Curso AWS Cloud Practitioner CLF-C02

En AWS no basta con desplegar servicios y esperar que todo funcione. Una plataforma cloud necesita observabilidad, auditoría y gobierno. Para el examen AWS Certified Cloud Practitioner CLF-C02, una de las diferencias más importantes que debes dominar es cuándo usar Amazon CloudWatch, cuándo usar AWS CloudTrail y cuándo usar AWS Config.

Estos tres servicios suelen aparecer juntos en preguntas de seguridad y cumplimiento, pero no hacen lo mismo. CloudWatch se centra en el estado operativo de los recursos. CloudTrail se centra en la actividad realizada en la cuenta. AWS Config se centra en la configuración de los recursos y en si cumplen reglas definidas.

1. Qué espera AWS que sepas en CLF-C02

El examen no te pedirá configurar dashboards complejos ni escribir reglas avanzadas. Lo que sí debes saber es reconocer el servicio correcto en escenarios como estos:

• Una instancia EC2 supera el 80% de CPU y quieres una alarma.
• Un auditor pregunta quién eliminó un bucket o cambió una política IAM.
• Seguridad quiere detectar Security Groups abiertos a Internet.
• Operaciones necesita ver logs de aplicación o métricas de infraestructura.
• Compliance necesita comprobar si los recursos cumplen una regla.
• Un equipo quiere reaccionar automáticamente ante un evento de AWS.

2. Comparativa esencial: CloudWatch, CloudTrail y AWS Config

3. Amazon CloudWatch: monitorización y observabilidad

Amazon CloudWatch es el servicio principal de AWS para monitorización y observabilidad. Recopila métricas, centraliza logs, permite crear alarmas y ayuda a entender el comportamiento operativo de aplicaciones e infraestructura.

CloudWatch aparece en preguntas cuando el escenario habla de rendimiento, salud del sistema, métricas, logs, umbrales, alarmas o eventos operativos.

Qué puedes hacer con CloudWatch

• Ver métricas de servicios como EC2, RDS, Lambda, DynamoDB o ELB.
• Crear alarmas cuando una métrica supera o baja de un umbral.
• Enviar notificaciones cuando se dispara una alarma.
• Centralizar logs mediante CloudWatch Logs.
• Crear dashboards operativos.
• Analizar comportamiento de aplicaciones y recursos.

4. Métricas de CloudWatch

Una métrica es un dato medible en el tiempo. Por ejemplo, porcentaje de CPU, número de errores, latencia, uso de disco, invocaciones de Lambda o peticiones a un balanceador.

En CLF-C02, las métricas de CloudWatch suelen aparecer con frases como:

• “Enviar una alerta si la CPU supera el 80%”.
• “Monitorizar la latencia de una aplicación”.
• “Ver el número de errores 5xx de un balanceador”.
• “Crear un dashboard con métricas de rendimiento”.

5. Alarmas de CloudWatch

Una alarma de CloudWatch observa una métrica y cambia de estado cuando se cumple una condición. Por ejemplo, CPU mayor que 80% durante cinco minutos. Una alarma puede notificar mediante Amazon SNS o iniciar acciones automatizadas, según el caso.

6. CloudWatch Logs

CloudWatch Logs permite recopilar, almacenar y consultar logs de aplicaciones, sistemas y servicios. Por ejemplo, logs de una función Lambda, logs de una aplicación en EC2 o logs enviados por agentes.

En preguntas básicas, si aparece “centralizar logs”, “buscar errores en logs” o “retener logs de aplicación”, CloudWatch Logs suele ser una respuesta fuerte.

7. CloudWatch Dashboards

Los dashboards permiten crear vistas visuales con métricas y gráficos. Son útiles para equipos de operaciones, soporte y arquitectura. Para CLF-C02, asócialos con visualización operativa y seguimiento de salud del sistema.

8. CloudWatch no es lo mismo que CloudTrail

Esta confusión es muy común. CloudWatch puede guardar logs, pero eso no significa que sea el servicio principal de auditoría de llamadas API. CloudTrail es el servicio diseñado para registrar la actividad de la cuenta y las llamadas API.

9. AWS CloudTrail: auditoría de actividad en la cuenta

AWS CloudTrail registra llamadas API y actividad de cuenta. Cuando alguien crea, modifica o elimina un recurso mediante consola, CLI, SDK o API, CloudTrail puede registrar ese evento.

En CLF-C02, CloudTrail suele ser la respuesta cuando se pregunta:

• Quién hizo una acción.
• Cuándo se realizó una acción.
• Desde qué origen se hizo una llamada API.
• Qué usuario, rol o servicio ejecutó una operación.
• Cómo investigar un cambio administrativo.
• Cómo aportar evidencia de actividad para auditoría.

10. Ejemplos claros de CloudTrail

• Un usuario eliminó una tabla DynamoDB y quieres saber quién fue.
• Alguien modificó una política IAM y necesitas investigar.
• Una Security Group se abrió a 0.0.0.0/0 y quieres ver qué identidad realizó el cambio.
• Un auditor solicita trazabilidad de acciones administrativas.
• Quieres registrar actividad de API en la cuenta para análisis posterior.

11. CloudTrail Events y trails

A nivel básico, debes saber que CloudTrail registra eventos de actividad. Un trail permite entregar eventos a un bucket de Amazon S3 para retención, análisis o auditoría a largo plazo.

No necesitas configurar trails en detalle para CLF-C02, pero sí reconocer que CloudTrail es clave para trazabilidad y que puede conservar historial de actividad.

12. AWS Config: configuración, historial y cumplimiento

AWS Config registra la configuración de recursos AWS, guarda historial de cambios y permite evaluar recursos frente a reglas. Su foco no es rendimiento ni actividad API, sino estado de configuración y cumplimiento.

En CLF-C02, AWS Config suele aparecer cuando el escenario menciona:

• Detectar recursos no conformes.
• Evaluar si los buckets S3 tienen cifrado habilitado.
• Comprobar si Security Groups están abiertos de forma insegura.
• Ver cómo ha cambiado la configuración de un recurso.
• Guardar historial de configuración.
• Aplicar reglas de compliance continuo.

13. AWS Config Rules

Las reglas de AWS Config permiten evaluar si los recursos cumplen condiciones. Por ejemplo, comprobar que los volúmenes EBS estén cifrados, que los buckets S3 no sean públicos o que determinadas etiquetas existan.

Para CLF-C02, no necesitas crear reglas, pero debes asociarlas con gobierno, cumplimiento y evaluación de configuración.

14. AWS Config frente a CloudTrail

Ambos servicios pueden ayudar en auditoría, pero desde ángulos distintos:

• CloudTrail: actividad. Quién hizo qué acción.
• AWS Config: estado. Cómo está configurado el recurso y si cumple reglas.

15. Gobierno en AWS: por qué estos servicios importan

El gobierno cloud consiste en aplicar control, visibilidad y reglas para que el entorno sea seguro, trazable y alineado con políticas de la organización. CloudWatch, CloudTrail y AWS Config son piezas fundamentales para ese gobierno.

Una organización puede usar:

• CloudWatch para detectar problemas operativos.
• CloudTrail para auditar acciones.
• AWS Config para evaluar cumplimiento.
• Organizations y SCP para limitar acciones entre cuentas.
• Security Hub para agregar hallazgos de seguridad.
• EventBridge para reaccionar ante eventos.

16. Amazon EventBridge en este contexto

Amazon EventBridge puede aparecer junto a estos servicios porque permite crear reglas basadas en eventos y disparar acciones. Por ejemplo, ante un evento de CloudTrail o un cambio detectado, se podría iniciar una automatización.

Para CLF-C02, basta con recordar que EventBridge se asocia a eventos, reglas y automatización basada en eventos. No sustituye a CloudWatch, CloudTrail ni Config; puede integrarse con ellos.

17. CloudWatch Events y EventBridge

En documentación y preguntas antiguas puedes ver referencias a CloudWatch Events. Actualmente, Amazon EventBridge es el servicio principal para patrones de eventos más amplios. Para el examen, si la pregunta habla de enrutar eventos o reaccionar ante eventos de servicios AWS, EventBridge es una opción habitual.

18. Ejemplos prácticos para alumnos base

Piensa en una tienda online desplegada en AWS:

• Quieres saber si la web responde lenta: CloudWatch.
• Quieres recibir una alerta si los errores aumentan: CloudWatch Alarm.
• Quieres revisar logs de aplicación: CloudWatch Logs.
• Quieres saber quién cambió permisos IAM: CloudTrail.
• Quieres comprobar si los buckets S3 cumplen cifrado obligatorio: AWS Config.
• Quieres ejecutar una acción cuando se detecta un cambio: EventBridge con automatización.

19. Relación con seguridad y cumplimiento

Estos servicios son muy importantes en el Dominio 2 · Seguridad y cumplimiento porque ayudan a generar evidencia, detectar desviaciones y operar con control.

Por ejemplo:

• CloudTrail ayuda a demostrar actividad administrativa ante auditorías.
• AWS Config ayuda a demostrar si los recursos cumplen políticas internas.
• CloudWatch ayuda a detectar incidentes operativos y comportamientos anómalos.

20. Comparativa de servicios relacionados

21. Escenarios típicos de examen

22. Errores típicos

• Elegir CloudWatch cuando el requisito principal es saber quién hizo una acción.
• Elegir CloudTrail para crear alarmas de CPU o latencia.
• Confundir CloudWatch Logs con CloudTrail porque ambos pueden almacenar registros.
• Elegir AWS Config para métricas de rendimiento.
• Pensar que AWS Config bloquea automáticamente cualquier cambio. Su función principal es registrar y evaluar configuración; la remediación puede requerir automatización adicional.
• Olvidar que CloudTrail es clave para auditoría y evidencia de actividad de cuenta.
• Olvidar que estos servicios se complementan y pueden usarse juntos.
• Confundir AWS Budgets con CloudWatch Alarms: Budgets alerta sobre costes y uso presupuestario; CloudWatch alerta sobre métricas operativas.

23. Cómo razonar preguntas tipo examen

Cuando leas una pregunta, busca la palabra clave:

• Métricas, CPU, latencia, logs, dashboards, alarmas: CloudWatch.
• Quién, cuándo, API, auditoría, actividad de cuenta: CloudTrail.
• Configuración, cambios de recurso, compliance, reglas: AWS Config.
• Eventos, reglas, automatización basada en eventos: EventBridge.
• Hallazgos de seguridad agregados: Security Hub.

Resumen final

CloudWatch, CloudTrail y AWS Config son tres servicios fundamentales para operar y gobernar AWS. CloudWatch ayuda a observar métricas, logs y alarmas. CloudTrail registra actividad de cuenta y llamadas API, por lo que es clave para auditoría. AWS Config registra configuración, historial y cumplimiento frente a reglas.

Para aprobar CLF-C02, recuerda la diferencia principal: si la pregunta trata de rendimiento o logs, piensa en CloudWatch; si trata de quién hizo una acción, piensa en CloudTrail; si trata de configuración o cumplimiento, piensa en AWS Config.