SAA-C03 · CHEAT SHEET

AWS Certified Solutions Architect - Associate

Conceptos clave agrupados según el peso oficial del examen.

Descargar en PDF (gratis, sin registro)

1. Design Secure Architectures

30–30%

Design secure access to AWS resources

Usa el usuario raíz solo para las tareas que lo requieren: protégelo con MFA resistente al phishing y varios dispositivos, no le crees claves de acceso y usa un correo de grupo. En AWS Organizations puedes centralizar el acceso raíz y eliminar sus credenciales de las cuentas miembro. Para exigir MFA en llamadas a la API, usa la condición aws:MultiFactorAuthPresent con credenciales temporales de STS.
Agrupa a los usuarios en grupos de IAM (no anidables y que no pueden ser Principal) y usa políticas administradas reutilizables en lugar de políticas insertadas uno a uno. Para que los permisos escalen sin editar políticas, aplica ABAC con etiquetas en principales y recursos. Para delegar la creación de roles, impón un límite de permisos que fije el máximo; las cargas en EC2 usan roles mediante perfiles de instancia.
Para el acceso entre cuentas, crea un rol en la cuenta que confía cuya política de confianza nombre la otra cuenta o principal, y concede a ese principal sts:AssumeRole; al cambiar de rol se dejan los permisos propios y se reciben credenciales temporales. A terceros que atienden a muchos clientes exígeles un ID externo para evitar el suplente confundido, y da a cada tarea de ECS su propio rol.
AWS Control Tower crea una zona de aterrizaje multicuenta, aprovisiona cuentas con Account Factory y aplica controles a las OU: preventivos (SCP, RCP), detectivos (reglas de AWS Config) y proactivos (enlaces de CloudFormation). Las SCP limitan a los principales de las cuentas miembro, incluido el usuario raíz, y las RCP limitan el acceso a sus recursos de principales externos; ninguna concede permisos ni afecta a la cuenta de administración.
Las políticas basadas en recursos (bucket de S3, cola de SQS, tema de SNS, función Lambda, clave de KMS) indican qué principales o servicios pueden usar el recurso. Usa aws:PrincipalOrgID para dar acceso a toda una organización y aws:SourceVpce para limitar un bucket a un punto de enlace. Entre cuentas hace falta un Allow en ambos lados, y una clave de KMS siempre necesita permiso en su política de clave.

Design secure workloads and applications

Los grupos de seguridad son el control principal: tienen estado, solo admiten reglas de permitir y pueden referenciar otros grupos. Las ACL de red actúan en la subred, no tienen estado (hay que permitir también las respuestas) y admiten reglas de denegar evaluadas por número. Un gateway NAT público en una subred pública da salida IPv4 a las subredes privadas sin permitir conexiones entrantes; para IPv6 se usa el gateway de solo salida.
Usa VPC separadas para aislar cargas de trabajo o unidades organizativas y subredes para separar las capas de una aplicación. El tipo de subred lo decide el enrutamiento: pública con ruta al gateway de internet, privada sin ella, solo VPN o aislada sin rutas fuera de la VPC. Cada subred vive en una sola AZ, los balanceadores llegan a destinos con IP privadas y los puntos de enlace de gateway dan acceso a S3 sin NAT.
AWS WAF filtra solicitudes HTTP(S) en CloudFront, ALB o API Gateway, por ejemplo contra inyección SQL; Shield Standard protege gratis frente a DDoS de red y transporte, y Shield Advanced añade mitigación en capa 7, equipo de respuesta y protección de costes. Secrets Manager sustituye credenciales escritas en el código y las rota. Macie descubre datos confidenciales en S3, GuardDuty detecta amenazas e Inspector, vulnerabilidades.
Site-to-Site VPN conecta redes locales con túneles IPsec (dos por conexión; añade un segundo gateway de cliente para redundancia) y Client VPN da acceso TLS a usuarios individuales. Direct Connect es un enlace dedicado que evita a los proveedores de internet, con interfaces privadas hacia la VPC y públicas hacia servicios como S3, pero no cifra por defecto: usa VPN de IP privada sobre él o MACsec punto a punto.

Determine appropriate data security controls

AWS Artifact ofrece informes de cumplimiento de AWS y permite aceptar acuerdos como el BAA para toda una organización. AWS Config registra el historial de configuración y, con paquetes de conformidad, despliega reglas y correcciones como una unidad; CloudTrail registra quién hizo cada acción y Amazon Macie detecta datos confidenciales en S3.
El cifrado predeterminado de EBS es un ajuste por región que cifra los volúmenes nuevos. En S3, SSE-KMS con clave administrada por el cliente permite controlar la política y compartir entre cuentas, y la S3 Bucket Key reduce las llamadas a KMS. EFS y RDS solo se cifran al crearse: se replica a un sistema nuevo o se restaura desde una copia cifrada de la instantánea.
Un agente de escucha HTTPS del ALB con un certificado de ACM termina TLS en el balanceador; si TLS debe descifrarse en los destinos, se usa un NLB con agente de escucha TCP en el puerto 443. En S3 se rechaza el tráfico sin cifrar con aws:SecureTransport, y en CloudFront se fuerza HTTPS con las políticas de protocolo del visor y del origen.
La política de clave es el control principal de una clave de KMS: si no habilita las políticas de IAM, estas no conceden acceso. Separa administradores (gestionan, no cifran) y usuarios (operaciones criptográficas). El acceso entre cuentas exige permiso en la política de clave y en IAM de la otra cuenta, y kms:ViaService limita el uso a un servicio concreto.
AWS Backup centraliza planes de copia de varios servicios y copia a otras regiones y cuentas de la organización; Vault Lock en modo de cumplimiento impide que nadie, ni el usuario raíz, borre las copias. La replicación de S3 exige control de versiones y copia solo objetos nuevos, salvo con S3 Batch Replication. La recuperación a un momento dado de DynamoDB restaura siempre a una tabla nueva.

2. Design Resilient Architectures

26–26%

Design scalable and loosely coupled architectures

El patrón de distribución SNS a SQS entrega una copia de cada evento a varias colas que cada consumidor procesa a su ritmo. Step Functions orquesta microservicios con reintentos, historial y esperas de aprobación; los flujos Standard admiten devoluciones de llamada largas. El ALB enruta por ruta a un grupo de destino por servicio, y S3 puede enviar eventos a SQS para que Lambda los procese.
El escalado horizontal requiere capas sin estado: las sesiones se guardan fuera, por ejemplo en ElastiCache o DynamoDB. Aurora Auto Scaling añade y retira réplicas de lectura, no la instancia de escritura. El escalado predictivo lanza capacidad antes de patrones diarios, y para consumidores de SQS se sigue el trabajo pendiente por instancia, no el número bruto de mensajes.
SQS desacopla componentes: las colas estándar entregan al menos una vez y las FIFO conservan el orden y procesan exactamente una vez. El tiempo de espera de visibilidad evita que otro consumidor procese un mensaje en curso, y la cola de mensajes fallidos aparta los que fallan. Amazon MQ sirve para migrar agentes ActiveMQ o RabbitMQ, y Transfer Family ofrece SFTP gestionado hacia S3.
Los contenedores encajan cuando se quiere empaquetar una aplicación con sus dependencias y escalarla por tareas. Amazon ECS en AWS Fargate evita gestionar servidores; ECS Managed Instances da acceso a GPU u otros tipos de instancia con la infraestructura gestionada por AWS; Amazon EKS conserva manifiestos y herramientas de Kubernetes sin refactorizar. Para estado compartido entre tareas se monta Amazon EFS.
Los patrones sin servidor encajan con cargas dirigidas por eventos o con tráfico irregular: S3 invoca Lambda al crear objetos, SQS absorbe picos y la concurrencia máxima de la asignación de origen de eventos protege los sistemas posteriores, Step Functions orquesta pasos y espera aprobaciones con tokens de tarea, y DynamoDB bajo demanda no cobra rendimiento sin tráfico.

Design highly available and/or fault-tolerant architectures

La integridad de la infraestructura se automatiza con infraestructura como código y controles continuos: la detección de desviaciones de CloudFormation localiza cambios hechos fuera de la plantilla, AWS Config corrige recursos no conformes con runbooks de Automation, las actualizaciones de instancias sustituyen instancias con una nueva AMI y los StackSets despliegan la misma pila en cuentas y regiones.
Para alta disponibilidad entre zonas se usan grupos de Auto Scaling en varias zonas detrás de un balanceador y RDS Multi-AZ con conmutación automática. Entre regiones, Route 53 con enrutamiento de conmutación por error y comprobaciones de estado, las bases de datos globales de Aurora para lecturas locales y recuperación regional, y las tablas globales de DynamoDB para escrituras en varias regiones.
Las métricas deben reflejar el requisito de negocio: percentiles como p99 de TargetResponseTime para objetivos de latencia, trabajos pendientes por instancia para escalar consumidores de SQS, canarios de CloudWatch Synthetics para comprobar recorridos de cliente sin tráfico real, X-Ray para localizar llamadas lentas y alarmas compuestas para reducir el ruido.
Para eliminar puntos únicos de fallo se duplica cada componente crítico: conexiones de Direct Connect en varias ubicaciones y dispositivos, los dos túneles de cada VPN y un segundo dispositivo de gateway de cliente, RDS Proxy para conservar conexiones durante una conmutación por error y réplicas con Multi-AZ en ElastiCache para conmutación automática.
La durabilidad se garantiza combinando copias y protección: restauración a un momento dado de RDS desde copias automatizadas, planes de AWS Backup con copia a otra región, AWS Backup Vault Lock en modo de conformidad para copias inmutables, y S3 Versioning con replicación entre regiones, más Batch Replication para los objetos que ya existían.

3. Design High-Performing Architectures

24–24%

Determine high-performing and/or scalable storage solutions

El rendimiento del almacenamiento depende del tipo y la configuración: io2 Block Express ofrece latencia constante inferior al milisegundo y la mayor durabilidad de EBS; FSx for Lustre da un sistema de archivos POSIX de alto rendimiento vinculado a S3; EFS con rendimiento Elastic absorbe picos impredecibles; y en S3, Transfer Acceleration y la carga multiparte aceleran las subidas.
Para crecer sin planificar capacidad conviene elegir servicios elásticos: Amazon S3 guarda cualquier cantidad de objetos y Amazon EFS crece y se reduce solo. Cuando hay volúmenes de EBS, Elastic Volumes permite ampliar tamaño, tipo o rendimiento sin desconectarlos, y en entornos híbridos S3 File Gateway ofrece recursos NFS y SMB locales con caché respaldados por S3.

Design high-performing and elastic compute solutions

Desacoplar significa que productores y consumidores no dependan entre sí: Amazon SQS guarda los mensajes hasta que un consumidor los procesa y borra; el patrón de SNS a varias colas SQS entrega una copia a cada servicio; las colas FIFO mantienen el orden y el procesamiento exactamente una vez por grupo; y las colas de mensajes fallidos apartan los mensajes que fallan repetidamente.
La métrica de escalado debe reflejar lo ocupada que está cada instancia y variar en proporción a la capacidad: ALBRequestCountPerTarget para solicitudes por instancia, mensajes pendientes por instancia para colas de SQS y escalado predictivo para patrones cíclicos. La supervisión detallada y el calentamiento predeterminado de instancias hacen que el escalado dinámico responda antes y sin excesos.
Elegir cómputo empieza por el perfil de la carga: instancias optimizadas para memoria en bases de datos en memoria, grupos de ubicación en clúster para HPC con mucho tráfico entre nodos, Amazon ECS con AWS Fargate para contenedores sin gestionar servidores, y AWS Batch con instancias de spot para trabajos por lotes que toleran interrupciones al menor coste.
En Lambda, la memoria es la palanca principal de rendimiento porque la CPU se asigna en proporción; el almacenamiento efímero fija el espacio de /tmp; la simultaneidad aprovisionada elimina arranques en frío y la reservada limita la simultaneidad para proteger recursos posteriores. AWS Compute Optimizer recomienda tamaños de EC2, Auto Scaling, Lambda y otros recursos a partir del uso real.

Determine high-performing database solutions

Las réplicas de lectura de RDS reciben los cambios de forma asíncrona, atienden lecturas y se pueden promover; pueden estar en otra región para acercar lecturas y mejorar la recuperación, pero RDS no las escala automáticamente. En Aurora, las réplicas comparten el volumen del clúster, se reparten con el punto de conexión de lector, escalan con Aurora Auto Scaling y se promueven según su prioridad.
Diseñar la base de datos empieza por el patrón de acceso: RDS Proxy agrupa y reutiliza conexiones ante picos; DMS Schema Conversion y AWS DMS con replicación continua permiten migraciones entre motores con poca parada; DAX da lecturas de microsegundos a DynamoDB sin apenas cambios; y Neptune o ElastiCache cubren datos muy conectados y acceso en memoria.
El motor se elige por compatibilidad y funciones: Babelfish permite que Aurora PostgreSQL acepte clientes y T-SQL de SQL Server con pocos cambios, Backtrack (solo Aurora MySQL) rebobina el mismo clúster en minutos y RDS Custom da acceso al sistema operativo para Oracle o SQL Server. Para cambiar de motor se convierte el esquema con DMS Schema Conversion y se mueven los datos con AWS DMS, con replicación continua.
El tipo de base de datos se elige según el modelo de datos y el patrón de acceso: DynamoDB para clave-valor sin servidor a cualquier escala (con tablas globales multiactivas entre regiones), Neptune para datos muy conectados, MemoryDB como base de datos principal en memoria y duradera, y Aurora Serverless para cargas relacionales imprevisibles. En Aurora Global Database solo escribe el clúster principal.
La carga diferida solo guarda en caché lo que se pide, pero puede servir datos obsoletos; write-through actualiza la caché en cada escritura y un TTL hace caducar las claves. DAX es la caché de DynamoDB compatible con su API para lecturas de microsegundos; ElastiCache con Valkey o Redis OSS ofrece tipos complejos y replicación, y Memcached solo tipos simples.

Determine high-performing and/or scalable network architectures

En varios niveles, el balanceador va en subredes públicas y los servidores en subredes privadas de al menos dos zonas. En híbrido, una gateway de Direct Connect lleva una VIF privada a VPC de cualquier región, y una VPN sobre una VIF pública añade IPsec con una red más constante. En global, Global Accelerator da IP estáticas anycast para TCP y UDP, y CloudFront almacena contenido en caché en el borde.
Para crecer sin rehacer la red se asocian bloques CIDR secundarios que no se solapen (un CIDR existente no se puede redimensionar) y se planifican los rangos con Amazon VPC IPAM. A gran escala, Transit Gateway, compartida con AWS RAM, sustituye a las mallas de emparejamiento, que no son transitivas, y PrivateLink expone servicios a muchas VPC aunque sus rangos se solapen.
Los grupos de ubicación en clúster dan baja latencia y alto rendimiento dentro de una zona; los de particiones separan grupos de instancias por racks para cargas distribuidas como Cassandra, y los distribuidos aíslan pocas instancias críticas. Para acercar recursos a los usuarios: zonas locales cerca de grandes ciudades, Wavelength en el borde de las redes 5G y Outposts en las instalaciones del cliente.
Application Load Balancer trabaja en la capa 7 con HTTP y HTTPS: enruta por ruta o host y puede autenticar usuarios con OIDC o Cognito en agentes HTTPS. Network Load Balancer trabaja en la capa 4 con TCP, UDP y TLS, soporta millones de solicitudes por segundo y ofrece IP estáticas por subred. Gateway Load Balancer inserta y escala dispositivos virtuales como firewalls de forma transparente.

Determine high-performing data ingestion and transformation solutions

Un lago de datos en S3 se cataloga con rastreadores de AWS Glue y se consulta sin servidor con Athena; los formatos columnares como Parquet y las particiones reducen los datos analizados. Lake Formation centraliza permisos detallados por fila, columna y celda en Athena, Amazon Quick y otros servicios, y SSE-KMS con una clave administrada por el cliente permite controlar y auditar el uso de las claves.
Kinesis Data Streams recoge datos en tiempo real para varias aplicaciones, y la distribución ramificada mejorada da a cada una rendimiento de lectura dedicado. Amazon Data Firehose entrega streaming a destinos como S3 sin escribir consumidores y puede convertir JSON a Parquet. Managed Service for Apache Flink procesa secuencias en tiempo real, y Amazon MSK ejecuta Kafka sin cambios de código, con MSK Serverless sin gestionar capacidad.
DataSync migra por red datos de NFS, SMB, HDFS u objetos hacia S3, EFS o FSx con cifrado y validación de integridad. S3 File Gateway ofrece recursos NFS o SMB respaldados por S3 con caché local, y Volume Gateway, volúmenes iSCSI. Transfer Family da SFTP, FTPS, FTP y AS2 administrados hacia S3 o EFS, y Transfer Acceleration más la carga multiparte aceleran subidas grandes desde lejos.
Amazon Quick Sight (antes QuickSight) crea paneles de BI sobre Athena y otros orígenes; SPICE guarda los datos en memoria para que las consultas sean rápidas y no se pague cada consulta, y la seguridad de nivel de fila filtra datos por usuario. Para registros indexados se usa OpenSearch Dashboards, incluido en cada dominio, y para métricas operativas Amazon Managed Grafana.
Amazon EMR ejecuta Spark, Hive y Hadoop en clústeres; EMR Serverless hace lo mismo sin clústeres que operar. En EMR sobre EC2, los nodos de tareas no guardan HDFS y son los candidatos a instancias de spot, y el escalado administrado ajusta el tamaño a la carga. AWS Glue ofrece ETL de Spark sin servidor, Managed Service for Apache Flink procesa flujos con estado y Lambda sirve para tareas cortas.

4. Design Cost-Optimized Architectures

20–20%

Design cost-optimized storage solutions

S3 cobra cada solicitud, así que agrupar muchos registros pequeños en menos objetos grandes (por ejemplo, con el búfer de Firehose) abarata la ingesta, y al archivar en Glacier conviene empaquetar archivos pequeños por la sobrecarga de metadatos por objeto. Los objetos grandes se suben con carga multiparte, y con pago por solicitante quien descarga paga solicitudes y transferencia.
Dimensionar bien el almacenamiento evita pagar capacidad vacía: gp3 aprovisiona IOPS y caudal con independencia del tamaño, st1 sirve para E/S secuencial frecuente y sc1 para datos fríos. Elastic Volumes amplía un volumen de EBS sin detener la instancia, pero no lo reduce. En FSx for ONTAP se aprovisiona SSD para los datos activos y el grupo de capacidad crece solo.
La entrada de datos a S3 desde internet no se cobra, mientras que Transfer Acceleration añade cargos. Desde una VPC, un punto de enlace de tipo gateway llega a S3 sin NAT y sin coste adicional. DataSync copia desde NFS, SMB, HDFS u otras nubes, puede enviar solo lo modificado y escribir directamente en la clase de almacenamiento de S3 elegida.
Hay almacenamiento que crece solo (volumen de clúster de Aurora, Amazon EFS, grupo de capacidad de FSx for ONTAP) y almacenamiento aprovisionado que necesita escalado. En RDS se activa el escalado automático de almacenamiento, que nunca supera el umbral máximo fijado; en FSx for Windows, AWS ofrece una plantilla de CloudFormation que amplía la capacidad ante una alarma de espacio libre.
Las reglas de ciclo de vida de S3 pasan objetos a clases más baratas siguiendo un modelo en cascada y los hacen caducar al final de su vida útil, con filtros por prefijo, etiquetas o tamaño. En buckets con versiones, NoncurrentVersionExpiration limpia las versiones antiguas y AbortIncompleteMultipartUpload elimina partes de cargas sin terminar. Hay que tener en cuenta las duraciones mínimas de cada clase.

Design cost-optimized compute solutions

El Application Load Balancer trabaja en capa 7 con HTTP y HTTPS: enruta por ruta, host, cabeceras o consulta y admite destinos Lambda, lo que permite consolidar varias aplicaciones en un balanceador. El Network Load Balancer trabaja en capa 4 (TCP, UDP, TLS) con IP estáticas o elásticas por subred. El Gateway Load Balancer inserta y escala dispositivos virtuales de terceros de forma transparente.
El escalado horizontal con Auto Scaling añade o quita instancias sin parar el servicio, mientras que el vertical exige detener la instancia para cambiar su tipo. Hay políticas de seguimiento de destino, por pasos, programadas y predictivas, estas para patrones cíclicos. La hibernación guarda la RAM en EBS y no cobra la instancia mientras está detenida; los warm pools mantienen instancias preinicializadas paradas o hibernadas.
Lambda ejecuta código por eventos sin servidores y se paga por uso, ideal para cargas intermitentes. Fargate ejecuta contenedores de ECS sin administrar instancias, y Fargate Spot abarata tareas tolerantes a interrupciones. EC2 da control total; para ahorrar se combinan Spot (trabajo interrumpible), Savings Plans (Compute, flexible entre familias, regiones, Fargate y Lambda) y reservas.
Producción suele requerir varias zonas de disponibilidad (Auto Scaling repartido, RDS Multi-AZ); pasar a multirregión sin necesidad es un antipatrón. Los entornos que no son de producción pueden usar una sola zona y apagarse fuera de horario con Instance Scheduler on AWS o con acciones programadas de Auto Scaling. Las reservas de capacidad bajo demanda garantizan capacidad en una zona sin compromiso de plazo.
Cada categoría de EC2 equilibra recursos distintos: uso general (equilibrado, con instancias ampliables para CPU baja o moderada), optimizadas para computación (cargas limitadas por CPU como transcodificación o servidores de juego), para memoria (bases de datos en memoria), para almacenamiento (IOPS aleatorias altas en disco local), computación acelerada (GPU y otros aceleradores) y HPC.

Design cost-optimized database solutions

Las copias automatizadas de RDS y Aurora permiten restaurar a cualquier momento del periodo de retención, y la recuperación a un momento dado de DynamoDB ofrece copias continuas sin programar nada. Para retenciones largas, un plan de AWS Backup define frecuencia y ciclo de vida, y algunos recursos, como DynamoDB con funciones avanzadas, pueden pasar a almacenamiento en frío más barato.
Elegir motor es elegir compatibilidad y licencias: Aurora es compatible con MySQL y PostgreSQL y evita licencias comerciales, Babelfish permite que aplicaciones de SQL Server usen Aurora PostgreSQL con pocos cambios, y extensiones como PostGIS solo existen en PostgreSQL. En SQL Server y Oracle, el modelo de licencia (incluida o propia) y la edición, como Express o Developer para pruebas, deciden gran parte del coste.
DynamoDB bajo demanda cobra por solicitud y no exige planificar capacidad, mientras que el modo aprovisionado con capacidad reservada abarata cargas constantes y predecibles. Aurora Serverless ajusta la capacidad a la demanda y puede pausarse a 0 ACU en entornos inactivos. Para bases de datos relacionales, RDS Proxy agrupa conexiones y ElastiCache descarga las lecturas repetidas sin ampliar la instancia.
Cada tipo de datos tiene su base de datos específica: Timestream para series temporales, Neptune para grafos, Keyspaces para cargas de Cassandra y Redshift para análisis. El almacenamiento por columnas de Redshift, o de Parquet y ORC en S3 consultados con Athena, reduce la E/S en consultas que leen pocas columnas de muchas filas, mientras que el almacenamiento por filas conviene a OLTP.
Para cambiar de motor, DMS Schema Conversion (o AWS SCT) convierte el esquema y el código, y AWS DMS migra los datos con carga completa y replicación continua. Entre motores iguales, las migraciones homogéneas de DMS usan herramientas nativas sin servidor; de RDS for MySQL a Aurora MySQL se recomienda una réplica de lectura de Aurora, y para cambiar de región, una réplica entre regiones que luego se promueve.

Design cost-optimized network architectures

Una puerta de enlace NAT zonal vive en una sola zona: compartir una es más barato pero se pierde internet si cae su zona, y poner una por zona da resiliencia y evita tráfico entre zonas. La NAT regional se extiende sola por las zonas sin subredes públicas, la NAT privada conecta con otras redes sin internet y, para IPv6, la puerta de enlace de solo salida no tiene cargo propio.
Site-to-Site VPN crea túneles IPsec cifrados sobre internet y es la opción económica para poco tráfico o como respaldo de Direct Connect. Direct Connect usa una conexión privada que puede reducir costes y dar un rendimiento más constante con mucho tráfico, pero no cifra por defecto: se combina con VPN o MACsec. Client VPN da acceso remoto cifrado a usuarios individuales.
La transferencia entre zonas de una región se cobra en ambos sentidos y la transferencia entre regiones se cobra a la salida de la región de origen, así que conviene mantener el tráfico intenso en la misma zona y región. Los puntos de enlace de puerta de enlace para S3 y DynamoDB evitan la NAT sin cargo adicional, la interconexión de VPC es la opción más barata entre pocas VPC y Global Accelerator da IP estáticas anycast para TCP y UDP.
CloudFront sirve el contenido desde la ubicación perimetral de menor latencia y solo acude al origen cuando no lo tiene en caché, lo que reduce la carga y la transferencia desde el origen. Para subir la proporción de aciertos conviene un max-age largo y una clave de caché solo con los valores que cambian la respuesta; Origin Shield agrupa solicitudes al origen y CloudFront Functions resuelve tareas ligeras en el borde.
Para revisar una carga de red, los registros de flujo de VPC muestran qué orígenes y destinos generan el tráfico, y Cost Explorer desglosa el gasto por grupos de tipo de uso, como transferencia entre zonas o entre regiones, y por cuenta. Las etiquetas de asignación de costes y AWS Budgets reparten y vigilan el gasto por equipo, y Trusted Advisor detecta puertas de enlace NAT inactivas e IP elásticas sin asociar.

Practicar esta certificación