Las 45 diferencias del CLF‑C02

Dónde se confunde: Las dos suenan a rapidez, y en un escenario de lanzamiento aparecen juntas.

AWS enumera seis ventajas de la nube. «Aumentar la velocidad y la agilidad» habla de tener recursos nuevos en minutos para experimentar más. «Dejar de adivinar la capacidad» habla de subirla o bajarla según la demanda real, que es la elasticidad. La alta disponibilidad responde a otra pregunta: que el servicio siga en línea aunque falle una parte.

Beneficios

Dónde se confunde: Las dos terminan en «sale más barato», así que parecen la misma ventaja.

Cambiar gasto fijo por variable significa no invertir por adelantado en centros de datos y servidores, y pagar solo cuando se consume. Las economías de escala vienen de que AWS suma el uso de cientos de miles de clientes. Con ese volumen cobra un precio por uso más bajo del que lograría una empresa por su cuenta.

Economía de la nube

Dónde se confunde: Varios pilares suenan a «que todo funcione bien». Apagar recursos que sobran ahorra dinero y energía a la vez, así que costos y sostenibilidad también se cruzan.

La herramienta AWS Well-Architected mide una carga de trabajo contra las buenas prácticas del marco y da recomendaciones para mejorarla.

Well-Architected

Dónde se confunde: Las dos listas se parecen, y «gobernanza» aparece como perspectiva y también dentro del ESG.

El marco de adopción de la nube de AWS (AWS CAF) agrupa en seis perspectivas las capacidades que una organización necesita para adoptar la nube; cada perspectiva tiene sus propios responsables. Los resultados son lo que la transformación entrega al negocio: menor riesgo, mejor desempeño ambiental, social y de gobernanza (ESG), más ingresos y más eficiencia operativa.

Adopción de la nube

Dónde se confunde: Rehost, relocate y replatform suenan igual: mover la aplicación a la nube.

Para migraciones grandes, AWS recomienda rehost, replatform o relocate, y dejar el rediseño para después de migrar, porque refactor es la estrategia más compleja.

Migración

Dónde se confunde: En los dos casos el software termina funcionando en AWS, así que la diferencia parece solo contable.

Con licencia incluida, el precio del servicio ya trae la licencia del software; por ejemplo, Oracle Database Standard Edition 2 en Amazon RDS, que también admite BYOL. Con BYOL (Bring Your Own License), la empresa usa licencias que ya compró. Algunas licencias se cuentan por socket o por núcleo físico, y los hosts dedicados permiten usarlas.

Economía de la nube

Dónde se confunde: Los dos ajustan la capacidad al uso para no pagar de más.

El dimensionamiento correcto (rightsizing) elige el tipo y el tamaño de instancia que corresponden al uso real, al menor costo. Es una revisión continua. AWS Compute Optimizer da recomendaciones de este tipo. El escalado automático agrega o quita instancias según la demanda, sin cambiarles el tamaño.

Economía de la nube

Dónde se confunde: «Seguridad de la nube» y «seguridad en la nube» se leen casi igual.

AWS responde por la seguridad de la nube: la infraestructura de hardware, software, red e instalaciones que corre todos sus servicios. El cliente responde por la seguridad en la nube: sus datos, sus accesos, su configuración y, según el servicio, el sistema operativo y las aplicaciones.

Responsabilidad compartida

Dónde se confunde: El modelo se aprende como una línea fija, pero la línea se mueve según el servicio.

Mientras más abstracto es el servicio, más capas opera AWS. Los datos, las opciones de cifrado y los permisos de AWS Identity and Access Management (IAM) siempre quedan del lado del cliente.

Responsabilidad compartida

Dónde se confunde: «Compartido» suena a que AWS y el cliente hacen juntos la misma tarea.

Un control heredado lo cumple AWS por completo y el cliente lo recibe tal cual, como los controles físicos y ambientales. En un control compartido cada parte lo implementa en su capa: AWS parcha su infraestructura y el cliente parcha su sistema operativo invitado y sus aplicaciones; AWS capacita a su personal y el cliente al suyo. Los controles específicos del cliente, como separar datos en zonas de seguridad, son solo suyos.

Responsabilidad compartida

Dónde se confunde: Los tres registran algo, y la guía los pone juntos en la misma habilidad de gobernanza y cumplimiento.

Un cambio de configuración deja rastro en los dos últimos: CloudTrail guarda quién hizo la llamada y Config, si está grabando ese tipo de recurso, guarda cómo quedó.

Monitoreo y auditoría

Dónde se confunde: Los dos aparecen cuando el enunciado dice «cumplimiento».

AWS Artifact es el portal para descargar los documentos de cumplimiento de AWS, como los reportes SOC y PCI y las certificaciones ISO. Ahí también se aceptan acuerdos con AWS. Sirve para mostrarle a un auditor lo que AWS cumple de su lado. AWS Config revisa si los recursos del cliente cumplen las reglas que el cliente define.

Cumplimiento

Dónde se confunde: Todos buscan problemas de seguridad, y sus nombres no dicen qué buscan.

Inspector revisa el software instalado. GuardDuty analiza registros de actividad de la cuenta, de la red y de DNS.

Protección

Dónde se confunde: Los tres se presentan como protección del perímetro, y WAF y Shield suelen ir juntos.

AWS Shield Standard protege contra los ataques de denegación de servicio distribuido (DDoS) más comunes, sin costo adicional y sin configurarlo. Shield Advanced es de pago y agrega protección y ayuda especializada. AWS WAF filtra peticiones HTTP y HTTPS con reglas, por ejemplo contra inyección SQL y secuencias de comandos entre sitios (XSS). AWS Firewall Manager administra esas reglas de forma central en las cuentas de AWS Organizations.

Protección

Dónde se confunde: Todo suena a guardar algo secreto.

Otros servicios de AWS, como S3 y EBS, se integran con KMS para cifrar sus datos con claves de KMS.

Cifrado y secretos

Dónde se confunde: Las dos se llaman cifrado y muchos servicios ofrecen ambas.

El cifrado en tránsito protege los datos mientras viajan entre sistemas, con protocolos de cifrado como TLS. El cifrado en reposo protege los datos almacenados; en AWS se puede hacer con claves de AWS KMS.

Cifrado y secretos

Dónde se confunde: Los dos reciben políticas de permisos, así que parecen dos formas de lo mismo.

Un usuario de IAM es una identidad con credenciales de largo plazo: contraseña para la consola o claves de acceso para la línea de comandos (CLI) y los kits de desarrollo (SDK). Un rol no tiene credenciales de largo plazo; quien lo asume recibe credenciales temporales. Se usa para dar permisos a servicios, a otras cuentas o a identidades federadas.

Identidad y acceso

Dónde se confunde: Los tres autentican usuarios.

IAM Identity Center antes se llamaba AWS Single Sign-On, y ese nombre sigue apareciendo en material de estudio.

Identidad y acceso

Dónde se confunde: Las dos se escriben en JSON y hablan de permitir y negar acciones.

Las políticas de control de servicios (SCP) de AWS Organizations fijan el máximo de permisos para los usuarios y roles de las cuentas miembro, incluido su usuario raíz. Por sí mismas no otorgan nada. No afectan a la cuenta de administración. Para hacer una acción, una política de IAM tiene que permitirla y las SCP de cada nivel sobre la cuenta también: basta un nivel que no la permita para bloquearla.

Identidad y acceso

Dónde se confunde: Como el usuario raíz puede hacer todo, parece la identidad natural para administrar.

AWS recomienda no usar el usuario raíz en el día a día, protegerlo con autenticación multifactor (MFA) y reservarlo para lo que lo exige. Eso incluye devolverle permisos a un administrador de IAM que se quitó los suyos. En una cuenta que no pertenece a AWS Organizations, también incluye cambiar el correo, la contraseña y las claves de acceso del usuario raíz, y cerrar la cuenta.

Identidad y acceso

Dónde se confunde: Quien estudió otros temarios busca «pública, privada e híbrida» y no encuentra esos nombres en las opciones.

La guía del CLF-C02 nombra tres modelos de implementación: en la nube, híbrido y en las instalaciones (on-premises). En la nube, la aplicación corre por completo ahí. El híbrido conecta recursos de la nube con los que siguen fuera de ella. En las instalaciones, que AWS a veces llama nube privada, la infraestructura vive en el centro de datos propio.

Implementación

Dónde se confunde: Todo se puede hacer desde la consola, así que parece la respuesta segura.

La consola de administración es para tareas puntuales con interfaz visual. La CLI, los SDK y las API, que son las interfaces que usan los programas, permiten automatizar. Con infraestructura como código, como AWS CloudFormation, el entorno se describe en plantillas y se crea igual cada vez.

Implementación

Dónde se confunde: Las tres son lugares de AWS, y un escenario de alta disponibilidad parece pedir más regiones.

Una región es una ubicación física con varias zonas de disponibilidad (AZ), aislada de las demás regiones. Cada AZ es uno o más centros de datos con energía, red y conectividad redundantes, y las AZ no comparten puntos únicos de falla. Las ubicaciones periféricas acercan el contenido al usuario con Amazon CloudFront.

Infraestructura global

Dónde se confunde: Todas son máquinas virtuales de EC2, y las letras de cada familia no dicen nada a primera vista.

EC2 agrupa sus tipos de instancia en familias según el recurso que optimizan.

Cómputo

Dónde se confunde: Los cuatro corren código sin que el cliente toque hardware, y Fargate funciona con ECS y con EKS.

ECS y EKS orquestan contenedores: ECS es el orquestador de AWS y EKS es Kubernetes administrado. Fargate es el motor sin servidor donde corren esos contenedores, sin administrar instancias de EC2. Lambda ejecuta funciones en respuesta a eventos, con un máximo de 15 minutos por ejecución.

Cómputo

Dónde se confunde: En los diagramas de arquitectura aparecen juntos, así que parecen un solo servicio.

Elastic Load Balancing reparte el tráfico entrante entre varios destinos y deja de mandarlo a los que no están sanos. Amazon EC2 Auto Scaling mantiene el número de instancias y lo ajusta según la demanda; eso es lo que da elasticidad.

Cómputo

Dónde se confunde: Todas guardan datos, y todas las administra AWS.

Primero se decide el modelo de datos. Después, si conviene que AWS administre la base o instalarla en EC2 para controlar el motor y el sistema operativo.

Bases de datos

Dónde se confunde: Las dos herramientas aparecen en cualquier migración de base de datos.

AWS Database Migration Service copia los datos de una base a otra: puede hacer una migración única o replicar los cambios en curso para mantener sincronizados el origen y el destino. AWS Schema Conversion Tool convierte el esquema y el código de la base cuando el motor cambia, por ejemplo de Oracle a Aurora PostgreSQL.

Bases de datos

Dónde se confunde: Los dos filtran tráfico con reglas de puertos y direcciones dentro de una red virtual de AWS (VPC).

El grupo de seguridad se asocia a las instancias, solo admite reglas de permitir y tiene estado: si una conexión entra permitida, su respuesta sale sin otra regla. La lista de control de acceso (ACL) de red se asocia a la subred, admite reglas de permitir y de denegar, y no tiene estado: la entrada y la salida se permiten por separado.

Redes

Dónde se confunde: Los cuatro conectan algo con una VPC.

Direct Connect evita pasar por internet. Site-to-Site VPN sí viaja por internet, dentro de un túnel IPsec cifrado.

Redes

Dónde se confunde: Los tres usan la red global de AWS y mejoran lo que percibe el usuario.

Amazon CloudFront es una red de entrega de contenido que guarda copias en las ubicaciones periféricas y también acelera contenido dinámico. AWS Global Accelerator da direcciones IP estáticas. Recibe los paquetes TCP o UDP en la ubicación periférica y los lleva a la región por la red de AWS. Amazon Route 53 es el servicio de DNS, el sistema que traduce nombres de dominio en direcciones: registra dominios, enruta el tráfico y revisa la salud de los destinos.

Redes

Dónde se confunde: S3, EBS y EFS guardan datos y los tres tienen una S en el nombre.

AWS Backup y Elastic Disaster Recovery se dedican a respaldos y recuperación. Storage Gateway también sirve para respaldar y archivar desde las instalaciones.

Almacenamiento

Dónde se confunde: Todas las clases guardan el mismo objeto; cambian el precio, las zonas de disponibilidad y el tiempo para recuperarlo.

Las políticas de ciclo de vida mueven objetos de una clase a otra con reglas fijas, por ejemplo por antigüedad. Intelligent-Tiering los mueve solo entre sus propios niveles de acceso, dentro de la misma clase, según el acceso real.

Almacenamiento

Dónde se confunde: Todos trabajan con datos para análisis, y en una arquitectura real se usan encadenados.

Por ejemplo, Kinesis puede recibir los datos, Glue transformarlos, Athena consultarlos y Quick Sight mostrarlos en un tablero.

Análisis

Dónde se confunde: Los nombres no dicen qué hacen, y varios trabajan con texto.

Salvo SageMaker AI, estos servicios traen modelos ya entrenados y se usan por API sin saber de machine learning. Algunos, como Comprehend, también permiten entrenar modelos propios.

IA y machine learning

Dónde se confunde: Todos mueven mensajes entre partes de una aplicación.

SNS entrega el mensaje a sus suscriptores en cuanto llega. En SQS el mensaje espera en la cola hasta que un consumidor lo pide.

Integración de aplicaciones

Dónde se confunde: Son servicios que se usan poco al estudiar y sus nombres se parecen entre sí.

AppStream 2.0 hoy se llama WorkSpaces Applications, pero la guía del examen usa el nombre anterior.

Otras categorías

Dónde se confunde: Varias opciones dan descuento y varias hablan de «reservar».

Las reservas de capacidad aseguran capacidad pero, por sí solas, se cobran a precio bajo demanda; el descuento llega al combinarlas con Savings Plans o instancias reservadas regionales.

Precios

Dónde se confunde: Los dos dan descuento a cambio de un compromiso de uno o tres años.

Con Savings Plans el cliente se compromete a gastar una cantidad por hora. Compute Savings Plans aplica sin importar familia, tamaño, sistema operativo, tenencia o región, y cubre también Fargate y Lambda. Una instancia reservada compromete una configuración: la estándar da más descuento y la convertible permite cambiarla por otra. En AWS Organizations, los descuentos se comparten entre las cuentas de la facturación unificada, salvo que se desactive.

Precios

Dónde se confunde: Parece lógico que mover datos cueste lo mismo en las dos direcciones.

La transferencia desde internet hacia AWS no se cobra. La salida hacia internet sí, y mientras más se transfiere, menos cuesta cada GB. Dentro de una región, algunos servicios no cobran el tráfico, pero pasar datos entre zonas de disponibilidad se cobra en los dos sentidos. Pasar datos a otra región también genera cargos.

Precios

Dónde se confunde: Las cuatro hablan de costos y viven juntas en la consola de facturación.

AWS Budgets avisa cuando el gasto real o pronosticado pasa un umbral. Con acciones de presupuesto también puede aplicar una política de IAM o una SCP, o detener instancias de EC2 o RDS. Esas acciones corren solas o después de una aprobación.

Costos

Dónde se confunde: Se etiqueta el recurso y se espera verlo de inmediato en el reporte de costos.

Hay etiquetas generadas por AWS, como createdBy, y etiquetas definidas por el usuario. Las dos se activan en la consola de Billing and Cost Management; solo entonces AWS las usa para organizar los costos en el reporte de asignación.

Costos

Dónde se confunde: Los dos administran varias cuentas.

AWS Organizations agrupa cuentas en unidades organizativas, unifica la facturación y aplica SCP. AWS Control Tower se apoya en Organizations para montar una zona de aterrizaje con controles ya configurados.

Cuentas

Dónde se confunde: Los planes de pago comparten casi todo, y «Enterprise On-Ramp» suena a una versión menor de Business.

La guía del CLF-C02 nombra Developer, Business, Enterprise On-Ramp y Enterprise, y el examen sigue la guía. AWS descontinúa Developer, Business y Enterprise On-Ramp el 1 de enero de 2027; hoy ofrece Business Support+, Enterprise Support y Unified Operations. Basic, sin costo, incluye servicio al cliente, las revisiones centrales de Trusted Advisor y AWS Health.

Soporte

Dónde se confunde: Varias opciones suenan a «pedirle ayuda a AWS».

Trust & Safety atiende el abuso que sale de recursos de AWS. Un problema técnico de tu propia cuenta va con AWS Support.

Soporte