Marco de Arquitectura de Experto en la Nube de AWS

--- name: aws-cloud-expert description: | Diseña e implementa arquitecturas cloud AWS con enfoque en el Framework Well-Architected, optimización de costos y seguridad. Úsalo cuando: 1. Diseñes o revises arquitecturas de infraestructura AWS 2. Migres cargas de trabajo a AWS o entre servicios AWS 3. Optimices costos AWS (right-sizing, Reserved Instances, Savings Plans) 4. Implementes seguridad, cumplimiento o recuperación ante desastres en AWS 5. Soluciones problemas de servicios AWS o de rendimiento --- **Región**: ${region:us-east-1} **Región Secundaria**: ${secondary_region:us-west-2} **Entorno**: ${environment:production} **CIDR VPC**: ${vpc_cidr:10.0.0.0/16} **Tipo de Instancia**: ${instance_type:t3.medium} # Marco de Decisión de Arquitectura AWS ## Matriz de Selección de Servicios | Tipo de Carga de Trabajo | Servicio Principal | Alternativa | Factor de Decisión | |---------------|-----------------|-------------|-----------------| | API sin estado | Lambda + API Gateway | ECS Fargate | Duración de solicitud >15min -> ECS | | Aplicación web con estado | ECS/EKS | EC2 Auto Scaling | Experiencia en contenedores -> ECS/EKS | | Procesamiento por lotes | Step Functions + Lambda | AWS Batch | GPU/larga duración -> Batch | | Streaming en tiempo real | Kinesis Data Streams | MSK (Kafka) | Kafka existente -> MSK | | Sitio web estático | S3 + CloudFront | Amplify | Full-stack -> Amplify | | Base de datos relacional | Aurora | RDS | Alta disponibilidad -> Aurora | | Almacén clave-valor | DynamoDB | ElastiCache | Latencia sub-ms -> ElastiCache | | Almacén de datos | Redshift | Athena | Consultas ad-hoc -> Athena | ## Árbol de Decisión de Cómputo ``` Inicio: ¿Cuál es tu patrón de carga de trabajo? | +-> Orientado a eventos, ejecución Lambda | Considera: Memoria ${lambda_memory:512}MB, ejecuciones concurrentes, cold starts | +-> Contenedores de larga duración | +-> ¿Necesitas Kubernetes? | +-> Sí: EKS (gestionado) o K8s autogestionado en EC2 | +-> No: ECS Fargate (serverless) o ECS EC2 (optimización de costos) | +-> GPU/HPC/AMI personalizada requerida | +-> EC2 con la familia de instancias adecuada | g4dn/p4d (ML), c6i (cómputo), r6i (memoria), i3en (almacenamiento) | +-> Trabajos por lotes, basados en colas +-> AWS Batch con instancias Spot (hasta 90% de ahorro) ``` ## Arquitectura de Red ### Patrón de Diseño VPC ``` VPC ${environment:production} (${vpc_cidr:10.0.0.0/16}) | +-- Subredes Públicas (${public_subnet_cidr:10.0.0.0/24}, 10.0.1.0/24, 10.0.2.0/24) | +-- ALB, NAT Gateways, Bastion (si es necesario) | +-- Subredes Privadas (${private_subnet_cidr:10.0.10.0/24}, 10.0.11.0/24, 10.0.12.0/24) | +-- Capa de aplicación (ECS, EC2, Lambda VPC) | +-- Subredes de Datos (${data_subnet_cidr:10.0.20.0/24}, 10.0.21.0/24, 10.0.22.0/24) +-- RDS, ElastiCache, otros almacenes de datos ``` ### Reglas de Grupos de Seguridad | Capa | Entrada Desde | Puertos | |------|--------------|-------| | ALB | 0.0.0.0/0 | 443 | | App | SG del ALB | ${app_port:8080} | | Datos | SG de la App | ${db_port:5432} | ### VPC Endpoints (Optimización de Costos) Crea siempre para servicios de alto tráfico: - S3 Gateway Endpoint (gratuito) - DynamoDB Gateway Endpoint (gratuito) - Interface Endpoints: ECR, Secrets Manager, SSM, CloudWatch Logs ## Lista de Verificación de Optimización de Costos ### Acciones Inmediatas (Semana 1) - [ ] Habilita Cost Explorer y configura presupuestos con alertas - [ ] Revisa y termina recursos no utilizados (informe de recursos inactivos de Cost Explorer) - [ ] Redimensiona instancias EC2 (recomendaciones de AWS Compute Optimizer) - [ ] Elimina volúmenes EBS no adjuntos y snapshots antiguos - [ ] Revisa los cargos de procesamiento de datos de NAT Gateway ### Referencia Rápida de Estimación de Costos | Recurso | Estimación de Costo Mensual | |----------|----------------------| | ${instance_type:t3.medium} (on-demand) | ~$30 | | ${instance_type:t3.medium} (1yr RI) | ~$18 | | Lambda (1M invocaciones, 1s, ${lambda_memory:512}MB) | ~$8 | | RDS db.${instance_type:t3.medium} (Multi-AZ) | ~$100 | | Aurora Serverless v2 (${aurora_acu:8} ACU promedio) | ~$350 | | NAT Gateway + 100GB de datos | ~$50 | | S3 (1TB Standard) | ~$23 | | CloudFront (1TB de transferencia) | ~$85 | ## Implementación de Seguridad ### Mejores Prácticas de IAM ``` Principio: Privilegio mínimo con denegación explícita 1. Usa roles IAM (no usuarios) para aplicaciones 2. Requiere MFA para todos los usuarios humanos 3. Usa límites de permisos para administración delegada 4. Implementa SCPs a nivel de Organización 5. Revisiones regulares de acceso con IAM Access Analyzer ``` ### Ejemplo de Patrón de Política IAM ```json { "Version": "2012-10-17", "Statement": [ { "Sid": "AllowS3BucketAccess", "Effect": "Allow", "Action": ["s3:GetObject", "s3:PutObject"], "Resource": "arn:aws:s3:::${bucket_name:my-bucket}/*", "Condition": { "StringEquals": {"aws:PrincipalTag/Environment": "${environment:production}"} } } ] } ``` ### Lista de Verificación de Seguridad - [ ] Habilita CloudTrail en todas las regiones con validación de archivos de registro - [ ] Configura reglas de AWS Config para monitoreo de cumplimiento - [ ] Habilita GuardDuty para detección de amenazas - [ ] Usa Secrets Manager o Parameter Store para secretos (no variables de entorno) - [ ] Habilita cifrado en reposo para todos los almacenes de datos - [ ] Exige TLS 1.2+ para todas las conexiones - [ ] Implementa VPC Flow Logs para monitoreo de red - [ ] Usa Security Hub para una vista de seguridad centralizada ## Patrones de Alta Disponibilidad ### Arquitectura Multi-AZ (objetivo ${availability_target:99.99%}) ``` Región: ${region:us-east-1} | +-- AZ-a +-- AZ-b +-- AZ-c | | | ALB (activo) ALB (activo) ALB (activo) | | | Tareas ECS (${replicas_per_az:2}) Tareas ECS (${replicas_per_az:2}) Tareas ECS (${replicas_per_az:2}) | | | Aurora Writer Aurora Reader Aurora Reader ``` ### Arquitectura Multi-Región (objetivo 99.999%) ``` Principal: ${region:us-east-1} Secundaria: ${secondary_region:us-west-2} | | Route 53 (enrutamiento por failover) Route 53 (health checks) | | CloudFront CloudFront | | Stack completo Stack completo (pasivo o activo) | | Aurora Global Database -------> Aurora Read Replica (replicación asíncrona) ``` ### Matriz de Decisión RTO/RPO | Nivel | Objetivo RTO | Objetivo RPO | Estrategia | |------|------------|------------|----------| | Nivel 1 (Crítico) | <${rto:15 min} | <${rpo:1 min} | Multi-región activo-activo | | Nivel 2 (Importante) | <1 hora | <15 min | Multi-región activo-pasivo | | Nivel 3 (Estándar) | <4 horas | <1 hora | Multi-AZ con copia de seguridad entre regiones | | Nivel 4 (No crítico) | <24 horas | <24 horas | Región única, copia de seguridad/restauración | ## Monitoreo y Observabilidad ### Implementación de CloudWatch | Tipo de Métrica | Servicio | Métricas Clave | |-------------|---------|-------------| | Cómputo | EC2/ECS | CPUUtilization, MemoryUtilization, NetworkIn/Out | | Base de datos | RDS/Aurora | DatabaseConnections, ReadLatency, WriteLatency | | Serverless | Lambda | Duration, Errors, Throttles, ConcurrentExecutions | | API | API Gateway | 4XXError, 5XXError, Latency, Count | | Almacenamiento | S3 | BucketSizeBytes, NumberOfObjects, 4xxErrors | ### Umbrales de Alertas | Recurso | Advertencia | Crítico | Acción | |----------|---------|----------|--------| | CPU EC2 | >${cpu_warning:70%} 5min | >${cpu_critical:90%} 5min | Escalar horizontalmente, investigar | | CPU RDS | >${rds_cpu_warning:80%} 5min | >${rds_cpu_critical:95%} 5min | Escalar verticalmente, optimizar consultas | | Errores Lambda | >1% | >5% | Investigar, revertir | | 5xx ALB | >0.1% | >1% | Investigar backend | | Throttle DynamoDB | Cualquiera | Sostenido | Aumentar capacidad | ## Lista de Verificación de Verificación ### Antes del Lanzamiento a Producción - [ ] Revisión Well-Architected completada (los 6 pilares) - [ ] Pruebas de carga completadas con pico esperado + 50% de margen - [ ] Recuperación ante desastres probada con RTO/RPO documentados - [ ] Evaluación de seguridad aprobada (prueba de penetración si es requerida) - [ ] Controles de cumplimiento verificados (si aplica) - [ ] Dashboards de monitoreo y alertas configurados - [ ] Runbooks documentados para operaciones comunes - [ ] Proyección de costos validada y presupuestos establecidos - [ ] Estrategia de etiquetado implementada para todos los recursos - [ ] Procedimientos de copia de seguridad y restauración probados

Marco de Arquitectura de Experto en la Nube de AWS

Contenido del PromptGuardar

Uso

Referencias

Discusión