Lecciones en español / Cloud Practitioner / Hoja de repaso · English

Hoja de repaso de Cloud Practitioner CLF-C02

Cada consejo para el examen y término clave de las lecciones gratuitas de Cloud Practitioner, por dominio. Usa la opción Imprimir de tu navegador para guardarla como PDF.

Dominio 1: Cloud Concepts (24%)

Consejos para el examen

La agilidad trata de qué tan rápido puedes aprovisionar y experimentar; la elasticidad trata de que la capacidad siga automáticamente a la demanda. Antes de elegir, fíjate si el escenario se queja de una configuración lenta o de una carga que fluctúa.
Memoriza las seis frases exactas. Los distractores que suenan creíbles, como 'eliminar las responsabilidades de seguridad' o 'garantizar un 100 por ciento de disponibilidad', no son ventajas de la computación en la nube.
'Sin ninguna interrupción' significa tolerancia a fallos; 'tiempo de inactividad mínimo' o 'sobrevive a la falla de una AZ' significa alta disponibilidad. 'Agrega y quita capacidad automáticamente' es elasticidad, que es más específica que la escalabilidad.
Hay seis pilares; la sostenibilidad es el que la gente olvida. Separa la fiabilidad (recuperarse y satisfacer la demanda) de la eficiencia del rendimiento (recursos adecuados para la velocidad), y la optimización de costos (dinero) de la sostenibilidad (impacto ambiental).
Desacopla capas o absorbe los picos entre ellas con Amazon SQS; aprovisiona entornos idénticos repetidamente con AWS CloudFormation. No confundas SQS (cola, los consumidores extraen) con SNS (envío a muchos suscriptores).
La Well-Architected Tool revisa el diseño de una carga de trabajo a partir de tus respuestas; Trusted Advisor inspecciona automáticamente los recursos reales de tu cuenta; AWS Config da seguimiento a las configuraciones de los recursos según reglas.
Gobernanza administra el programa, el riesgo y el dinero; Operaciones opera los servicios día a día (monitoreo, incidentes, parches). La capacitación y la cultura pertenecen a Personas.
Trasladar una base de datos a Amazon RDS sin rediseñar la aplicación es replatform; reescribir un monolito como microservicios o funciones sin servidor es refactor. Retain conserva una aplicación; retire la elimina.
Los servidores van con Application Migration Service, las bases de datos con DMS (más SCT cuando los motores son distintos) y los recursos compartidos de archivos con DataSync. DMS traslada los datos; SCT convierte el esquema.
Los costos que pasan a AWS son físicos: hardware, espacio del centro de datos, energía, refrigeración y seguridad física. El personal que construye y opera tus cargas de trabajo, las licencias de aplicaciones y la transferencia de datos siguen a tu cargo.
Las licencias ligadas a sockets o núcleos físicos apuntan a Dedicated Hosts con BYOL; evitar la administración de licencias apunta a licencia incluida. Las recomendaciones de ajuste de tamaño provienen de Compute Optimizer y Cost Explorer.

Términos clave

Computación en la nube (cloud computing): Entrega bajo demanda de recursos de TI a través de internet con precios de pago por uso.
Pago por uso (pay-as-you-go): Modelo de facturación en el que pagas solo por los recursos que consumes, sin una gran compra inicial.
Economías de escala (economies of scale): Menor costo por unidad que AWS logra al agregar el uso de muchos clientes, y que traslada en forma de precios más bajos.
Agilidad (agility): Capacidad de aprovisionar recursos y experimentar rápidamente, reduciendo el tiempo entre una idea y un sistema funcionando.
Elasticidad (elasticity): Agregar y quitar capacidad automáticamente para que los recursos coincidan con la demanda actual.
Alcance global (global reach): Capacidad de desplegar cargas de trabajo en Regiones de AWS de todo el mundo en minutos para atender a los usuarios con baja latencia.
Región de AWS (AWS Region): Área geográfica independiente que contiene varias Zonas de Disponibilidad aisladas, donde eliges ejecutar tus recursos.
Gasto de capital (CapEx): Dinero que se gasta por adelantado en activos físicos de larga duración, como servidores y centros de datos.
Gasto operativo (OpEx): Gasto continuo en servicios a medida que se consumen, como una factura mensual de la nube.
Gasto variable (variable expense): Costo que sube y baja con el uso real en lugar de fijarse de antemano.
Trabajo pesado indiferenciado (undifferentiated heavy lifting): Trabajo de infraestructura necesario, como montar y alimentar servidores, que no distingue a una empresa de sus competidores.
Planificación de capacidad (capacity planning): Pronosticar cuánta capacidad de cómputo se necesitará; en la nube, escalar bajo demanda reemplaza gran parte de las conjeturas.
Grupo de Auto Scaling (Auto Scaling group): Conjunto de instancias EC2 que AWS amplía o reduce automáticamente para alcanzar un objetivo como el uso promedio de CPU.
Zona de Disponibilidad (Availability Zone, AZ): Uno o más centros de datos independientes dentro de una Región, con energía, refrigeración y red propias.
Alta disponibilidad (high availability): Diseño que mantiene un sistema accesible con un tiempo de inactividad mínimo cuando fallan componentes, a menudo con una breve conmutación por error.
Tolerancia a fallos (fault tolerance): Diseño que mantiene un sistema funcionando sin interrupción ni pérdida de datos cuando falla un componente, usando componentes totalmente redundantes.
Escalabilidad (scalability): Capacidad de manejar más carga agregando recursos, en forma vertical (más grandes) u horizontal (más cantidad).
Elastic Load Balancing (ELB): Servicio que reparte el tráfico entrante entre destinos sanos en varias AZ.
Implementación Multi-AZ (Multi-AZ deployment): Opción de Amazon RDS que mantiene una réplica en espera sincrónica en otra AZ y conmuta automáticamente.
AWS Well-Architected Framework: Guía de AWS con principios de diseño, buenas prácticas y preguntas para construir y revisar cargas de trabajo en la nube.
Carga de trabajo (workload): Conjunto de componentes que juntos entregan valor al negocio, como una aplicación y sus almacenes de datos.
Pilar de excelencia operativa (operational excellence): Operar y monitorear sistemas y mejorar continuamente los procesos y procedimientos.
Pilar de fiabilidad (reliability): Asegurar que una carga de trabajo funcione de forma correcta y consistente y se recupere de las fallas.
Pilar de eficiencia del rendimiento (performance efficiency): Usar los recursos adecuados de forma eficiente a medida que cambia la demanda y evoluciona la tecnología.
Pilar de optimización de costos (cost optimization): Entregar valor al negocio al menor precio posible.
Pilar de sostenibilidad (sustainability): Minimizar el impacto ambiental de ejecutar cargas de trabajo en la nube.
Bajo acoplamiento (loose coupling): Diseñar los componentes para que interactúen mediante interfaces o búferes, de modo que la falla o lentitud de uno no rompa a los demás.
Amazon SQS: Cola de mensajes administrada que almacena los mensajes hasta que un consumidor los recupera y procesa.
Amazon SNS: Servicio administrado de publicación y suscripción que envía mensajes a muchos suscriptores a la vez.
Diseñar para fallas (design for failure): Suponer que los componentes fallarán e incorporar redundancia y recuperación automática.
Recursos desechables (disposable resources): Tratar los servidores como unidades reemplazables que se terminan y se vuelven a lanzar en lugar de repararse a mano.
Infraestructura como código (IaC): Definir la infraestructura en plantillas o archivos de código versionados que pueden desplegarse repetidamente.
AWS CloudFormation: Servicio de AWS que crea y administra recursos como pilas (stacks) a partir de plantillas JSON o YAML.
AWS Well-Architected Tool: Servicio de la consola que revisa una carga de trabajo con respecto al Well-Architected Framework mediante un cuestionario.
Problema de alto riesgo (high-risk issue, HRI): Hallazgo de una revisión en el que la falta de buenas prácticas podría dañar gravemente la carga de trabajo.
Plan de mejora (improvement plan): Lista priorizada de cambios recomendados que resulta de una revisión Well-Architected.
Hito (milestone): Instantánea guardada de la revisión de una carga de trabajo que se usa para comparar el progreso a lo largo del tiempo.
Lente (lens): Extensión que agrega buenas prácticas y preguntas para una tecnología, industria o norma interna específica.
AWS Trusted Advisor: Servicio que inspecciona automáticamente los recursos de la cuenta y recomienda mejoras.
AWS Cloud Adoption Framework (AWS CAF): Guía de AWS que organiza en seis perspectivas las capacidades necesarias para adoptar la nube.
Perspectiva de Negocio (Business): Asegura que las inversiones en la nube aceleren los resultados del negocio y la estrategia digital.
Perspectiva de Personas (People): Abarca la cultura, la estructura organizacional, el liderazgo y las habilidades del personal para la nube.
Perspectiva de Gobernanza (Governance): Orquesta las iniciativas en la nube y gestiona beneficios, riesgos, portafolio y gestión financiera en la nube.
Perspectiva de Plataforma (Platform): Construye una plataforma de nube híbrida escalable y moderniza o construye cargas de trabajo nativas de la nube.
Perspectiva de Operaciones (Operations): Entrega los servicios en la nube a los niveles acordados mediante observabilidad y gestión de incidentes, cambios y parches.
Visualizar, alinear, lanzar, escalar (envision, align, launch, scale): Las cuatro fases del recorrido iterativo de transformación en la nube que describe el AWS CAF.
Rehost (lift and shift): Trasladar una aplicación a AWS sin cambios, normalmente a Amazon EC2.
Replatform (lift, tinker and shift): Trasladar con algunas optimizaciones para la nube, como una base de datos administrada, manteniendo la arquitectura central.
Refactor (re-architect): Rediseñar una aplicación para usar funciones nativas de la nube, como la computación sin servidor o los contenedores.
Repurchase (drop and shop): Reemplazar una aplicación por un producto diferente, por lo general una oferta SaaS.
Retire: Dar de baja una aplicación que ya no se necesita.
Retain (revisit): Mantener una aplicación en su entorno actual por ahora.
Relocate: Trasladar infraestructura, como cargas de trabajo basadas en VMware, a la nube sin cambiar las aplicaciones ni las operaciones.
AWS Application Migration Service (AWS MGN): Principal servicio de rehost de AWS, que replica continuamente los servidores de origen y los lanza como instancias EC2 en el corte.
Corte (cutover): El cambio final del sistema de origen al sistema migrado en AWS.
AWS Database Migration Service (AWS DMS): Servicio que migra datos entre bases de datos mientras el origen sigue operativo.
Captura de datos de cambios (change data capture, CDC): Replicación continua de los cambios en curso desde la base de datos de origen al destino después de la carga inicial.
AWS Schema Conversion Tool (AWS SCT): Herramienta que convierte el esquema y los objetos de código de una base de datos de un motor a otro en migraciones heterogéneas.
Migración heterogénea (heterogeneous migration): Migración de bases de datos entre motores distintos, como de Oracle a Aurora PostgreSQL.
AWS DataSync: Servicio en línea que traslada y sincroniza archivos y objetos entre el almacenamiento local y los servicios de almacenamiento de AWS.
Costo fijo (fixed cost): Costo que se paga sin importar el uso, como los servidores comprados o el arrendamiento de un centro de datos.
Costo variable (variable cost): Costo que cambia con el uso, como los cargos por hora de cómputo.
Costo total de propiedad (total cost of ownership, TCO): Costo completo de por vida de poseer y operar un sistema, incluidos costos ocultos como la energía y el tiempo del personal.
Costo directo (direct cost): Costo que se atribuye claramente a un sistema, como la compra de un servidor o el cargo de un servicio.
Costo indirecto (indirect cost): Costo real pero menos visible, como el tiempo del personal, el tiempo de inactividad o una entrega retrasada.
AWS Pricing Calculator: Herramienta para estimar el costo de un conjunto planificado de servicios de AWS.
AWS Migration Evaluator: Servicio que analiza la utilización local para construir un caso de negocio basado en datos para migrar a AWS.
Licencia incluida (license included): Modelo en el que el costo de la licencia de software está incorporado en el precio del recurso de AWS.
Traer tu propia licencia (bring your own license, BYOL): Usar en AWS licencias que ya posees y pagarle a AWS solo por la infraestructura.
Amazon EC2 Dedicated Host: Servidor físico dedicado a un solo cliente, con visibilidad de sockets y núcleos para cumplir con las licencias.
AWS License Manager: Servicio que controla el uso de licencias de software y hace cumplir las reglas de licenciamiento entre cuentas.
Ajuste de tamaño (rightsizing): Hacer coincidir los tipos y tamaños de instancia con las necesidades reales de la carga de trabajo para eliminar capacidad pagada pero sin usar.
AWS Compute Optimizer: Servicio que analiza la utilización y recomienda recursos de cómputo de mejor tamaño.

Dominio 2: Security and Compliance (30%)

Consejos para el examen

Los datos del cliente, los permisos de IAM, las reglas de los security groups y los parches del sistema operativo invitado son siempre trabajo del cliente. La seguridad física, la eliminación del hardware, la red global y el hipervisor son siempre de AWS.
El sistema operativo es la señal clave: en EC2 tú le aplicas parches; en RDS y Lambda lo hace AWS. En todos los servicios, tú configuras el acceso y proteges tus datos.
Artifact contiene los informes de cumplimiento y los acuerdos de AWS; no evalúa tus recursos. Para comprobar si tus propios recursos cumplen un estándar de configuración, usa AWS Config; para reunir evidencia de auditoría, usa Audit Manager.
'Claves administradas integradas con los servicios de AWS' es KMS; 'HSM dedicado de un solo inquilino' o 'control exclusivo del hardware' es CloudHSM; 'certificados SSL/TLS' es ACM. ACM es para los datos en tránsito, no en reposo.
Protege el usuario raíz con MFA, elimina cualquier clave de acceso raíz y úsalo solo para las tareas exclusivas del usuario raíz. Cambiar el correo electrónico raíz o el nombre de la cuenta, cerrar la cuenta y restaurar permisos de IAM bloqueados requieren el usuario raíz; crear usuarios de IAM o lanzar instancias no.
Un servicio de AWS que necesita llamar a otro servicio de AWS debe usar un rol de IAM, nunca claves de acceso guardadas. Varias personas que necesitan los mismos permisos significa un grupo de IAM. Un Deny explícito siempre prevalece sobre un Allow.
El acceso de la fuerza laboral a las cuentas de AWS significa IAM Identity Center; los usuarios finales de tu aplicación significan Amazon Cognito. 'Millones de usuarios de la aplicación' o 'proveedores de identidad sociales' apunta a Cognito.
'Rotar' o 'rotación' apunta a AWS Secrets Manager. 'Almacenar datos de configuración o secretos simples sin cargo adicional' apunta a Parameter Store. KMS administra claves, no valores secretos.
Con estado y solo de permisos significa security group; sin estado con permisos y denegaciones significa network ACL. Para bloquear una dirección IP a nivel de red necesitas una network ACL (o WAF para las solicitudes web), porque los security groups no pueden denegar.
Vulnerabilidades y CVE significan Inspector; datos sensibles o PII en S3 significan Macie; actividad maliciosa a partir de registros significa GuardDuty; investigar la causa raíz significa Detective; una vista única de hallazgos y verificaciones de cumplimiento significa Security Hub.
'¿Quién hizo este cambio?' o 'auditar llamadas a la API' es CloudTrail. 'Uso de CPU', 'configurar una alarma' o 'recopilar registros de aplicaciones' es CloudWatch. 'Recomendaciones de buenas prácticas, incluidos security groups abiertos y MFA en el usuario raíz' es Trusted Advisor.
Marketplace vende principalmente productos de terceros. Los informes de cumplimiento vienen de AWS Artifact, las respuestas comunes del Knowledge Center o re:Post, los expertos contratados de socios de la APN o de Professional Services, y los reportes de abuso van a Trust & Safety.

Términos clave

Modelo de responsabilidad compartida (shared responsibility model): División de las obligaciones de seguridad entre AWS (seguridad de la nube) y el cliente (seguridad en la nube).
Seguridad de la nube (security of the cloud): Responsabilidad de AWS sobre las instalaciones físicas, el hardware, la red y la capa de virtualización que ejecutan los servicios de AWS.
Seguridad en la nube (security in the cloud): Responsabilidad del cliente sobre los datos, las identidades, las configuraciones, los sistemas operativos invitados y las aplicaciones.
Hipervisor (hypervisor): Capa de virtualización que aísla las instancias en hardware compartido; AWS la protege.
Control compartido (shared control): Control en el que AWS y el cliente se encargan cada uno de su propia capa, como la gestión de parches o de la configuración.
Control heredado (inherited control): Control proporcionado totalmente por AWS que el cliente hereda, como la seguridad física y ambiental.
Infraestructura como servicio (IaaS): Modelo en el que el proveedor suministra cómputo, almacenamiento y red virtuales, y el cliente administra el sistema operativo y todo lo que está por encima.
Servicio administrado (managed service): Servicio en el que AWS opera la infraestructura y el software subyacentes, como el sistema operativo y el motor de base de datos en Amazon RDS.
Sin servidor (serverless): Modelo, como AWS Lambda, en el que AWS administra los servidores, el entorno de ejecución y el escalado, y tú aportas el código y la configuración.
Ventana de mantenimiento (maintenance window): Período semanal que eliges durante el cual AWS aplica parches a recursos administrados como las instancias de RDS.
Rol de ejecución (execution role): Rol de IAM que asume una función Lambda para obtener permisos sobre otros servicios de AWS.
S3 Block Public Access: Configuración a nivel de cuenta y de bucket que impide que los datos de S3 se hagan públicos, y que controla el cliente.
AWS Artifact: Portal de autoservicio para los informes de auditoría de terceros de AWS y acuerdos como el BAA.
Business Associate Addendum (BAA): Acuerdo exigido por HIPAA antes de manejar información de salud protegida en AWS, que se acepta mediante Artifact Agreements.
AWS Audit Manager: Servicio que recopila continuamente evidencia de tu uso de AWS y la asocia con marcos de cumplimiento.
AWS Config: Servicio que registra la configuración de los recursos a lo largo del tiempo y la evalúa según reglas.
Regla de Config (Config rule): Verificación que marca los recursos como conformes o no conformes con una configuración deseada.
Paquete de conformidad (conformance pack): Colección desplegable de reglas de AWS Config y acciones de corrección.
Services in Scope: Información de AWS que enumera qué servicios están cubiertos por cada programa de cumplimiento.
Cifrado en reposo (encryption at rest): Cifrar los datos almacenados, como objetos de S3, volúmenes EBS y almacenamiento de bases de datos.
Cifrado en tránsito (encryption in transit): Cifrar los datos mientras se mueven por una red, normalmente con TLS.
AWS Key Management Service (AWS KMS): Servicio administrado para crear y controlar claves de cifrado, integrado con la mayoría de los servicios de AWS.
Clave administrada por el cliente (customer managed key): Clave de KMS que creas y controlas, incluidas su política de clave, su rotación y su eliminación.
Módulo de seguridad de hardware (hardware security module, HSM): Dispositivo resistente a manipulaciones que almacena claves y realiza operaciones criptográficas.
AWS CloudHSM: Servicio que proporciona HSM dedicados de un solo inquilino cuyas claves administra exclusivamente el cliente.
AWS Certificate Manager (ACM): Servicio que aprovisiona, despliega y renueva automáticamente certificados TLS para los servicios de AWS.
Usuario raíz (root user): Identidad creada junto con una nueva cuenta de AWS que tiene acceso sin restricciones a todos los recursos y configuraciones.
Autenticación multifactor (MFA): Exigir un segundo factor, como una llave de seguridad o un código de una aplicación autenticadora, además de una contraseña.
Claves de acceso (access keys): Credenciales de largo plazo formadas por un ID de clave de acceso y una clave de acceso secreta, para el acceso programático.
Tarea exclusiva del usuario raíz (root-only task): Acción a nivel de cuenta, como cerrar la cuenta o cambiar el correo electrónico raíz, que solo puede realizar el usuario raíz.
Acceso raíz centralizado (centralized root access): Capacidad de AWS Organizations que permite a los administradores eliminar y administrar de forma centralizada las credenciales raíz de las cuentas miembro.
AWS CloudTrail: Servicio que registra la actividad de la API en una cuenta, incluidos los inicios de sesión del usuario raíz.
Usuario de IAM (IAM user): Identidad con credenciales de largo plazo que representa a una persona o aplicación.
Grupo de IAM (IAM group): Conjunto de usuarios de IAM que comparten los permisos adjuntos al grupo.
Rol de IAM (IAM role): Identidad con permisos que asumen las entidades de confianza para recibir credenciales temporales.
Política de IAM (IAM policy): Documento JSON que permite o deniega acciones sobre recursos, de forma opcional bajo ciertas condiciones.
Amazon Resource Name (ARN): Identificador único de un recurso de AWS que se usa en las políticas.
Mínimo privilegio (least privilege): Conceder solo los permisos mínimos necesarios para realizar una tarea.
IAM Access Analyzer: Herramienta que identifica accesos externos o sin usar y ayuda a generar políticas de mínimo privilegio.
AWS IAM Identity Center: Servicio recomendado de AWS para el inicio de sesión único de la fuerza laboral en varias cuentas de AWS y aplicaciones de negocio.
Inicio de sesión único (single sign-on, SSO): Iniciar sesión una vez para acceder a muchas cuentas o aplicaciones sin credenciales separadas.
Conjunto de permisos (permission set): Colección de políticas en IAM Identity Center que se convierte en un rol de IAM en cada cuenta asignada.
Proveedor de identidad (identity provider, IdP): Sistema que autentica a los usuarios y responde por ellos ante otros servicios, como Okta o Microsoft Entra ID.
Amazon Cognito: Servicio que agrega registro, inicio de sesión y control de acceso a aplicaciones web y móviles.
Grupo de usuarios de Cognito (user pool): Directorio de usuarios de una aplicación que maneja el registro, el inicio de sesión y la emisión de tokens.
Grupo de identidades de Cognito (identity pool): Función de Cognito que intercambia tokens por credenciales temporales de AWS.
Secreto (secret): Valor sensible, como una contraseña, una clave de API o un token, que debe protegerse contra su divulgación.
AWS Secrets Manager: Servicio que almacena, recupera y rota automáticamente secretos como las credenciales de bases de datos.
Rotación de secretos (secret rotation): Cambiar una credencial según una programación y actualizar tanto el almacén como el sistema de destino.
AWS Systems Manager Parameter Store: Capacidad de Systems Manager que almacena datos de configuración y secretos como parámetros jerárquicos.
SecureString: Tipo de parámetro de Parameter Store cuyo valor se cifra con AWS KMS.
Credenciales codificadas (hard-coded credentials): Secretos escritos directamente en el código fuente o en archivos de configuración, una práctica que debe evitarse.
Security group (grupo de seguridad): Firewall virtual con estado y solo de permisos, adjunto a las interfaces de red de recursos como las instancias EC2.
Network ACL: Firewall sin estado a nivel de subred con reglas numeradas de permiso y denegación que se evalúan en orden.
Con estado (stateful): Permitir automáticamente el tráfico de retorno de una conexión permitida.
AWS WAF: Firewall de aplicaciones web que filtra las solicitudes HTTP y HTTPS dirigidas a CloudFront, balanceadores de carga y API.
Denegación de servicio distribuida (DDoS): Ataque que inunda un objetivo con tráfico desde muchas fuentes para dejarlo sin disponibilidad.
AWS Shield: Protección contra DDoS, con Standard incluido para todos los clientes y Advanced como nivel de pago con acceso a un equipo de respuesta.
AWS Firewall Manager: Servicio que aplica de forma centralizada políticas de WAF, Shield Advanced y security groups en las cuentas de AWS Organizations.
Amazon GuardDuty: Servicio de detección de amenazas que analiza CloudTrail, VPC Flow Logs, registros DNS y más en busca de actividad maliciosa.
Amazon Inspector: Servicio automatizado de gestión de vulnerabilidades que analiza EC2, imágenes de ECR y funciones Lambda en busca de CVE y exposición.
Common Vulnerabilities and Exposures (CVE): Catálogo público de identificadores de vulnerabilidades de software conocidas.
Amazon Macie: Servicio que descubre datos sensibles, como PII, en Amazon S3 e informa sobre problemas de seguridad de los buckets.
Amazon Detective: Servicio que vincula y visualiza datos de registro para investigar la causa raíz de los hallazgos de seguridad.
AWS Security Hub: Servicio que agrega hallazgos de seguridad y verifica las cuentas según normas de seguridad.
Hallazgo (finding): Registro generado por un servicio de seguridad que describe una amenaza, vulnerabilidad o mala configuración detectada.
Event history: Vista de la consola de CloudTrail con los últimos 90 días de eventos de administración en una Región, disponible sin cargo.
Trail (registro de seguimiento): Configuración de CloudTrail que entrega archivos de registro a un bucket de S3 para su retención y análisis a largo plazo.
Amazon CloudWatch: Servicio de monitoreo de métricas, registros, paneles y alarmas.
Alarma de CloudWatch (CloudWatch alarm): Vigilancia sobre una métrica que notifica o toma una acción cuando se cruza un umbral.
Filtro de métricas (metric filter): Patrón de CloudWatch Logs que convierte los eventos de registro coincidentes en una métrica sobre la que puedes crear alarmas.
AWS Trusted Advisor: Servicio que revisa tu cuenta según buenas prácticas de costos, rendimiento, seguridad, tolerancia a fallos, límites de servicio y excelencia operativa.
AWS Knowledge Center: Colección de artículos y videos, alojada en re:Post, que responde las preguntas que AWS Support recibe con más frecuencia.
AWS re:Post: Sitio comunitario de preguntas y respuestas de AWS donde clientes y expertos de AWS responden preguntas técnicas.
AWS Marketplace: Catálogo seleccionado de software, datos y servicios de terceros que se ejecutan en AWS y que pueden facturarse a través de tu cuenta de AWS.
AWS Partner Network (APN): Comunidad global de empresas de consultoría y de tecnología que crean servicios y soluciones sobre AWS.
AWS Security Bulletins: Avisos oficiales sobre problemas de seguridad que afectan a los servicios de AWS y sobre cualquier acción que los clientes deban tomar.
Equipo AWS Trust & Safety: Equipo de AWS que recibe reportes de recursos de AWS usados para abusos como spam o ataques.
Security Competency: Validación de AWS que demuestra que un socio tiene experiencia comprobada y casos de éxito con clientes en seguridad.

Dominio 3: Cloud Technology and Services (34%)

Consejos para el examen

Implementación repetible y consistente entre cuentas o Regiones, o «infraestructura como código», significa CloudFormation. La CLI automatiza tareas con scripts y los SDK son para el código de las aplicaciones; ninguno de los dos es la respuesta de IaC.
El modelo híbrido requiere infraestructura local y recursos en la nube conectados entre sí. Los diseños con varias Regiones o varias cuentas que se ejecutan por completo en AWS siguen siendo el modelo de nube.
Las preguntas de alta disponibilidad buscan varias Availability Zones; sobrevivir a un evento en toda una Región requiere varias Regiones. «Servicios de AWS en el propio centro de datos del cliente» es Outposts, y «5G» es Wavelength.
Si un escenario menciona un requisito legal o regulatorio sobre dónde residen los datos, ese factor gana sobre el precio y la latencia. Descarta primero las Regiones que no cumplen y luego pondera latencia, servicios y precio.
Relaciona la carga de trabajo con la familia: las bases de datos en memoria van en instancias optimizadas para memoria, los lotes o HPC en optimizadas para cómputo, y el entrenamiento de ML o los gráficos en computación acelerada. El enrutamiento HTTP basado en rutas significa un Application Load Balancer.
«Kubernetes» significa EKS; «contenedores sin administrar servidores» significa Fargate; «código impulsado por eventos, pagando solo cuando se ejecuta» significa Lambda; «sube el código y AWS se encarga del resto» significa Elastic Beanstalk.
Multi-AZ es para disponibilidad (conmutación por error automática); las réplicas de lectura son para el rendimiento de lectura. Redshift es analítica (OLAP), no transacciones; DynamoDB es NoSQL, no relacional.
Un internet gateway permite acceso bidireccional a internet para las subredes públicas; un NAT gateway permite acceso solo saliente para las subredes privadas. La VPN funciona cifrada sobre internet; Direct Connect es una línea privada dedicada.
El almacenamiento de archivos compartido para Linux es EFS; los recursos compartidos de archivos de Windows son FSx for Windows File Server; el disco de una sola instancia es EBS. Nunca guardes en instance store datos que deban sobrevivir a una detención.
Transcribe es voz a texto; Polly es texto a voz. Textract extrae texto de documentos; Comprehend entiende el texto que ya tienes. Modelos personalizados significa SageMaker AI; modelos fundacionales significa Bedrock.
Athena y Redshift ejecutan SQL. Athena consulta archivos en S3 bajo demanda sin nada que cargar; Redshift es un almacén de datos al que cargas los datos para analítica intensiva y repetida.
SQS se basa en extracción (pull) y cada mensaje lo procesa un solo consumidor; SNS se basa en envío (push) y entrega cada mensaje a todos los suscriptores. Un evento que debe llegar a varios sistemas significa SNS, a menudo con colas de SQS detrás.

Términos clave

AWS Management Console: Interfaz gráfica basada en navegador para administrar los servicios de AWS.
AWS CLI: Herramienta de línea de comandos para llamar a las API de los servicios de AWS desde una terminal o un script.
AWS CloudShell: Shell en el navegador, ya autenticada y con la AWS CLI instalada, que se abre desde la consola.
SDK: Kit de desarrollo de software: bibliotecas específicas de cada lenguaje que permiten que el código de una aplicación llame a las API de AWS.
Infraestructura como código (IaC): Definir y aprovisionar infraestructura mediante plantillas o código legibles por máquina en lugar de pasos manuales.
AWS CloudFormation: Servicio de AWS que crea, actualiza y elimina recursos como una pila a partir de una plantilla JSON o YAML.
AWS CDK: El Cloud Development Kit, que define infraestructura en un lenguaje de programación y sintetiza plantillas de CloudFormation.
Implementación en la nube: Modelo en el que todas las partes de una aplicación se ejecutan en la nube.
Implementación híbrida: Modelo que conecta recursos en la nube con infraestructura que permanece en las instalaciones propias.
Local (nube privada): Modelo en el que los recursos se ejecutan en el propio centro de datos de la organización usando virtualización y herramientas de gestión.
Aprovisionamiento único: Crear recursos manualmente para un solo uso, normalmente a través de la consola.
Aprovisionamiento repetible: Crear recursos a partir de código o plantillas para que la misma configuración pueda recrearse de forma consistente.
AWS Outposts: Hardware administrado por AWS instalado en las instalaciones del cliente para ejecutar servicios de AWS de forma local.
Región: Área geográfica separada que contiene varias Availability Zones aisladas.
Availability Zone (AZ): Uno o más centros de datos independientes con energía y redes redundantes, aislados de los demás en la misma Región.
Ubicación de borde (edge location): Sitio usado por CloudFront y otros servicios de borde para almacenar contenido en caché y atender a los usuarios con baja latencia.
AWS Local Zone: Extensión de una Región que coloca servicios de AWS cerca de una gran ciudad para obtener latencia de milisegundos de un solo dígito.
AWS Wavelength Zone: Cómputo y almacenamiento de AWS integrados en la red 5G de un proveedor de telecomunicaciones para aplicaciones móviles de latencia ultrabaja.
Alta disponibilidad: Diseñar un sistema para que siga funcionando cuando falla un componente o una ubicación, normalmente usando varias AZ.
Residencia de datos (data residency): Requisito de que los datos se almacenen en una ubicación geográfica o jurisdicción específica.
Soberanía de datos (data sovereignty): Principio según el cual los datos están sujetos a las leyes del país en el que se almacenan.
Latencia: Demora entre una solicitud y su respuesta, que aumenta con la distancia a la Región.
Disponibilidad de servicios: Si un servicio, función o tipo de instancia de AWS determinado se ofrece en una Región en particular.
AWS Pricing Calculator: Herramienta gratuita para estimar y comparar el costo de una arquitectura, incluso entre Regiones.
Política de control de servicios (SCP): Política de AWS Organizations que establece los permisos máximos en las cuentas, por ejemplo bloqueando Regiones no aprobadas.
Amazon EC2: Servicio de AWS que ofrece servidores virtuales redimensionables llamados instancias.
Familia de instancias: Grupo de tipos de instancia optimizados para un tipo de carga de trabajo, como cómputo, memoria o almacenamiento.
AMI: Amazon Machine Image: la plantilla con sistema operativo, software y configuración que se usa para lanzar una instancia.
Elastic Load Balancing (ELB): Servicio que distribuye el tráfico entre destinos en buen estado en varias Availability Zones.
Application Load Balancer (ALB): Balanceador de carga de capa 7 para HTTP y HTTPS que puede enrutar por ruta o nombre de host.
Network Load Balancer (NLB): Balanceador de carga de capa 4 para TCP y UDP con rendimiento muy alto y soporte para IP estáticas.
EC2 Auto Scaling: Servicio que agrega o quita instancias EC2 automáticamente para ajustarse a la demanda y reemplaza las que no están en buen estado.
Plantilla de lanzamiento (launch template): Configuración guardada que indica la AMI, el tipo de instancia y los ajustes que Auto Scaling usa para lanzar instancias.
Contenedor: Paquete de una aplicación y sus dependencias que se ejecuta de forma consistente en distintos entornos y comparte el kernel del sistema operativo del host.
Amazon ECS: Servicio de orquestación de contenedores totalmente administrado propio de AWS.
Amazon EKS: Servicio administrado para ejecutar Kubernetes en AWS, con AWS operando el plano de control.
AWS Fargate: Motor de cómputo serverless que ejecuta contenedores de ECS o EKS sin que administres servidores.
AWS Lambda: Servicio serverless que ejecuta código en respuesta a eventos y cobra por solicitud y tiempo de cómputo.
AWS Elastic Beanstalk: Plataforma como servicio que implementa y administra aplicaciones web, y se encarga de la capacidad, el balanceo de carga y el escalado.
Amazon ECR: Registro administrado para almacenar y compartir imágenes de contenedor.
Amazon RDS: Servicio administrado para motores de bases de datos relacionales como MySQL, PostgreSQL, MariaDB, Oracle y SQL Server.
Amazon Aurora: Motor relacional de AWS compatible con MySQL y PostgreSQL, con almacenamiento replicado en varias AZ.
Implementación Multi-AZ: Configuración de RDS con una réplica en espera síncrona en otra AZ para la conmutación por error automática.
Réplica de lectura (read replica): Copia de una base de datos actualizada de forma asíncrona que se usa para descargar el tráfico de lectura.
Amazon DynamoDB: Base de datos NoSQL serverless de clave-valor y documentos con rendimiento consistente de milisegundos de un solo dígito.
Amazon ElastiCache: Caché en memoria administrada compatible con Valkey, Redis OSS y Memcached.
Amazon Redshift: Almacén de datos administrado para analítica SQL sobre grandes volúmenes de datos estructurados.
Amazon Neptune: Base de datos de grafos administrada para datos muy conectados.
Amazon VPC: Red virtual aislada lógicamente en AWS cuyos rangos de IP, subredes y enrutamiento controlas tú.
Subred: Rango de direcciones IP dentro de una VPC, ubicado en una sola Availability Zone.
Internet gateway: Componente de la VPC que permite la comunicación bidireccional entre los recursos de subredes públicas e internet.
NAT gateway: Servicio administrado en una subred pública que permite a las instancias de subredes privadas hacer conexiones a internet solo salientes.
Amazon Route 53: Servicio DNS de AWS que ofrece registro de dominios, comprobaciones de estado y políticas de enrutamiento.
Amazon CloudFront: Red de entrega de contenido de AWS que almacena contenido en caché en ubicaciones de borde cercanas a los espectadores.
AWS Site-to-Site VPN: Túneles IPsec cifrados entre una red local y una VPC a través de internet.
AWS Direct Connect: Conexión de red privada dedicada entre las instalaciones locales y AWS que evita internet público.
Amazon S3: Almacenamiento de objetos que guarda los datos como objetos en buckets, diseñado para una durabilidad de once nueves.
Clases de almacenamiento de S3: Niveles de precio para objetos de S3 según la frecuencia de acceso y las necesidades de recuperación, desde Standard hasta Glacier Deep Archive.
Regla de ciclo de vida: Política de S3 que transfiere objetos a clases más baratas o los elimina a medida que envejecen.
Amazon EBS: Volúmenes persistentes de almacenamiento de bloques que se conectan a instancias EC2 dentro de una Availability Zone.
Instance store: Almacenamiento de bloques temporal en el host cuyos datos se pierden cuando la instancia se detiene o termina.
Amazon EFS: Sistema de archivos NFS administrado y elástico que muchos clientes Linux pueden montar a la vez en varias AZ.
Amazon FSx: Sistemas de archivos de terceros totalmente administrados, como Windows File Server y Lustre.
AWS Storage Gateway: Servicio híbrido que da a las aplicaciones locales acceso al almacenamiento de AWS como archivos, volúmenes o cintas virtuales.
Amazon SageMaker AI: Plataforma para construir, entrenar e implementar modelos de aprendizaje automático personalizados.
Amazon Bedrock: Servicio administrado que ofrece acceso por API a modelos fundacionales para crear aplicaciones de IA generativa.
Modelo fundacional (foundation model): Modelo grande preentrenado con datos amplios que puede adaptarse a muchas tareas, como escribir y resumir.
Amazon Q: Asistente de IA generativa para empresas (Q Business) y desarrolladores (Q Developer).
Amazon Rekognition: Servicio que analiza imágenes y video para detectar objetos, texto, escenas y rostros.
Amazon Textract: Servicio que extrae texto impreso y manuscrito, formularios y tablas de documentos.
Amazon Comprehend: Servicio de NLP que encuentra sentimiento, entidades, frases clave e idioma en un texto.
Amazon Transcribe y Amazon Polly: Transcribe convierte voz en texto; Polly convierte texto en voz realista.
Amazon Athena: Servicio serverless para consultar datos en S3 con SQL estándar, facturado según los datos escaneados.
AWS Glue: Servicio de integración de datos serverless para ETL, con rastreadores y un Data Catalog central.
ETL: Extraer, transformar y cargar: mover datos desde las fuentes, darles nueva forma y cargarlos en un almacén de destino.
AWS Glue Data Catalog: Repositorio central de metadatos con definiciones de tablas que usan Athena, EMR y Redshift.
Amazon Kinesis Data Streams: Servicio para capturar y procesar registros de datos en streaming en tiempo real.
Amazon Data Firehose: Servicio que carga datos en streaming en destinos como S3 y Redshift sin código personalizado.
Amazon EMR: Plataforma administrada para frameworks de big data como Apache Spark y Hadoop.
Amazon OpenSearch Service: Servicio administrado para búsqueda, análisis de registros y paneles operativos.
Amazon SQS: Cola de mensajes totalmente administrada que desacopla productores y consumidores, donde los consumidores extraen los mensajes.
Amazon SNS: Servicio pub/sub que envía cada mensaje publicado en un tema a todos sus suscriptores.
Fan-out: Patrón en el que un mensaje de SNS se entrega a varias colas de SQS u otros suscriptores para procesarlo en paralelo.
Amazon EventBridge: Bus de eventos serverless que enruta eventos a destinos según reglas de coincidencia.
Amazon CloudWatch: Servicio de AWS para métricas, registros, paneles y alarmas.
AWS Systems Manager: Conjunto de herramientas para administrar, parchar y acceder a servidores EC2 y locales a escala.
Session Manager: Capacidad de Systems Manager que proporciona acceso auditado a la shell sin puertos de entrada ni claves SSH.
AWS IoT Core: Servicio administrado que conecta de forma segura dispositivos IoT y enruta sus mensajes a servicios de AWS.

Dominio 4: Billing, Pricing, and Support (12%)

Consejos para el examen

«Estable durante uno a tres años» significa RI o Savings Plans; «puede interrumpirse» significa Spot; «de corto plazo y no puede interrumpirse» significa On-Demand; «licencias existentes por núcleo» significa Dedicated Hosts.
Recuerda «entrar es gratis, salir cuesta dinero», y que el tráfico entre AZ y entre Regiones se cobra. Las clases de S3 más baratas no siempre salen más baratas en total: las lecturas frecuentes desde clases IA o Glacier pueden costar más en cargos de recuperación que Standard.
En una cuenta de pago estándar, el Free Tier no limita el gasto automáticamente. El uso que supera los límites se factura a tarifas normales, así que los presupuestos, las alertas del Free Tier y la limpieza son la forma de mantenerte seguro.
«Estimar el costo de una carga de trabajo planificada» es la Pricing Calculator. «Analizar el gasto pasado» es Cost Explorer. «Alertar cuando los costos superen un umbral» es AWS Budgets. Cost Explorer no envía alertas por umbral; Budgets sí.
Las etiquetas no aparecen en los informes de facturación hasta que se activan como etiquetas de asignación de costos en la consola de facturación. Para los datos de facturación más granulares, elige Cost and Usage Reports o exportaciones de datos, no Cost Explorer.
Las SCP nunca otorgan permisos; solo establecen barreras de protección. Un usuario necesita tanto una política de IAM que permita la acción como que ninguna SCP la bloquee. «Una sola factura» y «descuentos por volumen compartidos» significan facturación consolidada.
Trusted Advisor cubre muchas categorías en toda la cuenta; Compute Optimizer se centra en ajustar el tamaño del cómputo y recursos relacionados usando ML. El conjunto completo de verificaciones de Trusted Advisor requiere Business Support o superior.
«Technical Account Manager designado» significa Enterprise Support; «grupo de TAM» significa Enterprise On-Ramp. El plan mínimo con soporte telefónico 24/7 y todas las verificaciones de Trusted Advisor es Business.
Los reportes de abuso que proviene de recursos de AWS, como spam, phishing o ataques, siempre van al equipo AWS Trust & Safety, no a AWS Support, AWS Shield ni GuardDuty.

Términos clave

On-Demand Instances: Capacidad de EC2 facturada por segundo o por hora sin compromiso.
Reserved Instances (RI): Compromiso de uno o tres años con una configuración de instancia a cambio de un descuento significativo.
Savings Plans: Compromiso con una cantidad de uso de cómputo en dólares por hora durante uno o tres años a cambio de tarifas con descuento.
Compute Savings Plans: El Savings Plan más flexible, que se aplica entre familias, tamaños y Regiones de EC2, además de Fargate y Lambda.
Spot Instances: Capacidad sobrante de EC2 con un gran descuento que AWS puede recuperar con un aviso de dos minutos.
Dedicated Hosts: Servidores físicos dedicados a un cliente con visibilidad de sockets y núcleos, útiles para licencias BYOL.
Dedicated Instances: Instancias que se ejecutan en hardware dedicado a una cuenta, sin control a nivel de host.
Transferencia de datos entrante (ingress): Datos que entran a AWS desde internet, generalmente sin cargo.
Transferencia de datos saliente (egress): Datos que salen de AWS hacia internet, cobrados por gigabyte con tarifas escalonadas.
Transferencia de datos entre Regiones: Datos movidos entre Regiones de AWS, lo cual tiene cargo.
Cargo de recuperación (retrieval fee): Cargo por gigabyte por leer datos de las clases de almacenamiento de S3 de acceso poco frecuente o de archivo.
Duración mínima de almacenamiento: Periodo mínimo por el que se factura un objeto en ciertas clases de S3, aunque se elimine antes.
VPC gateway endpoint: Ruta privada desde una VPC hacia S3 o DynamoDB que evita internet y los cargos del NAT gateway.
AWS Free Tier: Programa de AWS de asignaciones de uso gratuito, pruebas y créditos para explorar servicios dentro de límites establecidos.
Always Free: Ofertas del Free Tier que no vencen y se aplican a todos los clientes dentro de límites mensuales.
Prueba gratuita (free trial): Oferta gratuita de corto plazo que comienza cuando usas un servicio en particular por primera vez.
Alerta de uso del Free Tier: Preferencia de facturación que te envía un correo cuando el uso se acerca a los límites del Free Tier o los supera.
AWS Budgets: Servicio que te alerta cuando el costo o el uso real o pronosticado cruza los umbrales que defines.
Presupuesto de gasto cero (zero-spend budget): Plantilla de Budgets que te alerta en cuanto se produce cualquier gasto.
AWS Pricing Calculator: Herramienta gratuita para estimar el costo de una arquitectura planificada antes de implementarla.
AWS Cost Explorer: Herramienta para visualizar y analizar el costo y el uso históricos, con pronósticos y recomendaciones.
Acción de presupuesto (budget action): Respuesta automática, como aplicar una política restrictiva o detener instancias, cuando se cruza un umbral de presupuesto.
Gasto pronosticado: Proyección de los costos futuros basada en los patrones de uso históricos.
AWS Cost Anomaly Detection: Servicio que usa aprendizaje automático para encontrar gastos inusuales y alertarte.
Consola Billing and Cost Management: Consola central para facturas, pagos, preferencias de facturación y herramientas de costos.
Cost and Usage Report (CUR): Los datos de facturación más detallados de AWS, entregados como archivos en S3, hasta el nivel de recurso individual.
Data Exports: Función de AWS para exportar datos de costo y uso, incluido CUR 2.0, a Amazon S3.
Etiqueta (tag): Rótulo de clave-valor asociado a un recurso de AWS para organización, automatización o seguimiento de costos.
Etiqueta de asignación de costos: Etiqueta activada en la consola de facturación para que aparezca en los informes de costos y pueda filtrar y agrupar los costos.
Showback y chargeback: Informar los costos de la nube a los equipos que los generaron (showback) o cobrárselos internamente (chargeback).
Política de etiquetas (tag policy): Política de AWS Organizations que estandariza las claves y los valores de las etiquetas entre cuentas.
AWS Organizations: Servicio gratuito para administrar y gobernar de forma centralizada varias cuentas de AWS.
Cuenta de administración (management account): Cuenta que crea la organización, administra las cuentas miembro y paga la factura consolidada.
Unidad organizativa (OU): Grupo de cuentas dentro de una organización que se usa para aplicar políticas en conjunto.
Política de control de servicios (SCP): Política que establece los permisos máximos de las cuentas de una organización; nunca otorga permisos.
Facturación consolidada: Función de Organizations que combina los cargos de todas las cuentas miembro en una sola factura pagada por la cuenta de administración.
Niveles de precios por volumen: Niveles de precio que bajan por unidad a medida que crece el uso, y que se alcanzan antes cuando se combina el uso de una organización.
AWS Control Tower: Servicio que configura y gobierna una landing zone multicuenta con barreras de protección sobre Organizations.
AWS Trusted Advisor: Servicio que verifica tu cuenta frente a buenas prácticas de costos, rendimiento, seguridad, tolerancia a fallas, cuotas y excelencia operativa.
AWS Compute Optimizer: Servicio que aplica ML al historial de utilización para recomendar tamaños óptimos para EC2, EBS, Lambda y otros recursos.
Ajuste de tamaño (rightsizing): Hacer coincidir los tipos y tamaños de los recursos con los requisitos reales de la carga de trabajo al menor costo.
Sobreaprovisionado (over-provisioned): Recurso más grande de lo que necesita su carga de trabajo, lo que desperdicia dinero.
Subaprovisionado (under-provisioned): Recurso demasiado pequeño para su carga de trabajo, con riesgo de bajo rendimiento.
AWS Cost Optimization Hub: Función de la consola que consolida y ordena las recomendaciones de ahorro de varias herramientas de AWS.
Basic Support: Plan gratuito con soporte de facturación y cuenta, documentación, verificaciones básicas de Trusted Advisor y AWS Health, pero sin casos técnicos.
Developer Support: Plan con acceso por correo en horario laboral a soporte técnico para pruebas y desarrollo temprano.
Business Support: Plan con soporte técnico 24/7 por teléfono, correo y chat, respuesta rápida para producción y todas las verificaciones de Trusted Advisor.
Enterprise On-Ramp: Plan con un grupo de Technical Account Managers y respuesta más rápida para cargas críticas para el negocio.
Enterprise Support: El plan superior, con un TAM designado, la respuesta crítica más rápida, soporte tipo concierge y programas proactivos.
Technical Account Manager (TAM): Contacto técnico de AWS que ofrece orientación proactiva y representa los intereses del cliente.
AWS Health Dashboard: Vista personalizada de los eventos, el mantenimiento y los problemas de AWS que afectan a tus recursos, gratuita para todos los clientes.
AWS re:Post: Sitio gratuito de preguntas y respuestas de la comunidad de AWS, con respuestas de clientes y expertos de AWS.
AWS Knowledge Center: Artículos y videos, alojados en re:Post, que responden las preguntas más comunes de AWS Support.
AWS Marketplace: Catálogo seleccionado de software, datos y servicios de terceros que pueden comprarse y facturarse a través de AWS.
AWS Partner Network (APN): Programa global de socios de consultoría y de tecnología que construyen sobre AWS.
AWS Professional Services: El propio equipo de consultores de AWS que ayuda a los clientes con proyectos grandes y resultados de negocio.
Equipo AWS Trust & Safety: Equipo de AWS que investiga los reportes de abuso que involucran recursos de AWS.
AWS Prescriptive Guidance: Estrategias, guías y patrones publicados por AWS para migrar y ejecutar cargas de trabajo.

Estudia Cloud Practitioner gratis
Plan semana a semana con lecciones, cuestionarios, simulaciones de examen y práctica, en español.

Abrir el plan de estudio