CertifyDeckCargando contenido…
El temario oficial de AWS Certified Solutions Architect - Associate, organizado por dominio. Marca cada punto según lo vayas repasando.
Inicia sesión para guardar tu progreso entre sesiones.
Design secure access to AWS resources
Usa el usuario raíz solo para las tareas que lo requieren: protégelo con MFA resistente al phishing y varios dispositivos, no le crees claves de acceso y usa un correo de grupo. En AWS Organizations puedes centralizar el acceso raíz y eliminar sus credenciales de las cuentas miembro. Para exigir MFA en llamadas a la API, usa la condición aws:MultiFactorAuthPresent con credenciales temporales de STS.
Root user best practices for your AWS account ↗Secure API access with MFA ↗
Agrupa a los usuarios en grupos de IAM (no anidables y que no pueden ser Principal) y usa políticas administradas reutilizables en lugar de políticas insertadas uno a uno. Para que los permisos escalen sin editar políticas, aplica ABAC con etiquetas en principales y recursos. Para delegar la creación de roles, impón un límite de permisos que fije el máximo; las cargas en EC2 usan roles mediante perfiles de instancia.
Define permissions based on attributes with ABAC authorization ↗Permissions boundaries for IAM entities ↗
Para el acceso entre cuentas, crea un rol en la cuenta que confía cuya política de confianza nombre la otra cuenta o principal, y concede a ese principal sts:AssumeRole; al cambiar de rol se dejan los permisos propios y se reciben credenciales temporales. A terceros que atienden a muchos clientes exígeles un ID externo para evitar el suplente confundido, y da a cada tarea de ECS su propio rol.
Access for an IAM user in another AWS account that you own ↗Access to AWS accounts owned by third parties ↗
AWS Control Tower crea una zona de aterrizaje multicuenta, aprovisiona cuentas con Account Factory y aplica controles a las OU: preventivos (SCP, RCP), detectivos (reglas de AWS Config) y proactivos (enlaces de CloudFormation). Las SCP limitan a los principales de las cuentas miembro, incluido el usuario raíz, y las RCP limitan el acceso a sus recursos de principales externos; ninguna concede permisos ni afecta a la cuenta de administración.
Control behavior and guidance ↗Service control policies (SCPs) ↗
Las políticas basadas en recursos (bucket de S3, cola de SQS, tema de SNS, función Lambda, clave de KMS) indican qué principales o servicios pueden usar el recurso. Usa aws:PrincipalOrgID para dar acceso a toda una organización y aws:SourceVpce para limitar un bucket a un punto de enlace. Entre cuentas hace falta un Allow en ambos lados, y una clave de KMS siempre necesita permiso en su política de clave.
Cross account resource access in IAM ↗Key policies in AWS KMS ↗
Federa el directorio en lugar de crear usuarios de IAM: con SAML 2.0 los empleados asumen roles con AssumeRoleWithSAML, y en entornos multicuenta IAM Identity Center usa Active Directory (vía AD Connector o AWS Managed Microsoft AD) como origen de identidades. Los atributos del directorio pueden pasar como etiquetas de sesión para ABAC, y los usuarios de aplicaciones móviles obtienen credenciales temporales con grupos de identidades de Cognito.
Design secure workloads and applications
Los grupos de seguridad son el control principal: tienen estado, solo admiten reglas de permitir y pueden referenciar otros grupos. Las ACL de red actúan en la subred, no tienen estado (hay que permitir también las respuestas) y admiten reglas de denegar evaluadas por número. Un gateway NAT público en una subred pública da salida IPv4 a las subredes privadas sin permitir conexiones entrantes; para IPv6 se usa el gateway de solo salida.
Usa VPC separadas para aislar cargas de trabajo o unidades organizativas y subredes para separar las capas de una aplicación. El tipo de subred lo decide el enrutamiento: pública con ruta al gateway de internet, privada sin ella, solo VPN o aislada sin rutas fuera de la VPC. Cada subred vive en una sola AZ, los balanceadores llegan a destinos con IP privadas y los puntos de enlace de gateway dan acceso a S3 sin NAT.
Subnets for your VPC ↗Infrastructure security in Amazon VPC ↗
AWS WAF filtra solicitudes HTTP(S) en CloudFront, ALB o API Gateway, por ejemplo contra inyección SQL; Shield Standard protege gratis frente a DDoS de red y transporte, y Shield Advanced añade mitigación en capa 7, equipo de respuesta y protección de costes. Secrets Manager sustituye credenciales escritas en el código y las rota. Macie descubre datos confidenciales en S3, GuardDuty detecta amenazas e Inspector, vulnerabilidades.
AWS Shield Advanced capabilities and options ↗What is AWS Secrets Manager? ↗
Site-to-Site VPN conecta redes locales con túneles IPsec (dos por conexión; añade un segundo gateway de cliente para redundancia) y Client VPN da acceso TLS a usuarios individuales. Direct Connect es un enlace dedicado que evita a los proveedores de internet, con interfaces privadas hacia la VPC y públicas hacia servicios como S3, pero no cifra por defecto: usa VPN de IP privada sobre él o MACsec punto a punto.
Encryption in AWS Direct Connect ↗What is AWS Site-to-Site VPN? ↗
Determine appropriate data security controls
AWS Artifact ofrece informes de cumplimiento de AWS y permite aceptar acuerdos como el BAA para toda una organización. AWS Config registra el historial de configuración y, con paquetes de conformidad, despliega reglas y correcciones como una unidad; CloudTrail registra quién hizo cada acción y Amazon Macie detecta datos confidenciales en S3.
Managing agreements in AWS Artifact ↗Conformance Packs for AWS Config ↗
El cifrado predeterminado de EBS es un ajuste por región que cifra los volúmenes nuevos. En S3, SSE-KMS con clave administrada por el cliente permite controlar la política y compartir entre cuentas, y la S3 Bucket Key reduce las llamadas a KMS. EFS y RDS solo se cifran al crearse: se replica a un sistema nuevo o se restaura desde una copia cifrada de la instantánea.
Encrypting Amazon RDS resources ↗Reducing the cost of SSE-KMS with Amazon S3 Bucket Keys ↗
Un agente de escucha HTTPS del ALB con un certificado de ACM termina TLS en el balanceador; si TLS debe descifrarse en los destinos, se usa un NLB con agente de escucha TCP en el puerto 443. En S3 se rechaza el tráfico sin cifrar con aws:SecureTransport, y en CloudFront se fuerza HTTPS con las políticas de protocolo del visor y del origen.
Listeners for your Network Load Balancers ↗Use HTTPS with CloudFront ↗
La política de clave es el control principal de una clave de KMS: si no habilita las políticas de IAM, estas no conceden acceso. Separa administradores (gestionan, no cifran) y usuarios (operaciones criptográficas). El acceso entre cuentas exige permiso en la política de clave y en IAM de la otra cuenta, y kms:ViaService limita el uso a un servicio concreto.
Default key policy - AWS KMS ↗Allowing users in other accounts to use a KMS key ↗
AWS Backup centraliza planes de copia de varios servicios y copia a otras regiones y cuentas de la organización; Vault Lock en modo de cumplimiento impide que nadie, ni el usuario raíz, borre las copias. La replicación de S3 exige control de versiones y copia solo objetos nuevos, salvo con S3 Batch Replication. La recuperación a un momento dado de DynamoDB restaura siempre a una tabla nueva.
S3 Lifecycle mueve objetos entre clases de almacenamiento y los elimina al caducar. Object Lock en modo de cumplimiento impide borrar o sobrescribir, incluso al usuario raíz; el modo de gobierno admite excepciones. Block Public Access y Object Ownership con Bucket owner enforced controlan el acceso en S3, y Lake Formation filtra columnas y filas del lago de datos.
Locking objects with Object Lock ↗Data filtering and cell-level security in Lake Formation ↗
La rotación automática de KMS genera material de clave nuevo sin cambiar la clave lógica y descifra los datos antiguos con su material original. ACM renueva solo los certificados que emite, de forma automática con validación por DNS; los importados se vigilan con eventos de EventBridge y se reimportan. Secrets Manager rota credenciales de bases de datos que la aplicación lee en tiempo de ejecución.
Rotate AWS KMS keys ↗Managed certificate renewal in AWS Certificate Manager ↗
Practica por dominio oficial y revisa la explicación de cada respuesta.
Empezar a practicar