Gestión de cuentas con AWS Organizations

Curso de AWS Certified Solutions Architect Associate

Contenido del curso

Fundamentos de AWS

Identidad, Acceso y Gobernanza Multicuenta

Servicios de Computo en AWS

Contenedores en AWS

Redes en AWS

Escalamiento y balanceo en AWS

Almacenamiento en AWS

Bases de datos en AWS

Migración en AWS

Monitoreo y Auditoria en AWS

DNS y CDN en AWS

Servicios de Seguridad

Serverless

Servicios de Datos en AWS

Servicios de AI y ML em AWS

64
Servicios de IA y ML en AWS
04:09 min

Servicios de Backup y Recuperación ante desastres

Architect Solutions Certificate

Tomar examen

Cursos Empresas Blog Live Conf Eventos Precios

0:0011:04

Gestión de cuentas con AWS Organizations

Curso de AWS Certified Solutions Architect Associate

Clase 7 de 69

Clase 7 / 69

Recursos

La gestión centralizada en AWS te permite administrar varias cuentas dentro de una misma organización para separar áreas, ambientes o equipos sin perder control sobre políticas, gastos y seguridad. Es clave para empresas que crecen y necesitan orden, gobernanza y trazabilidad en su infraestructura cloud.

Antes de entrar en organizaciones, vale la pena conocer una herramienta que te ahorra dolores de cabeza: el Policy Simulator de IAM. Esta utilidad te deja probar políticas antes de aplicarlas en producción y validar qué acciones y servicios permite cada una. Si la usas con la política donde un usuario pasante podía cambiarle la contraseña al admin, detectas el error antes de que cause problemas [01:00].

¿Qué es AWS Organizations y para qué sirve?

AWS Organizations es el servicio que te permite agrupar varias cuentas bajo una misma estructura jerárquica. La idea es simple: en lugar de mezclar todo en una sola cuenta, separas por estrategia.

Algunas estrategias comunes para dividir cuentas son:

Por área: finanzas, desarrollo, pruebas.
Por ambiente: producción, staging, pruebas.
Por unidad de negocio o proyecto.

Tener cuentas separadas evita que recursos se superpongan y permite un control más estricto del gasto y los permisos dentro de cada área [02:30].

¿Cuáles son los componentes de una organización en AWS?

Una organización en AWS se construye sobre tres conceptos:

Raíz de la organización: la cuenta principal de la que se desprenden todas las demás. Aquí defines políticas globales como exigir 2FA y centralizas el billing.
Unidades organizativas (OU): agrupan cuentas según la estrategia que definas. Pueden contener cuentas y otras OUs anidadas.
Cuentas miembro: las cuentas individuales que viven dentro de cada unidad.

La estructura es jerárquica, así que las políticas y configuraciones definidas arriba se heredan automáticamente hacia las cuentas hijas [04:00].

¿Qué son los SCP en AWS? Son Service Control Policies, políticas que aplicas a una organización completa, una OU o una cuenta. Usan la misma sintaxis que las políticas IAM tradicionales y se heredan hacia abajo en la jerarquía.

¿Cómo funciona AWS Control Tower?

Control Tower es la herramienta de AWS para crear gobernanza centralizada sobre múltiples cuentas. Te permite definir políticas centrales, detectar desviaciones y configurar una landing zone donde las cuentas nuevas nacen ya preconfiguradas con los estándares de tu organización [05:30].

Dentro de Control Tower puedes:

Crear unidades organizativas fundacionales y nuevas.
Configurar cuentas dedicadas a logs y auditoría.
Definir reglas que se apliquen a todas las cuentas hijas.

Para empezar, basta con buscar Control Tower en la consola y crear una landing zone, ajustando pricing y regiones según necesites.

¿Cómo crear una organización paso a paso?

Desde la consola de AWS, busca Organizations y dale a Create organization. AWS crea automáticamente la cuenta raíz. Desde ahí tienes dos caminos para sumar cuentas:

Crear una cuenta nueva: ideal para un equipo o ambiente que aún no existe.
Invitar una cuenta existente: solo necesitas el ID de la cuenta y que el dueño acepte la invitación.

Así puedes integrar cuentas separadas, como la de Nexia Bank y la de un compañero, dentro de la misma organización [07:30].

¿Cómo guardar y rotar secretos en AWS?

Una buena práctica de seguridad es rotar credenciales y secretos cada 30 días. AWS ofrece dos servicios para esto: Secrets Manager y Parameter Store.

¿Qué es Secrets Manager y cómo se configura?

Secrets Manager guarda de forma segura y encriptada credenciales, tokens y otros secretos, y los rota automáticamente en todos los lugares donde vivan dentro de AWS [09:00].

Al crear un secreto puedes:

Definir el tipo (por ejemplo credenciales tipo admin/admin).
Elegir una llave de encripción de KMS, predeterminada o personalizada.
Configurar rotación automática mediante una función Lambda, por ejemplo el primer lunes de cada mes a las 9:00 UTC.

La Lambda es la que define la lógica de rotación: puede generar un valor aleatorio, consultar un listado o aplicar la política que tu organización requiera.

¿Qué diferencia hay entre Parameter Store y Secrets Manager?

Parameter Store vive dentro de Systems Manager y también guarda valores, pero con un enfoque más simple.

¿Cuándo usar Parameter Store en lugar de Secrets Manager? Cuando necesitas guardar valores que no requieren rotación automática. Parameter Store es más económico, pero no soporta rotación vía Lambda. Secrets Manager sí.

En Parameter Store puedes elegir entre tipo estándar o avanzado (para parámetros largos) y entre formatos string, lista o secure string, este último encriptado con KMS [11:30].

¿Cómo agregar condiciones a las políticas IAM?

Las políticas IAM aceptan condiciones que las hacen más estrictas y seguras. En lugar de permitir una acción siempre, la permites solo si se cumple cierto parámetro.

Algunos ejemplos prácticos de condiciones:

Permitir acciones sobre access keys solo desde un rango de IPs conocido, como la red de la oficina.
Exigir que el usuario tenga 2FA activo para ejecutar la acción.
Restringir acceso a archivos en S3 solo en horario laboral, por ejemplo entre 9:00 y 17:00.

Fuera de esos parámetros, el acceso queda bloqueado. Así conviertes una política básica en una capa de seguridad mucho más robusta [13:00].

¿Qué es una condición en una política IAM? Es una regla extra dentro del statement que define cuándo aplica el permiso, basada en variables como IP de origen, presencia de 2FA, hora del día o tags del recurso.

Cuéntame en los comentarios qué política con condiciones aplicarías para proteger un caso de uso real en tu organización.

leonel ibarra

Hace 10 meses

Gestión centralizada en AWS: es la capacidad de poder manejar múltiples cuentas dentro de AWS.
Se pueden tomar distintos criterios de uso, por ejemplo:
- Áreas organizacionales: finanzas - desarrollo - gerencia
- Ambientes: producción - staging - test
Existen 3 tipos de opciones para manejar este tipo de organizaciones:
- Organizations: permite gestionar múltiples cuentas de AWS.
- SCPs (Service Control Policies): son políticas a nivel organizacional. Se busca limitar qué pueden hacer.
- Control Tower: servicio para automatizar la creación de un entorno multi-cuenta seguro.
AWS Organizations:
- Cuentas miembro, unidades organizativas y raíz de la organización.
- La estructura jerárquica comienza en la raíz de la organización y de allí se desprenden las cuentas miembro y/o las unidades organizativas.
- Desde la cuenta raíz podemos definir políticas a toda la organización.
Política SCP:
- Se declaran con statements, effects, resources y actions.
- Se pueden aplicar a unidades organizativas, cuentas o a la raíz.
- Luego de ser aplicadas, se propagan a las subordinadas.
AWS Control Tower:
- No reemplaza a AWS Organizations, sino que lo complementa.
- Lo complementa automatizando políticas centrales en todas las cuentas.
- Detecta desviaciones de políticas.
- Creación de una “landing zone” para acelerar la creación de nuevas cuentas preconfiguradas.
- Aumenta el uso de buenas prácticas y guardrails.
Para la gestión de secretos y credenciales, existen dos recursos en AWS:
- AWS Secrets Manager
  - Nos permite guardar secretos y credenciales de forma segura y encriptada; además, podemos actualizarlos y rotarlos automáticamente.
  - Para hacer la rotación automática, se utiliza una función Lambda que lo hace bajo las políticas y características que deseemos.
  - Secrets Manager -> "Create Secret" -> Ingresar credencial o información -> Seleccionar llave de encriptación -> Asignar “nombre” al llavero -> Rotación automática (si aplica)
- AWS Systems Manager (Parameter Store)
  - Parameter Store es un servicio que nos permite guardar valores, que pueden ser secretos, pero con menos funcionalidades que AWS Secrets Manager.
  - Es económico en comparación con AWS Secrets Manager.
  - No permite la rotación automática de secretos.
  - Systems Manager -> Parameter Store -> "Create parameter" -> Asignamos nombre, tipo y valor.
Mejoras para políticas con condiciones:
- Restricción por IP
- Autenticación MFA
- Restricción horaria

Fundamentos de AWS

Certificación AWS Solutions Architect Associate: Fundamentos y Preparación

Preparación para certificación AWS Arquitecto de Soluciones

Configuración de presupuestos en AWS para controlar costos

Los 6 pilares del Well-Architected Framework

Identidad, Acceso y Gobernanza Multicuenta

Cómo evitar brechas de seguridad con IAM

Creación de usuarios administrador y practicante en AWS IAM

Gestión de cuentas con AWS Organizations

Detecta recursos AWS expuestos con Access Analyzer

Cómo gestionar múltiples cuentas AWS

Servicios de Computo en AWS

Servicios de cómputo AWS: EC2, procesadores Graviton y AMIs

Compute Savings Plan para EC2 y Lambda

Cómo lanzar tu primera instancia EC2

Optimizar latencia en EC2 con tenencia dedicada

Cómo consultar metadatos de EC2 con IMDSv2

AWS Outposts: ejecutar AWS en tu data center

Despliegue de app web en Elastic Beanstalk

Contenedores en AWS

Contenedores en AWS: ECS, EKS y ECR

Gestión de imágenes de contenedores con ECR y Fargate

Configuración de clusters, tareas y servicios en Amazon ECS

Redes en AWS

Direccionamiento IP y bloques CIDR para redes AWS

NAT Gateway para subredes privadas en AWS

Configuración de instancias públicas y privadas con NAT Gateway

NACL y Security Groups en AWS

Cómo reparar un Security Group en EC2

Conectividad híbrida en AWS: VPC Peering, Transit Gateway y Endpoints

Escalamiento y balanceo en AWS

Tipos de balanceadores de carga en AWS

Configuración de balanceadores de carga en AWS para alta disponibilidad

Autoescalamiento en EC2 con Auto Scaling Groups

Cómo crear un Auto Scaling Group en EC2

Almacenamiento en AWS

Tipos de almacenamiento en AWS: EBS, EFS y S3

Instance Store vs EBS en AWS

EFS vs FSx para compartir archivos en AWS

Creación y configuración de volúmenes EBS en AWS

Transfer Acceleration para datos globales en S3

Configuración de EFS para compartir almacenamiento entre instancias

Recuperar objetos borrados en Amazon S3

Bases de datos en AWS

Bases de datos relacionales vs no relacionales en AWS

Cómo funciona DynamoDB en AWS

Creación y configuración de bases de datos Dynamo en AWS

Elasticache y DAX

RDS vs Aurora: réplicas y alta disponibilidad

Cómo configurar Aurora con alta disponibilidad en RDS

Migración en AWS

Estrategias de migración AWS: las 6 R para trasladar aplicaciones

Cómo migramos 500 TB a AWS sin downtime

Migración de datos con AWS Snow Family: opciones y características

DMS y SCT para migrar bases de datos en AWS

Monitoreo y Auditoria en AWS

CloudTrail y EventBridge en arquitecturas AWS

Monitoreo de AWS con CloudWatch

DNS y CDN en AWS

Zonas locales y de borde en AWS

CloudFront vs Global Accelerator en AWS

Failover en Route 53 para arquitectura activo-pasiva

Configuración de políticas de geoproximidad en AWS Route 53

Servicios de Seguridad

KMS vs CloudHSM para datos regulados

AWS Shield y WAF contra ataques DDoS

Servicios AWS para detectar vulnerabilidades

GuardDuty y Trusted Advisor para detectar amenazas en AWS

Serverless

API Gateway y Lambda en arquitecturas serverless

Creación y configuración de funciones Lambda para automatización

AWS SQS: Tipos de filas y configuración para arquitecturas serverless

AWS SNS y Step Functions para comunicación y workflows visuales

Servicios de Datos en AWS

Servicios de datos en AWS para tu examen

Kinesis, EMR, Glue

Casos de uso de Amazon Redshift en AWS

Servicios de AI y ML em AWS

Servicios de IA y ML en AWS

Servicios de Backup y Recuperación ante desastres