Guía AWS Cloud Practitioner CLF-C02

AWS Organizations es uno de esos servicios que al principio parece “solo para empresas grandes”, pero en realidad representa una idea muy importante en AWS: no deberías meterlo todo en una única cuenta si quieres trabajar de forma segura, ordenada y controlada.

Para la certificación AWS Certified Cloud Practitioner CLF-C02 no necesitas saber configurar una organización completa desde cero, pero sí debes entender para qué sirve, cuándo aparece en el examen y qué diferencia hay entre una cuenta AWS, una unidad organizativa, una SCP, la facturación consolidada y AWS Control Tower.

Objetivos de aprendizaje

1. Qué problema resuelve AWS Organizations

Imagina una empresa que empieza usando AWS con una sola cuenta. Al principio todo parece sencillo: una cuenta, una factura, unos usuarios y varios servicios desplegados. Pero con el tiempo empiezan los problemas:

• Producción y desarrollo están mezclados.
• No queda claro qué equipo genera cada coste.
• Un error en pruebas puede afectar a recursos críticos.
• Todos los administradores tienen demasiado acceso.
• No hay una forma sencilla de aplicar reglas comunes a varias cuentas.
• Seguridad quiere controlar regiones o servicios permitidos.
• Finanzas quiere una visión centralizada de gasto.

AWS Organizations aparece para poner orden. Permite agrupar y gestionar varias cuentas AWS bajo una misma organización. Con esto puedes separar entornos, aplicar límites, centralizar facturación y construir una base más profesional.

2. La cuenta AWS como frontera de aislamiento

Una cuenta AWS no es simplemente “un login”. En AWS, una cuenta funciona como una frontera importante de aislamiento. Dentro de una cuenta viven recursos, identidades, permisos, facturación, límites y configuraciones.

Separar cuentas ayuda a evitar que todo esté mezclado. Por ejemplo, una empresa puede tener:

• Una cuenta para producción.
• Una cuenta para desarrollo.
• Una cuenta para pruebas.
• Una cuenta para seguridad.
• Una cuenta para logs centralizados.
• Una cuenta para red compartida.
• Cuentas separadas por departamento o país.

Esto reduce riesgos. Si alguien comete un error en una cuenta de desarrollo, ese error no debería afectar directamente a producción. También facilita ver costes por cuenta y aplicar reglas diferentes según la criticidad del entorno.

3. Por qué no meter todo en una sola cuenta

Para aprender está bien usar una cuenta única. Para una empresa real, no suele ser buena idea. Una única cuenta para todo puede acabar siendo difícil de proteger y de auditar.

Separar por cuentas permite:

• Mejor seguridad: cada entorno tiene sus propios límites.
• Mejor control de costes: es más fácil saber qué cuenta consume más.
• Menos impacto ante errores: desarrollo no afecta directamente a producción.
• Gobierno más sencillo: puedes aplicar restricciones por grupos de cuentas.
• Cumplimiento: ciertos datos o workloads pueden necesitar estar separados.

4. Cuenta de administración y cuentas miembro

Dentro de AWS Organizations existe una cuenta de administración, conocida como management account. Esta cuenta crea y administra la organización. Desde ella se gestionan cuentas, invitaciones, OUs, políticas y facturación consolidada.

Las demás cuentas son cuentas miembro. Por ejemplo, una cuenta de producción, una cuenta de desarrollo o una cuenta de seguridad.

La cuenta de administración es sensible. No debería usarse para desplegar aplicaciones normales. Es mejor reservarla para tareas de gobierno, administración y facturación.

5. Qué son las Organizational Units, OUs

Una Organizational Unit, o OU, es una agrupación lógica de cuentas dentro de AWS Organizations. Puedes pensar en una OU como una carpeta donde metes cuentas que comparten una finalidad o unas reglas comunes.

Ejemplos típicos:

• OU de producción.
• OU de desarrollo.
• OU de seguridad.
• OU de sandbox o laboratorios.
• OU por país o filial.
• OU por unidad de negocio.

La ventaja de las OUs es que puedes aplicar políticas a varias cuentas a la vez. Por ejemplo, las cuentas de producción pueden tener restricciones más fuertes que las cuentas de laboratorio.

6. Ejemplo sencillo de estructura multi-cuenta

Una estructura básica podría ser:

No necesitas memorizar esta estructura exacta para CLF-C02, pero sí entender la lógica: separar, controlar, medir y gobernar.

7. Facturación consolidada

Una de las funciones más fáciles de reconocer en el examen es consolidated billing, o facturación consolidada.

Permite que una organización tenga varias cuentas AWS, pero reciba una facturación centralizada. Esto ayuda al equipo financiero a ver el gasto global, analizar costes por cuenta y simplificar pagos.

Importante: facturación consolidada no significa que todos los recursos se mezclen en una cuenta. Las cuentas siguen separadas. Lo que se centraliza es la vista financiera y la factura.

8. Qué son las Service Control Policies, SCP

Las Service Control Policies, o SCP, son políticas que establecen límites máximos de permisos para cuentas dentro de una organización.

Esta es la frase que debes grabarte para el examen:

Es decir, aunque un usuario, grupo o rol tenga una política IAM que permita una acción, si una SCP bloquea esa acción, no se podrá realizar.

9. IAM concede, SCP limita

Esta diferencia es fundamental. IAM y SCP no hacen lo mismo.

Una forma sencilla de recordarlo:

• IAM responde: ¿esta identidad tiene permiso?
• SCP responde: aunque tenga permiso, ¿la organización permite hacerlo?

10. Ejemplo claro de SCP

Imagina que un administrador tiene permisos IAM para crear instancias EC2. Sin embargo, su cuenta pertenece a una OU donde hay una SCP que bloquea el uso de EC2 en una región concreta.

Resultado: aunque IAM permita lanzar EC2, la acción falla porque la SCP lo impide.

11. Para qué se usan las SCP

Las SCP suelen utilizarse para aplicar límites globales en una organización. Algunos ejemplos:

• Bloquear regiones que la empresa no quiere usar.
• Impedir el uso de servicios no aprobados.
• Evitar que cuentas de laboratorio creen recursos caros.
• Proteger cuentas críticas de acciones peligrosas.
• Impedir que se desactive CloudTrail.
• Impedir que se borren buckets de logs centralizados.

Esto no sustituye a una buena configuración de IAM, pero añade una capa de gobierno muy útil para entornos multi-cuenta.

12. SCP y deny explícito

Si una SCP contiene una denegación explícita sobre una acción, esa acción queda bloqueada para las cuentas afectadas. Aunque una política IAM permita esa acción, el límite superior de la organización prevalece.

Para CLF-C02 no necesitas escribir una SCP en JSON. Lo importante es entender el comportamiento:

• Las SCP afectan a cuentas dentro de AWS Organizations.
• Las SCP pueden aplicarse a la organización, a una OU o a cuentas concretas.
• Las SCP no dan permisos por sí solas.
• Las SCP reducen el conjunto de permisos posibles.

13. AWS Control Tower

AWS Control Tower ayuda a crear y gobernar un entorno multi-cuenta siguiendo buenas prácticas. En el examen puede aparecer asociado a la idea de landing zone.

Una landing zone es una base inicial bien organizada para empezar a trabajar en AWS: cuentas, seguridad, logging, identidad, gobierno y controles. Control Tower ayuda a crear esa base de una forma más guiada.

14. AWS Organizations frente a Control Tower

Control Tower se apoya en AWS Organizations, pero no son exactamente lo mismo. Organizations es el servicio base de gestión multi-cuenta. Control Tower es una capa guiada para construir y gobernar esa base con buenas prácticas.

15. Relación con IAM Identity Center

Cuando una empresa tiene muchas cuentas, también necesita que los usuarios puedan acceder de forma centralizada. Aquí aparece IAM Identity Center, antes conocido como AWS SSO.

IAM Identity Center ayuda a gestionar acceso de usuarios humanos a múltiples cuentas AWS mediante Single Sign-On. No organiza cuentas como AWS Organizations, sino que facilita el acceso a ellas.

16. Organizations y gobierno de seguridad

AWS Organizations suele combinarse con otros servicios de seguridad y gobierno. Por ejemplo:

• CloudTrail: para registrar actividad de API.
• AWS Config: para evaluar configuración y cumplimiento.
• Security Hub: para centralizar hallazgos de seguridad.
• GuardDuty: para detección de amenazas.
• IAM Identity Center: para acceso centralizado de usuarios.
• Control Tower: para landing zone y gobierno inicial.

En CLF-C02 normalmente no te pedirán diseñar todo esto en detalle. Pero sí debes reconocer que AWS Organizations es una pieza clave cuando se habla de gobierno multi-cuenta.

17. Comparativa rápida para examen

18. Errores típicos

• Pensar que una SCP concede permisos. Error clásico. Las SCP no conceden permisos, solo limitan.
• Confundir SCP con IAM policies. IAM trabaja con identidades dentro de una cuenta; SCP trabaja a nivel organización, OU o cuenta.
• Creer que consolidated billing mezcla todos los recursos. La factura se centraliza, pero las cuentas siguen separadas.
• Usar una sola cuenta para todo. En empresas reales, separar cuentas ayuda a seguridad, costes y gobierno.
• Confundir OU con grupo IAM. Una OU agrupa cuentas. Un grupo IAM agrupa usuarios dentro de una cuenta.
• Confundir Organizations con Control Tower. Organizations gestiona cuentas. Control Tower ayuda a crear una landing zone gobernada.
• Olvidar la cuenta de administración. Es una cuenta sensible y debe protegerse especialmente.

19. Cómo razonar preguntas CLF-C02

Cuando veas una pregunta de este tema, busca las palabras clave:

• Muchas cuentas AWS: AWS Organizations.
• Una factura central: consolidated billing.
• Departamentos, entornos o unidades: OUs.
• Bloquear servicios o regiones: SCP.
• Landing zone: AWS Control Tower.
• Permisos de usuarios, grupos, roles o servicios: IAM.
• Acceso SSO a varias cuentas: IAM Identity Center.

Resumen final

AWS Organizations sirve para gestionar varias cuentas AWS de forma centralizada. Las cuentas ayudan a separar entornos y responsabilidades. Las OUs agrupan cuentas para aplicar políticas comunes. La facturación consolidada centraliza el billing sin mezclar recursos. Las SCP limitan el máximo de permisos disponibles, pero no conceden permisos. AWS Control Tower ayuda a crear una landing zone multi-cuenta con buenas prácticas.

Para CLF-C02, quédate con esta frase: IAM concede permisos, SCP limita permisos y AWS Organizations gobierna varias cuentas.