Guía AWS Cloud Practitioner CLF-C02

El modelo de responsabilidad compartida es uno de los conceptos más importantes de AWS Cloud Practitioner CLF-C02. Si lo entiendes bien, vas a ganar muchas preguntas de seguridad, cumplimiento, IAM, cifrado, EC2, S3, RDS y servicios gestionados.

La idea no es memorizar una frase bonita. La idea es entender quién se encarga de cada parte cuando trabajas en AWS. En cloud, AWS no lo hace todo por ti, pero tampoco eres responsable de todo como en un datacenter tradicional. Hay una línea de separación.

Dicho de forma sencilla: AWS protege la infraestructura que permite que la nube exista. Tú proteges lo que creas, configuras, subes, ejecutas y permites dentro de esa nube.

Objetivos de aprendizaje

1. Qué significa realmente responsabilidad compartida

Antes de cloud, si una empresa tenía su propio datacenter, normalmente era responsable de casi todo: edificio, racks, electricidad, refrigeración, servidores, discos, red física, sistema operativo, aplicaciones, datos, usuarios y backups.

Con AWS, una parte de esas responsabilidades pasa a AWS. Por ejemplo, ya no tienes que comprar servidores físicos, cambiar discos, mantener el sistema eléctrico del datacenter o proteger físicamente las salas donde están los equipos. Eso lo gestiona AWS.

Pero hay otra parte que sigue siendo tuya. Si creas un bucket S3 público por error, si das permisos de administrador a todo el mundo, si subes datos sensibles sin control, si no proteges tus credenciales o si configuras mal una instancia EC2, eso no es culpa del datacenter de AWS. Es una responsabilidad del cliente.

2. Seguridad de la nube frente a seguridad en la nube

Esta es la diferencia que más aparece en el examen:

En inglés lo verás como security of the cloud y security in the cloud. Para CLF-C02 debes entenderlo aunque la pregunta venga con palabras distintas.

3. Qué suele ser responsabilidad de AWS

AWS se encarga de operar, mantener y proteger la infraestructura global que soporta sus servicios. Esto incluye elementos que tú no ves directamente, pero que son necesarios para que EC2, S3, RDS, Lambda y el resto de servicios funcionen.

Normalmente, AWS es responsable de:

• La seguridad física de los datacenters.
• El control de acceso físico a las instalaciones.
• El hardware físico de servidores, almacenamiento y red.
• La energía eléctrica, refrigeración y protección de instalaciones.
• La infraestructura global: regiones, zonas de disponibilidad y edge locations.
• La capa de virtualización que soporta servicios como EC2.
• La disponibilidad y operación de los servicios gestionados de AWS según su diseño.

4. Qué suele ser responsabilidad del cliente

El cliente es responsable de lo que decide desplegar y configurar. AWS te da servicios potentes, pero tú decides cómo usarlos. Esa decisión tiene impacto directo en seguridad.

Normalmente, el cliente es responsable de:

• Sus datos y su clasificación.
• Los permisos IAM.
• La configuración de usuarios, roles, políticas y MFA.
• La configuración de buckets S3, bases de datos, redes y firewalls.
• El cifrado cuando debe habilitarse o configurarse.
• El sistema operativo invitado en EC2.
• Los parches del sistema operativo en EC2.
• Las aplicaciones desplegadas en la nube.
• La protección de claves de acceso, contraseñas y secretos.
• La arquitectura elegida: alta disponibilidad, backups, red, segmentación y exposición pública.

5. La responsabilidad cambia según el servicio

Una de las partes más importantes para CLF-C02 es entender que la responsabilidad del cliente no es siempre igual. Depende del tipo de servicio.

En servicios más “manuales”, como EC2, el cliente tiene más responsabilidad operativa. En servicios más gestionados, como RDS, S3 o Lambda, AWS asume más tareas de infraestructura, pero el cliente sigue teniendo responsabilidades sobre datos, acceso y configuración.

6. EC2: donde el cliente tiene más responsabilidad

Amazon EC2 te da máquinas virtuales. Como tienes mucho control, también tienes más responsabilidad. AWS se encarga de la infraestructura física y de la virtualización, pero tú debes administrar lo que ocurre dentro de la instancia.

En EC2, el cliente suele encargarse de:

• Elegir la AMI adecuada.
• Actualizar y parchear el sistema operativo.
• Configurar el firewall del sistema operativo.
• Instalar y mantener aplicaciones.
• Proteger claves SSH o credenciales.
• Configurar Security Groups y NACLs correctamente.
• Gestionar backups y recuperación.
• Proteger los datos almacenados en volúmenes.

7. S3: AWS gestiona el servicio, tú configuras el acceso

Amazon S3 es un servicio gestionado. No tienes que administrar discos, servidores ni cabinas de almacenamiento. AWS se encarga de la infraestructura que hace funcionar S3.

Pero el cliente decide cosas muy importantes:

• Qué datos sube.
• Quién puede acceder al bucket.
• Si el bucket permite acceso público o no.
• Qué políticas se aplican.
• Si se usa cifrado.
• Qué reglas de ciclo de vida se configuran.
• Si se activa versioning u Object Lock.

8. RDS: base de datos gestionada, pero no magia

Amazon RDS reduce bastante carga operativa. AWS gestiona muchas tareas de infraestructura y del motor de base de datos, según el servicio y la configuración. Pero el cliente sigue siendo responsable de cómo usa esa base de datos.

En RDS, AWS suele asumir más tareas que en una base de datos instalada manualmente en EC2. Aun así, el cliente mantiene responsabilidades como:

• Definir usuarios y permisos de base de datos.
• Configurar acceso de red.
• Elegir parámetros y opciones.
• Proteger datos.
• Decidir cifrado.
• Configurar backups y retención cuando aplique.
• Diseñar alta disponibilidad si la necesita.

El examen puede jugar con esto. No confundas “servicio gestionado” con “el cliente ya no hace nada”.

9. Lambda y serverless: menos servidores, pero sigue habiendo responsabilidad

Con AWS Lambda no administras servidores. No eliges un sistema operativo, no parcheas una instancia EC2 y no dimensionas máquinas virtuales. AWS gestiona la infraestructura de ejecución.

Pero tú sigues siendo responsable de:

• El código que ejecuta la función.
• El rol IAM asociado.
• Los permisos que das a la función.
• Las variables de entorno.
• Los eventos que disparan la función.
• Las dependencias y librerías que incluyes.
• Los datos que procesa.

10. IAM siempre es responsabilidad del cliente

IAM aparece constantemente en seguridad. AWS proporciona el servicio IAM, pero el cliente decide cómo configurarlo.

El cliente debe encargarse de:

• Crear usuarios, grupos y roles cuando corresponda.
• Aplicar el principio de mínimo privilegio.
• Activar MFA en identidades críticas.
• Proteger el usuario root.
• No guardar claves de acceso en código.
• Rotar credenciales cuando sea necesario.
• Usar roles en lugar de claves permanentes siempre que sea posible.

11. Cifrado: depende del servicio y de la configuración

El cifrado también puede aparecer en preguntas del modelo compartido. AWS ofrece servicios como KMS, opciones de cifrado en S3, EBS, RDS y otros servicios. Pero el cliente debe entender cuándo activar, configurar y controlar el cifrado.

En general:

• AWS proporciona capacidades de cifrado.
• El cliente decide cómo proteger sus datos.
• El cliente controla permisos de claves y acceso.
• El cliente debe clasificar datos sensibles.
• El cliente debe evitar exponer secretos o credenciales.

Si una pregunta dice “¿quién es responsable de clasificar los datos del cliente?”, la respuesta es el cliente. AWS no sabe por defecto si un documento contiene datos públicos, internos o sensibles.

12. Red y firewalls: reparto de responsabilidades

AWS gestiona la red física global, pero el cliente configura muchas partes de red lógica dentro de su entorno.

Por ejemplo, AWS se encarga de la infraestructura de red física. El cliente se encarga de configurar elementos como:

• VPC.
• Subredes públicas y privadas.
• Tablas de rutas.
• Internet Gateway y NAT Gateway.
• Security Groups.
• NACLs.
• Exposición pública o privada de recursos.

Si una instancia queda expuesta a Internet por una mala regla de Security Group, el problema es de configuración del cliente.

13. Comparativa para razonar rápido

14. Cómo cambia la responsabilidad según el nivel de abstracción

Una forma útil de verlo es pensar en niveles:

• Infraestructura como servicio, IaaS: más control para el cliente, más responsabilidad. Ejemplo típico: EC2.
• Servicios gestionados: AWS asume más operación, el cliente sigue gestionando datos, acceso y configuración. Ejemplo: RDS o S3.
• Serverless: AWS gestiona servidores y capacidad, pero el cliente sigue gestionando código, eventos, permisos y datos. Ejemplo: Lambda.

Cuanto más gestionado es el servicio, menos tareas de infraestructura hace el cliente. Pero seguridad y configuración no desaparecen.

15. Ejemplos tipo examen

16. Relación con cumplimiento

El modelo de responsabilidad compartida también afecta al cumplimiento. AWS puede tener certificaciones, controles y documentación de compliance, pero eso no significa que cualquier aplicación que subas a AWS sea automáticamente conforme.

Por ejemplo, AWS puede proporcionar servicios y evidencias, pero el cliente debe:

• Configurar controles adecuados.
• Proteger datos sensibles.
• Gestionar accesos.
• Definir retención de datos.
• Configurar logging.
• Usar cifrado si aplica.
• Diseñar procesos internos.

En CLF-C02 puede aparecer una pregunta del estilo: “AWS cumple ciertos estándares, ¿significa que el cliente ya cumple automáticamente?”. La respuesta es no. El cliente debe usar y configurar AWS correctamente.

17. Servicios que ayudan al cliente a cumplir su parte

AWS ofrece muchos servicios para ayudar al cliente a cumplir sus responsabilidades. No significa que AWS haga automáticamente todo por ti, sino que te da herramientas para hacerlo bien.

18. Errores típicos

• Creer que AWS se encarga de toda la seguridad. AWS protege la nube, pero el cliente protege lo que usa dentro de la nube.
• Olvidar EC2. En EC2, el cliente debe administrar el sistema operativo invitado y sus parches.
• Pensar que serverless elimina toda responsabilidad. Lambda reduce administración de servidores, pero el cliente sigue gestionando código, permisos y datos.
• Confundir soporte técnico con responsabilidad compartida. Que AWS tenga soporte no significa que configure tus permisos por ti.
• Asumir que compliance es automático. AWS puede tener certificaciones, pero el cliente debe configurar su entorno correctamente.
• No diferenciar S3 servicio frente a S3 configuración. AWS opera S3, el cliente decide permisos, datos y configuración.
• Olvidar IAM. La gestión de identidades y permisos es responsabilidad del cliente.

19. Método rápido para contestar preguntas

Cuando leas una pregunta del examen, identifica la palabra clave:

• Datacenter, hardware, energía, refrigeración: AWS.
• Virtualización física o infraestructura global: AWS.
• Datos del cliente: cliente.
• Permisos IAM: cliente.
• Sistema operativo de EC2: cliente.
• Aplicación o código: cliente.
• Configuración de S3, VPC, Security Groups: cliente.
• Servidores subyacentes de Lambda: AWS.
• Código de Lambda: cliente.

Resumen final

El modelo de responsabilidad compartida separa claramente qué protege AWS y qué debe proteger el cliente. AWS se encarga de la infraestructura física, datacenters, hardware, red física y operación de los servicios cloud. El cliente se encarga de sus datos, permisos, identidades, configuración, aplicaciones y decisiones de seguridad dentro de AWS.

Para el examen CLF-C02, quédate con esta idea: AWS protege la nube; tú proteges lo que haces en la nube. Y recuerda que la responsabilidad cambia según el servicio: en EC2 gestionas más; en S3, RDS y Lambda AWS asume más operación, pero tú sigues siendo responsable de datos, accesos y configuración.