AWS 0.1 Seguridad

Podcast

Play an AI-generated podcast conversation about this lesson

Questions and Answers

¿Cómo asegurarse de que todas las cuentas miembro actuales y futuras tengan bloqueado el acceso a la compra de instancias reservadas de EC2?

Crear un SCP con el efecto Denegar en la acción ec2:PurchaseReservedInstancesOffering y adjuntarlo a la raíz de la organización.

¿Cuáles son los pasos para gestionar la seguridad de las AMIs aprobadas en AWS?

Utilizar Amazon Inspector para ejecutar evaluaciones CVE en instancias EC2 lanzadas desde AMIs aprobadas y utilizar AWS Lambda para automatizar la lista de AMIs aprobadas.

¿Cómo crear un clúster de ECS rentable con una base de datos MySQL en Amazon RDS?

Crear un clúster de ECS utilizando una flota de instancias Spot, con el vaciado de instancias habilitado y aprovisionar la base de datos usando instancias reservadas en Amazon RDS.

¿Cómo transformar datos de tarjetas de crédito enmascarándolos y convertirlos a formato JSON?

Crear un rastreador de AWS Glue con un clasificador personalizado y activar una función de Lambda para iniciar un trabajo ETL que procese los datos. Signup and view all the answers

¿Cómo reducir costos y mejorar el rendimiento de una aplicación que utiliza DynamoDB y funciones Lambda con uso creciente?

Migrar la base de datos MySQL a Amazon RDS Multi-AZ, habilitar almacenamiento en caché en API Gateway y activar el escalado automático en DynamoDB. Signup and view all the answers

¿Cuál es la mejor manera de permitir el acceso a AWS OpenSearch Service para desarrolladores remotos mientras se mantienen los datos en la VPC?

Configurar un punto de conexión de VPN de cliente de AWS y asociarlo con una subred en la VPC. Signup and view all the answers

¿Cómo procesar datos de sensores en tiempo real y enviar alertas inmediatas si se detectan anomalías?

Transmitir datos a Amazon Kinesis Data Streams, analizarlos con Lambda y configurar Amazon SNS para enviar alertas. Signup and view all the answers

¿Qué herramientas debe utilizar un arquitecto de soluciones para planificar la migración a la nube cuando no hay una base de datos de gestión de configuración central y la documentación está desactualizada?

AWS Cloud Adoption Readiness Tool (CART) Signup and view all the answers

¿Qué acciones debe realizar un arquitecto de soluciones para garantizar que una aplicación de procesamiento de pedidos con patrones de uso variables esté disponible y procese los pedidos en orden?

Utilizar Amazon SQS con colas FIFO Signup and view all the answers

¿Cómo mejorar el rendimiento de una tabla DynamoDB que sufre de excepciones ProvisionedThroughputExceeded?

Habilitar el escalado automático de DynamoDB Signup and view all the answers

¿Qué solución debe implementar un arquitecto de soluciones para ofrecer alta disponibilidad en varias regiones con Amazon RDS?

Habilitar una réplica de lectura entre regiones Signup and view all the answers

¿Cuál podría ser la causa de problemas de rendimiento en una instancia de base de datos Amazon RDS durante un período pico?

El saldo de crédito de E/S se agotó Signup and view all the answers

¿Cómo mejorar los tiempos de respuesta de una aplicación que utiliza contenido multimedia estático para usuarios de todo el mundo?

Utilizar Lambda@Edge Signup and view all the answers

¿Cómo implementar redundancia en una conexión AWS Direct Connect con múltiples VPCs en diferentes regiones?

Crear una nueva conexión DX a la misma región Signup and view all the answers

¿Cómo gestionar cuentas de AWS de diferentes unidades de negocio con una única factura y restricciones de servicios centralizadas?

Utilizar SCPs para aplicar restricciones Signup and view all the answers

¿Cómo permitir temporalmente el acceso a AWS DMS para completar una migración en curso?

Crear una unidad organizativa temporal Signup and view all the answers

¿Cómo aplicar una política de no permitir direcciones IP públicas en instancias EC2 dentro de AWS Control Tower?

Configurar SCPs en AWS Control Tower Signup and view all the answers

¿Cómo controlar que los desarrolladores no superen el presupuesto mensual fijo en sus cuentas de desarrollo?

Configurar una acción de alerta que invoque una función Lambda Signup and view all the answers

¿Cómo prevenir ataques a una aplicación de comercio electrónico en ECS con ALB y DynamoDB?

Implementar una ACL web de AWS WAF Signup and view all the answers

¿Cómo gestionar la creación de servicios de infraestructura de manera centralizada utilizando una cuenta central de AWS?

Permitir solo acceso de lectura Signup and view all the answers

¿Cómo desacoplar capas de una aplicación web que puede experimentar picos de tráfico y asegurar la entrega a la base de datos?

Desacoplar las capas de la aplicación Signup and view all the answers

¿Cómo hacer que una aplicación web solo sea accesible desde un país específico y registrar intentos bloqueados?

Crear una ACL web de AWS WAF Signup and view all the answers

¿Cuál es la solución más rentable para almacenar documentos a los que se accede frecuentemente durante 3 meses y luego raramente, con un periodo de retención de 7 años?

Hacer caducar los documentos de S3 Glacier después de 7 años Signup and view all the answers

¿Cómo resolver el problema de una aplicación en una cuenta de producción que no puede resolver un CNAME en una zona alojada privada en la cuenta de administración?

Asociar la VPC en la cuenta de producción Signup and view all the answers

¿Qué elementos verificar para asegurarse de que la federación de identidad SAML esté configurada correctamente y un usuario pueda autenticarse en AWS?

Llamar a la API AssumeRoleWithSAML de AWS STS Signup and view all the answers

¿Cómo garantizar que las AMIs aprobadas sean escaneadas regularmente y estén marcadas como seguras antes de que los desarrolladores puedan usarlas?

Usar EventBridge para iniciar un documento de automatización Signup and view all the answers

¿Cómo garantizar que una función Lambda que replica objetos S3 no afecte a otras funciones críticas debido a límites de concurrencia regional?

Monitorear las funciones Lambda críticas con alarmas de CloudWatch Signup and view all the answers

¿Cómo restringir el acceso a contenido estático y dinámico de una aplicación para que solo esté disponible a través de Amazon CloudFront?

Crear una ACL web en AWS WAF Signup and view all the answers

¿Cómo enmascarar datos de tarjetas de crédito y transformar registros en JSON para procesamiento adicional en S3?

Iniciar un trabajo ETL de AWS Glue Signup and view all the answers

¿Cómo migrar una aplicación on-premises que utiliza un sistema de almacenamiento NFS y colas a AWS, manteniendo la eficiencia y el costo?

Ejecutar la aplicación web en EC2 Signup and view all the answers

¿Cómo reducir los costos de funciones Lambda que se ejecutan durante más de 4 minutos debido a latencia de red con una base de datos MySQL local?

Habilitar almacenamiento en caché de API en API Gateway Signup and view all the answers

¿Cómo proporcionar acceso seguro y directo a Amazon OpenSearch Service para desarrolladores remotos y en varias oficinas?

Configurar un punto de conexión de VPN de cliente de AWS Signup and view all the answers

¿Cómo evitar que cuentas miembros en AWS Organizations compren instancias reservadas de Amazon EC2?

Crear un SCP con el efecto Denegar en la acción ec2:PurchaseReservedInstancesOffering Signup and view all the answers

¿Cuál es la solución más rentable para una aplicación en contenedores Docker que utiliza ECS y requiere una base de datos MySQL?

Aprovisionar la base de datos usando instancias reservadas Signup and view all the answers

¿Cómo analizar datos de sensores en tiempo real y alertar al equipo de gestión si se superan umbrales predefinidos?

Configurar SNS para enviar alertas Signup and view all the answers

Study Notes

Planificación de Migración a la Nube

Para realizar una migración a la nube sin una base de datos de gestión de configuración central y documentación actualizada, las herramientas recomendadas son:
- AWS Application Discovery Service: Mapea las dependencias y datos de utilización del servidor.
- AWS Cloud Adoption Readiness Tool (CART): Evalúa la preparación para la adopción de la nube.
- AWS Migration Hub: Centraliza el seguimiento del progreso de la migración.

Garantizar Disponibilidad y Orden en el Procesamiento de Pedidos

Se recomienda utilizar Amazon SQS con colas FIFO para garantizar el orden de los mensajes y utilizar instancias reservadas en varias zonas de disponibilidad para el procesamiento.
- Amazon SQS con FIFO: Asegura que los mensajes se entreguen en el orden correcto.
- Instancias Reservadas: Garantizan disponibilidad al mejor costo.

Mejorar el Rendimiento de DynamoDB

Para mejorar el rendimiento de una tabla DynamoDB que experimenta excepciones ProvisionedThroughputExceeded:
- Habilitar el escalado automático de DynamoDB: Ajusta la capacidad de lectura y escritura según la carga.
- Aprovisionar un clúster de DynamoDB Accelerator (DAX): Mejora el rendimiento de lectura sin cambiar la aplicación.

Alta Disponibilidad con Amazon RDS

Implementar la alta disponibilidad en varias regiones con Amazon RDS mediante una réplica de lectura entre regiones.
- Réplica de Lectura: Permite recuperación ante desastres rápida y fácil.
- Alta Disponibilidad: Las aplicaciones se redirigen al nuevo punto final tras la promoción.

Resolver Problemas de Rendimiento en RDS

Un saldo de crédito de E/S agotado debido a poco almacenamiento en disco durante la configuración puede ser la causa de problemas de rendimiento en una instancia de base de datos Amazon RDS durante un período pico.
- Saldo de Crédito de E/S: Limitación temporal en la capacidad de IOPS durante la ráfaga.
- Almacenamiento SSD de Propósito General: Tiene un rendimiento de referencia de 3 IOPS por GiB.

Mejorar los Tiempos de Respuesta de Aplicaciones Multimediales

Mover el contenido a Amazon S3, crear una distribución de Amazon CloudFront y utilizar Lambda@Edge para cargar diferentes recursos según el User-Agent.
- CloudFront: Reduce la carga en las instancias EC2 al almacenar en caché el contenido.
- Lambda@Edge: Personaliza el contenido según el sistema operativo del cliente.

Redundancia en AWS Direct Connect

Para implementar redundancia en una conexión AWS Direct Connect con múltiples VPCs en diferentes regiones, crear una nueva conexión DX a la misma región y aprovisionar una puerta de enlace de Direct Connect para conectar las VPCs de ambas regiones.
- Puerta de Enlace de DX: Permite conectar múltiples VPCs a través de una única conexión DX.
- Redundancia: Proporciona una segunda conexión DX a la misma región.

Gestión Centralizada de Cuentas AWS

Crear una organización en AWS Organizations y utilizar SCPs para aplicar restricciones a las cuentas de unidad de negocio.
- AWS Organizations: Habilita la facturación consolidada y gestión centralizada.
- SCP: Restringe los permisos y funcionalidades de las cuentas de negocio.

Acceso Temporal a AWS DMS

Para permitir temporalmente el acceso a AWS DMS para completar una migración en curso, crear una unidad organizativa temporal para la nueva cuenta, aplicar un SCP para permitir AWS DMS y mover el SCP de la lista de denegados de la raíz a la unidad de producción.
- SCP de Lista de Denegación: Se mueve a la unidad organizativa de producción.
- Unidad Temporal: Permite acceso a DMS temporalmente.

Controlar Direcciones IP Públicas en EC2

Se pueden configurar SCPs en AWS Control Tower para no permitir la asignación de direcciones IP públicas a instancias de EC2 en todas las OU.
- SCP en Control Tower: Asegura que ninguna instancia EC2 tenga IP pública.
- Gestión Centralizada: Facilita la aplicación de políticas en todas las cuentas.

Controlar el Presupuesto de Cuentas de Desarrollo

Definir un presupuesto mensual fijo en AWS Budgets, crear un SCP que deniegue acceso a servicios costosos y configurar una acción de alerta que invoque una función Lambda para finalizar servicios.
- AWS Budgets: Define el presupuesto y envía alertas.
- SCP: Restringe el uso de servicios caros.
- Lambda: Finaliza servicios si se alcanza el límite presupuestario.

Prevenir Ataques a Aplicaciones ECS

Crear una distribución de CloudFront con ALB como origen, configurar un encabezado personalizado con un valor secreto e implementar una ACL web de AWS WAF que bloquee el tráfico de ataque.
- CloudFront con Encabezado Personalizado: Protege el origen ALB.
- WAF: Bloquea ataques web conocidos.

Gestión Centralizada de Servicios de Infraestructura

Definir servicios de infraestructura en plantillas de CloudFormation, cargarlas como productos en AWS Service Catalog y compartirlas con AWS Organizations.
- AWS Service Catalog: Centraliza la gestión y distribución de servicios.
- Restricción de Lanzamiento: Asegura permisos mínimos necesarios.

Desacoplar Capas de Aplicaciones Web

Crear una cola de Amazon SQS y desacoplar las capas de la aplicación y la base de datos.
- Amazon SQS: Garantiza que las solicitudes no se pierdan y se procesen de manera ordenada.
- Lambda: Procesa las solicitudes de manera escalable y sin servidor.

Controlar el Acceso a Aplicaciones Web por País

Crear una ACL web de AWS WAF, asociarla al ALB y configurar una regla de coincidencia geográfica para bloquear solicitudes de fuera del país especificado.
- WAF: Filtra tráfico basado en reglas geográficas.
- ALB: Aplica la ACL web a todo el tráfico entrante.

Almacenamiento de Documentos con Periodo de Retención

Almacenar documentos en S3 con una política de ciclo de vida para moverlos a S3 Glacier después de 3 meses y hacer caducar los documentos de S3 Glacier después de 7 años.
- Política de Ciclo de Vida: Automatiza la transición y expiración de objetos en S3.
- S3 Glacier: Almacenamiento de bajo costo para datos archivados.

Resolver Problemas de Resolución de CNAME

Crear una autorización para asociar la zona alojada privada en la cuenta de administración con la nueva VPC en la cuenta de producción y asociar la VPC en la cuenta de producción con la zona alojada en la cuenta de administración.
- Autorización de Asociación: Permite a la VPC de producción acceder a la zona alojada en la cuenta de administración.
- Asociar VPC: Habilita la resolución de nombres DNS.

Verificar la Configuración de Federación SAML

Para garantizar la correcta configuración de la federación de identidad SAML:
- Verificar que el IdP define afirmaciones SAML que asignan correctamente a los usuarios o grupos a roles de IAM con permisos adecuados.
- Asegurar que los roles de IAM creados para usuarios federados tengan al proveedor SAML como principal.
- Validar que el portal web llama a la API AssumeRoleWithSAML de AWS STS con el ARN del proveedor SAML, el ARN del rol IAM y la afirmación SAML del IdP.

Gestión de AMIs Aprobadas

Utilizar Amazon Inspector para ejecutar el paquete de evaluación CVE en las instancias EC2 lanzadas desde las AMIs aprobadas.
Utilizar AWS Lambda para escribir reglas de aprobación automática y almacenar la lista de AMIs aprobadas en AWS Systems Manager Parameter Store.
Utilizar EventBridge para iniciar un documento de automatización de Systems Manager en todas las instancias EC2 cada 30 días.
- Amazon Inspector: Realiza evaluaciones de seguridad.
- Lambda y EventBridge: Automatizan el proceso de escaneo y aprobación.

Gestión de Límites de Concurrencia Regional

Configurar el límite de simultaneidad reservado para la nueva función Lambda y monitorear las funciones Lambda críticas con alarmas de CloudWatch para la métrica Lambda Throttles.
- Concurrencia Reservada: Asigna capacidad exclusiva para la función Lambda, evitando que otras funciones críticas se vean afectadas.
- Alarmas de CloudWatch: Monitorean limitaciones de concurrencia en las funciones críticas.

Restricción de Acceso a Contenido Estático y Dinámico

Configurar CloudFront para agregar un encabezado personalizado a las solicitudes al origen.
Crear una ACL web en AWS WAF que valide el encabezado en el ALB.
Crear una OAI (Identity de Acceso de Origen) en CloudFront y actualizar la política del bucket S3 para permitir solo acceso desde la OAI.
- Encabezado personalizado: Permite que ALB solo acepte solicitudes provenientes de CloudFront.
- OAI: Restringe el acceso directo al bucket S3, asegurando que los archivos solo se puedan acceder a través de CloudFront.

Enmascarar Datos de Tarjetas de Crédito y Convertir a JSON

Crear un rastreador de AWS Glue y un clasificador personalizado, activar una función Lambda en la entrega de archivos para iniciar un trabajo ETL de AWS Glue que transforme los registros y los envíe a otro bucket de S3 en formato JSON.
- AWS Glue: Realiza transformaciones ETL, como enmascaramiento de datos y cambio de formato.
- Lambda y S3: Inicia automáticamente el proceso ETL cuando llegan nuevos datos.

Migrar una Aplicación On-Premise con NFS y Colas

Crear una cola con Amazon SQS.
Ejecutar la aplicación web en EC2 y configurarla para publicar en SQS.
Utilizar un grupo de Auto Scaling de EC2 para procesar las solicitudes y escalar basado en la longitud de la cola.
Almacenar los archivos procesados en S3.
- Amazon SQS: Desacopla el sistema y permite escalar según la demanda.
- Auto Scaling en EC2: Escala automáticamente para manejar picos de carga.

Reducir Costos de Funciones Lambda con Latencia de Red

Migrar el servidor de base de datos MySQL a Amazon RDS Multi-AZ y habilitar el almacenamiento en caché de API en API Gateway.
Habilitar el escalado automático en DynamoDB.
- Amazon RDS: Reduce la latencia de red, eliminando la necesidad de conexiones a la base de datos local.
- API Gateway: Almacena en caché las respuestas, reduciendo las llamadas a Lambda.
- Escalado Automático: Ajusta la capacidad de DynamoDB según la demanda.

Acceso Seguro a OpenSearch Service

Configurar un punto de conexión de VPN de cliente de AWS, asociarlo con una subred en la VPC y configurar un portal de autoservicio de VPN de cliente.
- AWS Client VPN: Proporciona acceso seguro y privado a la VPC desde ubicaciones remotas.
- Portal de Autoservicio: Simplifica el proceso de conexión para los desarrolladores.

Evitar Compra de Instancias Reservadas de EC2

Crear un SCP con el efecto Denegar en la acción ec2:PurchaseReservedInstancesOffering y adjuntarlo a la raíz de la organización.
- SCP en la Raíz: Asegura que ninguna cuenta miembro, actual o futura, pueda realizar la compra.

Solución Rentable para Aplicaciones Docker con MySQL

Crear un clúster de ECS usando una flota de instancias Spot con el vaciado habilitado y aprovisionar la base de datos usando instancias reservadas.
- ECS con Spot: Minimiza los costos de procesamiento.
- RDS con Instancias Reservadas: Asegura alta disponibilidad y costo reducido.

Análisis de Datos de Sensores en Tiempo Real

Transmitir los datos de sensores a Amazon Kinesis Data Streams, analizarlos con Lambda y configurar SNS para enviar alertas inmediatas al equipo de gestión si se detectan anomalías.
- Kinesis Data Streams: Permite el procesamiento en tiempo real.
- Lambda: Escalable y sin servidor para análisis de datos.
- SNS: Envía notificaciones inmediatas basadas en reglas.

Bloquear el Acceso a Instancias Reservadas de EC2

Crear un SCP con el efecto Denegar en la acción ec2:PurchaseReservedInstancesOffering y adjuntarlo a la raíz de la organización.
- SCP en la Raíz: Se asegura de que ninguna cuenta miembro, actual o futura, pueda realizar la compra de instancias reservadas.

Gestión de la Seguridad de las AMIs Aprobadas

Utilizar Amazon Inspector para ejecutar evaluaciones CVE en instancias EC2 lanzadas desde AMIs aprobadas.
Utilizar AWS Lambda para automatizar la lista de AMIs aprobadas en Systems Manager Parameter Store.
Iniciar un documento de automatización de Systems Manager cada 30 días con EventBridge.
- Amazon Inspector: Evalúa vulnerabilidades en las AMIs.
- AWS Lambda y EventBridge: Automatizan la evaluación y actualización de AMIs.

Creación de un Clúster ECS Rentable con RDS

Crear un clúster de ECS utilizando una flota de instancias Spot, con el vaciado de instancias habilitado.
Aprovisionar la base de datos usando instancias reservadas en Amazon RDS.
- ECS con Spot: Minimiza costos del clúster.
- RDS con Reservadas: Garantiza disponibilidad y costos predecibles.

Transformación de Datos de Tarjetas de Crédito

Se recomienda crear un rastreador de AWS Glue y un clasificador personalizado.
Activar una función Lambda en la entrega de archivos para iniciar un trabajo ETL de AWS Glue que transforme los registros y los envíe a otro bucket de S3 en formato JSON.
- AWS Glue: Realiza transformaciones ETL, como enmascaramiento de datos y cambio de formato.
- Lambda y S3: Inicia automáticamente el proceso ETL cuando llegan nuevos datos.

Flujo de datos con AWS Glue

AWS Glue es una herramienta adecuada para procesar, enmascarar y transformar datos.
Se puede usar un clasificador personalizado para rastrear los datos.
Las funciones Lambda se pueden usar para activar trabajos ETL de Glue.
Los resultados del trabajo ETL se pueden enviar en formato JSON a un bucket S3.
Lambda y S3 son una combinación eficiente para automatizar flujos de datos.
Lambda y SQS no son la combinación más eficiente para tareas ETL.
MSK y Lambda son más complejos de implementar para tareas ETL.
Athena y EMR no son tan adecuados como Glue para la transformación de datos.

Optimizar aplicaciones con DynamoDB y Lambda

Para reducir costos y mejorar el rendimiento de una aplicación que utiliza DynamoDB y Lambda con un uso creciente, se puede realizar lo siguiente:
- Migrar la base de datos MySQL a Amazon RDS Multi-AZ.
- Habilitar almacenamiento en caché en API Gateway.
- Activar el escalado automático en DynamoDB.
RDS Multi-AZ reduce la latencia y mejora la disponibilidad.
API Gateway reduce las llamadas a Lambda con almacenamiento en caché.
El escalado automático en DynamoDB ajusta la capacidad según la demanda.
Direct Connect es costoso y no soluciona la latencia.
CloudFront no se puede usar directamente en API Gateway.
ElastiCache para DynamoDB es más complejo de implementar.

Permitir acceso remoto a AWS OpenSearch Service

La mejor forma de permitir el acceso a AWS OpenSearch Service para desarrolladores remotos mientras se mantienen los datos en la VPC es:
- Configurar un punto de conexión de VPN de cliente de AWS.
- Asociarlo a una subred en la VPC.
- Configurar un portal de autoservicio para el acceso VPN.
AWS Client VPN proporciona acceso seguro y privado desde cualquier ubicación.
Un portal de autoservicio facilita el acceso para los desarrolladores.
La Puerta de Enlace de Tránsito y la VPN son más complejas para usuarios individuales.
Direct Connect es costoso y excesivo para el acceso remoto.
Los hosts bastion requieren acceso SSH y son menos eficientes.

Procesar datos de sensores en tiempo real

Para procesar datos de sensores en tiempo real y enviar alertas inmediatas si se detectan anomalías, se puede usar:
- Amazon Kinesis Data Streams para transmitir datos.
- Lambda para analizar los datos.
- Amazon SNS para enviar alertas al equipo de administración.
Kinesis Data Streams es ideal para la transmisión en tiempo real.
Lambda procesa y analiza datos sin servidor.
SNS envía notificaciones inmediatas basadas en reglas.
IoT Core y Kinesis Analytics son más complejos de implementar.
MSK y Lambda tienen mayor complejidad.
Kinesis Data Firehose y EC2 no son adecuados para el análisis en tiempo real.

Studying That Suits You

Use AI to generate personalized quizzes and flashcards to suit your learning preferences.

Description

Este cuestionario cubre aspectos clave de la gestión de seguridad en AWS, incluyendo el bloqueo de compras de instancias reservadas, gestión de AMIs, configuración de clústeres de ECS y más. Aprenderás sobre las mejores prácticas para proteger datos y optimizar costos en servicios como DynamoDB y OpenSearch.