Amazon Web Services: lo esencial

Los servicios en la nube se clasifican por lo que gestiona el proveedor. En IaaS (infraestructura como servicio) alquilas máquinas virtuales, discos y redes; tú instalas y mantienes el sistema operativo y todo lo de encima. En PaaS (plataforma como servicio) entregas tu código y la plataforma lo ejecuta, lo escala y lo mantiene al día. En SaaS (software como servicio) usas una aplicación terminada, como Gmail.

Serverless («sin servidor») va un paso más allá: subes funciones o usas servicios gestionados que solo se activan cuando hay trabajo, escalan solos (incluso a cero) y se pagan por uso. Los servidores existen, claro, pero no los ves ni los administras.

Una región es una zona geográfica con sus propios centros de datos, identificada por un código como us-east-1 (Virginia del Norte), eu-central-1 (Fráncfort) o sa-east-1 (São Paulo). Casi todos los recursos se crean en una región concreta, y tus datos no salen de ella salvo que tú los copies.

Cada región se divide en varias zonas de disponibilidad (AZ, Availability Zones), normalmente tres o más: centros de datos con energía, refrigeración y red independientes, separados por kilómetros pero unidos por enlaces de baja latencia. Si repartes tu aplicación entre dos o tres zonas, un incendio o un corte eléctrico en una de ellas no la tumba.

IAM (Identity and Access Management) controla el acceso a tu cuenta. Un usuario representa a una persona o a un programa con credenciales permanentes. Un rol es una identidad sin contraseña que se «asume» temporalmente: una instancia EC2, una función Lambda o una persona que inicia sesión reciben credenciales que caducan solas.

Los permisos se escriben en políticas JSON. Cada declaración permite (Allow) o deniega (Deny) unas acciones, como s3:GetObject, sobre unos recursos, identificados por su ARN (el identificador único de un recurso en AWS). Por defecto todo está denegado, y una denegación explícita gana siempre a cualquier permiso.

La regla de oro es el mínimo privilegio: cada identidad recibe solo los permisos que necesita y nada más. Así, si una credencial se filtra, el daño queda acotado.

EC2 (Elastic Compute Cloud) te da instancias: máquinas virtuales con el sistema operativo que elijas. Cada una arranca a partir de una AMI (Amazon Machine Image), una plantilla con el sistema y, si quieres, tu software ya instalado. A partir de ahí es tu máquina: instalas, configuras y actualizas tú.

El tipo de instancia fija CPU, memoria y red, y su nombre se lee por partes. En m7g.large, m es la familia (uso general; c prioriza la CPU, r la memoria y t es barata y «a ráfagas»), 7 la generación, g indica un procesador Graviton (ARM) y large, el tamaño.

Con Auto Scaling defines un grupo de instancias con un mínimo, un máximo y una capacidad deseada. AWS añade máquinas cuando sube la carga, las quita cuando baja y sustituye las que no pasan sus comprobaciones de salud.

En Lambda subes una función: el código que debe ejecutarse cuando ocurre algo, como una petición HTTP, un archivo nuevo en S3, un mensaje en una cola o una hora programada. AWS prepara un entorno, ejecuta la función y escala solo: si llegan mil eventos a la vez, ejecuta muchas copias en paralelo.

Pagas por número de invocaciones y por tiempo de ejecución según la memoria asignada; si no llega ningún evento, no pagas nada. A cambio, cada invocación tiene un máximo de 15 minutos, y la primera petición tras un rato sin uso sufre un arranque en frío (cold start): AWS tiene que preparar el entorno y cargar tu código antes de responder.

RDS (Relational Database Service) ejecuta por ti PostgreSQL, MySQL, MariaDB, SQL Server u Oracle, entre otros. Tú eliges el motor, el tamaño y el almacenamiento; AWS instala, aplica parches, hace copias de seguridad automáticas con restauración a un momento concreto y vigila la máquina. Te conectas con el cliente de siempre, como viste en el módulo de bases de datos.

Con Multi-AZ, RDS mantiene una copia en espera en otra zona de disponibilidad, sincronizada en todo momento: si la principal cae, conmuta a la copia, normalmente en uno o dos minutos y sin que cambies la dirección de conexión. Las réplicas de lectura son otra cosa: copias asíncronas que atienden consultas de solo lectura para repartir la carga.

Aurora es el motor propio de AWS, compatible con MySQL y PostgreSQL. Separa el cómputo del almacenamiento, que replica automáticamente entre varias zonas, y suele ofrecer más rendimiento y conmutaciones más rápidas a cambio de un precio algo mayor.

Una VPC (Virtual Private Cloud) es una red aislada con su propio rango de direcciones IP, como 10.0.0.0/16. Dentro creas subredes, cada una en una zona de disponibilidad. Una subred es pública si su tabla de rutas lleva a un Internet Gateway; si no, es privada, y sus máquinas no son alcanzables desde Internet (para salir, usan un NAT Gateway).

El patrón típico pone el balanceador de carga en subredes públicas y los servidores y la base de datos en privadas. Los security groups son cortafuegos asociados a cada recurso: solo admiten reglas de «permitir», tienen estado (si dejan entrar una petición, su respuesta sale sola) y pueden referirse a otros grupos: «la base de datos acepta el puerto 5432 solo desde el grupo de los servidores».