CLF-C02
Deep Dive
Los servicios de monitoreo y gestión son esenciales para operar en AWS. El CLF-C02 evalúa especialmente la diferencia entre CloudWatch (monitoreo), CloudTrail (auditoría) y Config (compliance), que confunden frecuentemente.
Contenido
Monitoreo y observabilidad para recursos y aplicaciones AWS
Amazon CloudWatch recopila y rastrea métricas, recopila y monitorea archivos de logs, establece alarmas y reacciona automáticamente a cambios en los recursos AWS y aplicaciones.
Componentes de CloudWatch
Metrics
Datos numéricos publicados por servicios AWS. Ej: CPUUtilization de EC2, NumberOfObjects de S3, ReadLatency de RDS. Gratis por defecto cada 5 minutos.
Detailed Monitoring
EC2 envía métricas cada 1 minuto (en lugar de 5) con costo adicional. Útil para Auto Scaling más reactivo.
Alarms
Activa acciones cuando una métrica supera un umbral. Acciones: notificar via SNS, ejecutar Auto Scaling, parar/iniciar instancias EC2.
Logs
Centraliza logs de Lambda, EC2, RDS, ECS, etc. CloudWatch Logs Insights permite queries sobre logs.
Dashboards
Paneles visuales con gráficos de métricas. Compartibles entre equipos.
Events / EventBridge
Responde a cambios de estado en servicios AWS (ej: EC2 inicia → dispara Lambda).
Métricas importantes por servicio
| Servicio | Métricas clave |
|---|---|
| EC2 | CPUUtilization, NetworkIn/Out, DiskRead/WriteOps |
| RDS | DatabaseConnections, ReadLatency, FreeStorageSpace |
| Lambda | Invocations, Duration, Errors, Throttles |
| S3 | BucketSizeBytes, NumberOfObjects (no en tiempo real) |
| ELB | RequestCount, Latency, HTTP4XXCount, HTTP5XXCount |
| DynamoDB | ConsumedReadCapacityUnits, ThrottledRequests |
Trampa de examen
CloudWatch NO monitorea memoria RAM de EC2 por defecto. Para memoria, debes instalar el CloudWatch Agent en la instancia. Lo mismo para métricas de disco detalladas.
Auditoría de llamadas a API en tu cuenta AWS
AWS CloudTrail registra las acciones tomadas por usuarios, roles o servicios AWS. Cada llamada a la API se registra como un evento en CloudTrail. Habilitado por defecto para los últimos 90 días (Management Events).
Qué captura cada evento de CloudTrail
Tipos de eventos en CloudTrail
Management Events (control plane)
Operaciones de gestión de recursos: CreateEc2Instance, CreateS3Bucket, DeleteIAMUser. Habilitados por defecto.
Data Events (data plane)
Operaciones sobre datos: S3 GetObject/PutObject, Lambda InvokeFunction. No habilitados por defecto (alto volumen).
Insights Events
Detecta actividad inusual de API (pico de llamadas, comportamiento anómalo).
Provisiona infraestructura AWS mediante plantillas declarativas
AWS CloudFormation permite modelar y aprovisionar todos los recursos de infraestructura AWS usando código (plantillas JSON o YAML). Toda la infraestructura se trata como código versionable y repetible.
Templates
Archivos JSON o YAML que describen los recursos que necesitas. Define una vez, despliega en cualquier región.
Stacks
Unidad de despliegue de CloudFormation. Un stack = un conjunto de recursos relacionados creados desde una plantilla.
Change Sets
Previsualiza qué cambios se harán en el stack antes de aplicarlos. Evita sorpresas en producción.
Beneficios de CloudFormation para el examen
Evalúa y registra configuraciones de recursos AWS para compliance
AWS Config ofrece un registro detallado del inventario de recursos AWS y su configuración histórica. Permite evaluar configuraciones contra reglas de compliance y alertar cuando hay desvíos.
Reglas AWS Config (ejemplos)
Casos de uso
Gestión unificada de instancias EC2 y recursos on-premises
Session Manager
Acceso SSH/RDP a instancias EC2 sin abrir puertos (sin Security Groups de entrada). Sin necesidad de bastión host.
Parameter Store
Almacenamiento seguro de configuración y secretos (strings, números, SecureString cifrado). Gratuito.
Patch Manager
Automatiza el proceso de parcheo de sistemas operativos y aplicaciones en instancias EC2 y on-premises.
Run Command
Ejecuta scripts o comandos en múltiples instancias simultáneamente sin necesidad de acceso SSH directo.
Gestión centralizada de múltiples cuentas AWS
AWS Organizations permite consolidar múltiples cuentas AWS en una organización que creas y administras centralmente. Facilita la facturación consolidada, políticas de seguridad centralizadas y aislamiento de workloads.
Consolidated Billing
Una sola factura para todas las cuentas. Descuentos por volumen consolidado entre todas las cuentas de la organización.
Service Control Policies (SCPs)
Políticas que limitan los permisos MÁXIMOS en cuentas o Organizational Units. Ni el root de la cuenta puede saltarse las SCPs.
Organizational Units (OUs)
Agrupaciones de cuentas (ej: OU-Producción, OU-Desarrollo). Aplica SCPs a nivel de OU para controlar múltiples cuentas a la vez.
Consultor automatizado para optimizar tu cuenta AWS
Trusted Advisor analiza tu cuenta AWS y da recomendaciones en 5 categorías. Los checks disponibles dependen del plan de soporte.
Cost Optimization
Recursos infrautilizados (instancias EC2 con baja CPU, Reserved Instances sin usar, EBS no adjuntos)
Performance
Recomendaciones para mejorar el rendimiento (instancias con alta utilización, distribuciones CloudFront con alta tasa de error)
Security
Configuraciones de seguridad incorrectas: MFA no activado en root, Security Groups abiertos (0.0.0.0/0), S3 con acceso público
Fault Tolerance
Mejorar resiliencia: RDS sin Multi-AZ, EC2 sin distribuir en múltiples AZs, backups de EBS desactualizados
Service Limits
Avisa cuando se acercan a los límites de servicio (quotas) de AWS: número de VPCs, instancias EC2 por región
Checks por plan de soporte
Basic/Developer: ~7 checks (principalmente seguridad y límites de servicio). Business/Enterprise: todos los checks completos.
| Dimensión | CloudWatch | CloudTrail | AWS Config |
|---|---|---|---|
| Propósito | Monitoreo de rendimiento | Auditoría de API calls | Compliance de configuración |
| Pregunta que responde | "¿Cómo está funcionando mi infraestructura ahora?" | "¿Quién hizo qué y cuándo?" | "¿Está mi infraestructura configurada correctamente?" |
| Tipo de dato | Métricas numéricas (CPU, requests) | Eventos de llamadas API | Estado de configuración de recursos |
| Tiempo | Tiempo real y tendencias | Histórico de eventos | Historial de cambios de configuración |
| Alertas | Sí — Alarms cuando métrica supera umbral | Via CloudWatch Events o EventBridge | Sí — cuando recurso sale de compliance |
| Caso de uso típico | CPU al 95%, alarma notifica equipo ops | "¿Quién eliminó el bucket S3?" | "¿Qué instancias EC2 no tienen cifrado?" |
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Un equipo de seguridad necesita saber el estado actual de cifrado de todas las instancias RDS en la cuenta AWS, y ser notificado cuando se cree una instancia RDS sin cifrado activado. ¿Qué servicio de AWS satisface este requisito?