a:

• una petición web;
• un evento generado por otro servicio;
• la llegada de un objeto a S3;
• un mensaje;
• una tarea programada.

Serverless no significa que no existan servidores. Significa que la gestión directa de esa infraestructura queda abstraída en mayor medida para el desarrollador.

Utilizar AWS no significa transferir toda la responsabilidad de seguridad al proveedor. AWS y el cliente tienen responsabilidades diferentes.

La distribución exacta de responsabilidades depende del servicio utilizado. Cuanto más gestionado sea un servicio, más tareas operativas asume AWS, pero el cliente sigue teniendo responsabilidades sobre sus datos, identidades y configuración.

Los recursos cloud pueden generar costes mientras permanecen activos o almacenan datos. Crear un recurso para una práctica y olvidarlo posteriormente es un error frecuente.

Conviene prestar atención a:

• recursos que siguen ejecutándose;
• almacenamiento acumulado;
• transferencias de datos;
• snapshots y copias;
• direcciones y recursos asociados;
• servicios creados durante laboratorios.

AWS dispone de herramientas para consultar consumo, presupuestos y costes. El control económico debería formar parte del diseño desde el principio.

Imagina una aplicación que necesita:

• ejecutar código;
• guardar imágenes;
• almacenar clientes y pedidos;
• controlar permisos;
• registrar métricas y errores.

Relaciona cada necesidad con un servicio:

Como ampliación, identifica qué componentes deberían ser públicos y cuáles deberían permanecer protegidos dentro de la arquitectura.

• Protege las identidades con autenticación multifactor cuando corresponda.
• No utilices la cuenta raíz para la administración cotidiana.
• Aplica el principio de mínimo privilegio.
• No publiques recursos simplemente para solucionar problemas de conectividad.
• Separa componentes según sus necesidades de exposición.
• Utiliza cifrado y mecanismos de protección adecuados para los datos.
• Monitoriza métricas, logs y eventos relevantes.
• Automatiza configuraciones repetibles cuando el proyecto lo requiera.
• Etiqueta y organiza los recursos para facilitar su administración.
• Revisa regularmente costes y recursos que ya no se utilizan.

Trabajar bien con cloud no consiste únicamente en desplegar recursos. También implica seguridad, observabilidad, automatización, resiliencia y control de costes.

Esta guía presenta una introducción a varios servicios fundamentales. AWS dispone de muchas más capacidades y cada servicio cuenta con documentación específica.

• Documentación oficial de AWS
• Amazon EC2
• Amazon S3
• AWS Identity and Access Management
• Amazon VPC