Modelos de despliegue en la nube y operar en AWS

Toda carga de trabajo debe responder dos preguntas antes de salir: ¿dónde corre? y ¿cómo lo operaremos otra vez mañana? El examen lo llama Dominio 3, Tarea 3.1, «Definir métodos de despliegue y operación en la nube de AWS», y es la tarea con más decisiones de CLF-C02: AWS evalúa explícitamente si sabes elegir entre la Consola, el acceso programático y la infraestructura como código, si un trabajo es de una sola vez o repetible, y qué modelo de despliegue describe un enunciado. La trampa es que la Tarea 3.1 parece una tarea de programación y no lo es, «Implementación» aparece listada como tarea laboral fuera del alcance, así que nunca se te pregunta cómo escribir el script, solo qué puerta atravesar.

En esta lección vas a:

• nombrar los cuatro modelos de despliegue con las propias palabras de AWS y separar la híbrida de la multi-nube;
• mapear IaaS, PaaS y SaaS a ejemplos de AWS y leer el desplazamiento de responsabilidad que cada uno provoca;
• elegir entre la Consola, la CLI, los SDK, las API y el IaC, y aplicar la regla de de una sola vez frente a repetible;
• distinguir CloudFormation de CDK (y saber por qué Terraform es contexto, no temario);
• elegir la puerta de conectividad adecuada: internet, Direct Connect, Site-to-Site VPN o un endpoint de VPC / PrivateLink;
• situar Amplify, AppSync e IoT Core donde la guía del examen los evalúa de verdad;
• diferenciar Elastic Beanstalk, Lightsail y CloudFormation por el trabajo que hace cada uno;
• estudiar cuatro casos de estudio publicados por AWS sobre Lightsail, operaciones repetibles, velocidad de entornos y migración;
• comprobar qué cambió en 2026 en las listas de alcance, las herramientas de consola y dónde puedes aprovisionar;
• practicar con 12 preguntas estilo examen más cinco comprobaciones interactivas.

---

1. Qué pide de verdad la Tarea 3.1

1.1 La tarea, partida en conocimiento y habilidades

1.2 La línea de alcance: una decisión, no una construcción

La guía CLF-C02 lista «Implementación» entre las tareas laborales fuera del alcance. Esa sola palabra remodela cada pregunta de la 3.1: una opción que dice «escribe un script de Python que crea 40 subredes» o «redacta una plantilla de CloudFormation con Lambda en línea» está describiendo implementación, y la implementación no es lo que este examen mide. La opción correcta es siempre la selección: Consola frente a CLI frente a SDK frente a IaC, de una sola vez frente a repetible, pública frente a híbrida.

• 📚 ¿Sabías que…? AWS publica una regla de paridad que mata una familia entera de señuelos: toda función de administración, gestión y acceso de IaaS disponible en la AWS Management Console también está disponible en la API de AWS y la AWS CLI «en el lanzamiento o dentro de los 180 días siguientes al lanzamiento». Así que la opción que empieza «la Consola es la única forma de…» casi siempre es errónea: la Consola es simplemente «el método más común», no el exclusivo.

1.3 Las tres listas de servicios que debes mantener separadas

⚠️ CloudShell es el señuelo perfecto. AWS CloudShell es «un shell basado en navegador y preautenticado que puedes lanzar directamente desde la AWS Management Console», con la AWS CLI, la EB CLI, la ECS CLI y SAM preinstaladas (imagen Amazon Linux 2023). Suena ideal para «formas de acceder a AWS», y está explícitamente fuera del alcance para CLF-C02. Si una pregunta ofrece CloudShell junto a Consola, CLI, SDK e IaC, CloudShell está ahí para eliminarse, no para elegirse. El mismo destino aguarda a las opciones de Wavelength, IoT Greengrass y Snow Family.

Actualizaciones de 2026 (en octubre de 2026)

---

2. Modelos de despliegue: pública, privada, híbrida y multi-nube

2.1 Las cuatro definiciones de AWS, con las palabras de AWS

El encuadre híbrido de AWS merece memorizarse: «La nube híbrida con AWS ofrece una experiencia de AWS consistente donde la necesitas: desde la nube hasta on-premises y en el borde», y AWS Outposts es «una familia de servicios totalmente gestionados que entregan infraestructura y servicios de AWS a prácticamente cualquier ubicación on-premises o de borde para una experiencia híbrida verdaderamente consistente.»

2.2 Dos taxonomías, y la línea entre híbrida y multi-nube

La guía del examen dice «nube, híbrida, on-premises». Las páginas de qué es de AWS dicen pública, privada, híbrida, multi-nube. Se solapan en lugar de chocar:

La distinción que el examen realmente custodia es esta:

• Híbrida = tu infraestructura + una nube pública. AWS dice que la gestión híbrida «puede realizarse usando servicios de un único proveedor de nube.»
• Multi-nube = servicios de dos o más proveedores de nube de terceros. En cuanto un enunciado dice «AWS y otro proveedor», estás en multi-nube, no en híbrida.

2.3 El kit híbrido de AWS que está en alcance

• 📚 ¿Sabías que…? Outposts se envía como un rack autónomo de 42U que necesita 10 to 30 kVA, y como servidores de 1U/2U (tamaños y cifras de potencia a octubre de 2026: verifica lo actual antes de usarlo). Lo que convierte esto en un hecho de modelo de despliegue y no en un hecho de hardware es que un Outpost se gestiona «como parte de una Región de AWS», así que la historia híbrida sigue siendo un solo modelo operativo: mismas APIs, misma consola, mismas herramientas, distinto código postal.

---

3. Modelos de servicio: IaaS, PaaS, SaaS, y el desplazamiento de responsabilidad

3.1 Los tres modelos de servicio

3.2 Ejemplo E1: contar el desplazamiento de responsabilidad

La documentación de RDS publica las mismas nueve filas operativas para tres entornos. Cuenta quién es dueño de cada fila:

Se siguen tres lecturas, y las tres son examinables:

1. On-premises el recuento es 9 de 9: eres dueño de todo, incluida la energía del edificio.
2. EC2 mueve tres filas a AWS (mantenimiento del servidor, ciclo de vida del hardware, energía/refrigeración) pero deja seis en tu columna: eso es lo que significa en la práctica que «IaaS requiere que el cliente realice todas las tareas de configuración y gestión de seguridad necesarias».
3. RDS invierte la mayoría hacia AWS (seis de nueve); sin embargo «Optimización de la aplicación» sigue siendo Cliente en absolutamente todas las columnas. «AWS gestiona la base de datos» nunca significa «AWS ajusta tus consultas».

3.3 El invariante: seguridad de la nube frente a seguridad en la nube

El modelo de responsabilidad compartida es el marco bajo todo esto: AWS es responsable de la seguridad «de» la nube, el cliente es responsable de la seguridad «en» la nube. Para los servicios abstractos como Amazon S3 y Amazon DynamoDB, «AWS opera la capa de infraestructura, el sistema operativo y las plataformas … Los clientes son responsables de gestionar sus datos … y de usar las herramientas de IAM.» Para AWS Lambda, AWS gestiona «la infraestructura subyacente y los servicios de base, el sistema operativo y la plataforma de la aplicación», mientras que tú eres dueño de «la seguridad de tu código y de AWS IAM hacia el servicio Lambda y dentro de tu función.»

3.4 El matiz del parcheo que el examen evalúa en secreto

No todos los servicios gestionados te dan el mismo grado de control:

⚠️ «AWS lo gestiona» no es «AWS se lo lleva todo». Aquí viven dos trampas. Primero, RDS no es delegación total, la optimización de la aplicación, tus consultas, tu esquema y tus datos siguen siendo tuyos en cada columna de la matriz. Segundo, SaaS no es un producto de AWS: AWS declara que no ofrece servicios SaaS, ofrece las herramientas para construir SaaS de terceros. Una opción que afirme «WorkMail / QuickSight es la oferta SaaS de AWS» no está respaldada por ninguna página de AWS en esta investigación, trátala como errónea.

---

4. Formas de acceder a AWS: Consola, CLI, SDK, APIs e IaC

4.1 Las cinco puertas (más la que está fuera del alcance)

• 📚 ¿Sabías que…? Amazon S3 se lanzó el 14 de marzo de 2006 a 0.15 USD por GB-mes, con un tamaño máximo de objeto de 5 GB y unas 1 PB de capacidad repartida en unos 400 nodos de almacenamiento; AWS dice ahora que el precio es «ligeramente más de 2 céntimos por gigabyte», una reducción aproximada del 85%, y que «el código que escribiste para S3 en 2006 todavía funciona hoy, sin cambios» (AWS News Blog, 2026-03-13; precios a octubre de 2026, verifica lo actual antes de usarlo). El punto examinable es el de operación: las APIs estables son lo que hace que la automatización repetible sobreviva, la llamada de la CLI o la petición al SDK que guionizaste hace años todavía funciona, y por eso exacto AWS empareja «procesos repetibles» con el acceso programático.

4.2 Operaciones de una sola vez frente a procesos repetibles

Esta es, con diferencia, la frase más evaluada de la Tarea 3.1. La habilidad es «evaluar los requisitos para determinar si usar operaciones de una sola vez o procesos repetibles», y la guía de IaC de AWS aporta el razonamiento de la otra mitad:

Los propios argumentos de AWS para la mitad repetible, citados:

• el IaC hace que los «nuevos entornos sean repetibles, fiables y consistentes»;
• «escribe tu código IaC una sola vez y despliega ese mismo código en cientos de entornos en una fracción del tiempo»;
• «El drift de configuración ocurre cuando la configuración que aprovisionó tu entorno ya no coincide con el entorno real»: la creación manual es «propensa a errores», y una plantilla es un archivo de texto, así que «simplemente rastrea las diferencias en tus plantillas para rastrear los cambios en tu infraestructura.»

La regla operativa: cuando un entorno ha sufrido drift, reaplica la plantilla. Editar a mano el recurso vivo recrea exactamente el drift que intentas eliminar.

4.3 Ejemplo E2: la aritmética de las operaciones manuales

Supón que 100 entornos necesitan el mismo cambio y una persona tarda 10 minutos por entorno haciendo clic en la Consola:

$$T_{\text{manual}} = 100 \times 10 \text{ min} = 1{,}000 \text{ min} \approx 16.7 \text{ hours}$$

16.7 horas de esfuerzo humano sin guion, con 100 oportunidades de hacer clic en lo incorrecto, repetidas cada mes. La promesa de IaC de AWS es el contrafactual: «escribe tu código IaC una sola vez y despliega ese mismo código en cientos de entornos en una fracción del tiempo.» El examen no te pide demostrar esto: te pide reconocer la forma: muchos entornos + un cambio estandarizado ⇒ IaC.

4.4 Ejemplo E3: una plantilla, cuatro entornos, aritmética del drift

El patrón repetible canónico de la documentación de CloudFormation de AWS es el mismo stack de 12 recursos desplegado a desarrollo, staging, producción y una segunda Región de AWS:

Las conclusiones examinables: una plantilla se reutiliza, se versiona y se compara con diff; los recursos de un stack se crean y configuran para tú; y borrar el stack borra los recursos que creó: que es también por qué el IaC es la respuesta más limpia a «limpia este entorno».

4.5 El trío de IaC: CloudFormation, CDK y el tercer nombre en la sala

La guía prescriptiva de AWS compara cinco herramientas de IaC, CloudFormation, SAM, CDK, Terraform y Pulumi, y da la regla de selección que necesitas: «Si gestionas tu infraestructura enteramente en AWS, entonces AWS CloudFormation y el AWS Cloud Development Kit (AWS CDK) son buenas opciones», mientras que «Terraform podría ser una buena elección porque es agnóstico de plataforma.»

• 📚 ¿Sabías que…? Las plantillas de CloudFormation son archivos de texto plano, y por eso AWS dice que puedes «simplemente rastrear las diferencias en tus plantillas para rastrear los cambios en tu infraestructura.» Esa propiedad es la misma que hace detectable el drift de configuración: compara la plantilla con el stack vivo, encuentra las ediciones manuales, reaplica. Infraestructura que no puedes comparar con diff es infraestructura que no puedes auditar.

---

5. Conectividad: las cuatro puertas dentro y fuera de una VPC

5.1 El resumen (solo servicios en alcance)

5.2 Ejemplo E4: dos túneles, cuatro números

AWS Site-to-Site VPN incluye dos túneles por conexión, y cada túnel tiene un techo de ancho de banda:

Dos observaciones que el examen premia. Primero, los dos túneles existen por alta disponibilidad, no principalmente por velocidad, AWS dice «Cada conexión VPN incluye dos túneles VPN que puedes usar simultáneamente para alta disponibilidad.» Segundo, el ancho de banda es un techo por túnel, así que un enunciado que diga «una conexión Site-to-Site VPN entrega 1.25 Gbps en total» es erróneo por un factor de dos. Todas las cifras a octubre de 2026, verifica lo actual antes de usarlo.

5.3 Ejemplo E5: lo que un SLA de resiliencia te cuesta en minutos

Direct Connect publica dos diseños de resiliencia. Convierte los porcentajes en presupuestos de inactividad sobre un año de 365 días ($8{,}760$ horas):

$$8{,}760 \times (1 - 0.999) = 8.76 \text{ hours per year}$$ $$8{,}760 \times (1 - 0.9999) = 0.876 \text{ hours} \approx 52.6 \text{ minutes per year}$$

El examen no te pide esta aritmética: te pide emparejar el requisito con el diseño: «ancho de banda privado estable con la disponibilidad publicada más ajustada» ⇒ Direct Connect con Resiliencia Máxima; «necesitamos un enlace privado esta tarde» ⇒ Site-to-Site VPN. Cifras de SLA a octubre de 2026.

5.4 Ejemplo E6: elegir el puerto de Direct Connect

Una oficina regional necesita 400 Mbps; el centro de datos núcleo necesita 100 Gbps:

Regla general de la página de opciones de conexión: las conexiones alojadas escalan de 50 Mbps a 25 Gbps (entregadas a través de socios de AWS Direct Connect), mientras que las conexiones dedicadas son de 1, 10, 100 o 400 Gbps. Un enunciado que cite 50 Mbps es una señal de puerto alojado; un enunciado que cite 100 Gbps es una señal de puerto dedicado. Cifras a octubre de 2026: verifica lo actual antes de usarlo.

5.5 PrivateLink y endpoints de puerta, con precisión

• 📚 ¿Sabías que…? Los endpoints de VPC vienen en dos familias y el examen evalúa la excepción: los endpoints de puerta (Amazon S3, Amazon DynamoDB) no usan AWS PrivateLink, mientras que los endpoints de interfaz son la variedad propulsada por PrivateLink. Así que la afirmación «todos los endpoints de VPC están propulsados por PrivateLink» es falsa: un solo contraejemplo, directo de la documentación de VPC de AWS, basta para hundirla.

---

6. Frontend, móvil e IoT: lo que añade la tarea 3.8

La Tarea 3.1 trata sobre aprovisionar y operar; la guía del examen evalúa frontend móvil e IoT bajo la Tarea 3.8: «Identificar servicios de otras categorías de servicios de AWS en alcance.» Ambas habilidades son de nombrado: «Identificar los servicios que pueden crear y desplegar servicios de frontend y móvil» e «Identificar los servicios que gestionan dispositivos IoT.»

6.1 AWS Amplify: la respuesta de frontend y móvil

La palabra «atómico» es la pista: como un despliegue nuevo reemplaza al anterior como una unidad, una publicación fallida no deja un sitio a medio actualizar, y por eso AWS dice que las ventanas de mantenimiento desaparecen. Amplify es por eso también una historia de operación: publicaciones repetibles y disparadas por Git en lugar de subidas manuales.

6.2 AppSync: una advertencia de nombrado

Amazon AppSync aparece en ninguna de las dos listas, ni en la de alcance ni en la de fuera de alcance, en la guía actual del examen CLF-C02. Trátalo como vocabulario de contexto únicamente: no es material examinable, así que no lo memorices como «la respuesta GraphQL de este examen» y no esperes que puntúe. El servicio de frontend móvil que la guía acredita es AWS Amplify.

6.3 AWS IoT Core: la respuesta de IoT

⚠️ Dos trampas de IoT. Primero, IoT Device Defender y IoT Greengrass están fuera del alcance, una pregunta que describa ejecución de Lambda en el dispositivo o monitorización de comportamiento de seguridad te está cebando hacia servicios que no están en la lista; la respuesta en alcance es AWS IoT Core. Segundo, IoT Device Management y IoT Analytics aparecen en ninguna de las dos listas, así que no son ni respuestas ni exclusiones documentadas, si los ves, trata la pregunta como una evaluación de si sabes lo que sí está listado.

---

7. Elastic Beanstalk, Lightsail y CloudFormation: tres roles distintos

7.1 AWS Elastic Beanstalk: despliegue estilo PaaS de tu código

La trampa de tres partes en una línea: $0 de cargo por servicio ≠ factura de $0, porque las instancias EC2, el balanceador de carga y el almacenamiento que crea se te facturan a tu cuenta; Beanstalk no es serverless, porque aprovisiona EC2 o EKS; y Beanstalk no es IaC, porque le entregas código, no una plantilla de infraestructura reutilizable.

7.2 Amazon Lightsail: el punto de entrada de precio predecible

7.3 Ejemplo E7: el paquete de Lightsail, preciado de dos formas

Aritmética del paquete:

Por hora frente a tope mensual. Lightsail factura por hora pero limita el cargo al precio mensual. Un mes completo son $750$ horas:

$$0.0067 \times 750 = 5.025 \text{ USD} \longrightarrow \text{capped at } 5.00 \text{ USD}$$

Un mes parcial de $200$ horas: $0.0067 \times 200 \approx$ $1.34$. Así que el precio mensual es un techo, no un suelo: pagas por lo que ejecutes hasta el tope. Todas las cifras a octubre de 2026; los tamaños, los tramos y los precios cambian, así que verifica lo actual antes de usarlo.

7.4 Ejemplo E8: Elastic Beanstalk cuesta $0 para ejecutar como servicio

Elastic Beanstalk cobra $0 por sí mismo. La factura viene de lo que crea. Como ilustración (cifras didácticas, no precios de lista de AWS: verifica lo actual antes de usarlo):

La frase examinable: Elastic Beanstalk elimina el trabajo operativo, no el coste de los recursos.

7.5 La decisión de tres en uno

• 📚 ¿Sabías que…? La versión de aplicación de Elastic Beanstalk se almacena como «un objeto de Amazon Simple Storage Service (Amazon S3) que contiene el código desplegable»: así que «¿dónde guarda Beanstalk mi código?» tiene respuesta de una palabra: S3. Eso también explica el versionado estilo azul/verde: promocionas un objeto S3 distinto como versión actual, y la configuración del entorno sigue siendo describible como datos en lugar de como clics.

---

Casos Reales

AWS publica cómo se ven estas decisiones en producción. Cada cifra de abajo es afirmada por el cliente o por AWS y sin auditar, con la fuente nombrada para que puedas comprobarla: el punto examinable es el patrón (qué modelo de despliegue, qué método de acceso, qué hábito operativo), no la cifra de marketing.

Caso A, Gourmeat: Lightsail como pequeño punto de entrada de precio predecible

Lección de examen: esta es la respuesta de Lightsail con forma humana, el valor que se afirma es operativo (horas de informes manuales eliminadas, una factura mensual predecible), no un benchmark bruto de cómputo. La pregunta de examen construida a partir de este patrón dice «equipo pequeño, pocas instancias, quiere un precio mensual predecible», y Lightsail es la opción a la que alcanzar, con Elastic Beanstalk como la casi-respuesta (también de pocas operaciones, pero preciado por recurso subyacente en lugar de en paquete).

Caso B, athenahealth: operaciones repetibles en 120 cuentas

Lección de examen: esta es la línea de «procesos repetibles» de la Tarea 3.1 con números adjuntos. CloudFormation reglas como código es el mecanismo, AWS RAM es el método de distribución y Direct Connect es la puerta de conectividad. Ocho personas no podían configurar a mano cientos de VPC en 120 cuentas en unos pocos días: la aritmética solo cierra cuando el cambio se escribe una vez y se aplica muchas veces, que es exactamente el argumento del IaC de la Sección 4.

Caso C, Capital One: entornos de desarrollo de meses a minutos

Lección de examen: «de 3 meses a minutos» es la regla de una sola vez frente a repetible con un reloj encima. Un plazo de tres meses es lo que cuesta un entorno montado a mano y de una sola vez cuando cada petición es a medida; «minutos» es lo que cuesta el mismo entorno cuando la construcción es un proceso repetible que vuelves a ejecutar bajo demanda. La lectura del modelo de despliegue es igual de limpia: una cartera con cero resto on-premises es la ilustración de nube pública a escala empresarial: la híbrida exigiría que los centros de datos se quedaran, y la multi-nube exigiría un segundo proveedor público. Y la aritmética subyacente es la de la Sección 4: 90 días de plazo eliminados por entorno se componen a lo largo de una organización de ingeniería de 11,000 personas.

• 📚 ¿Sabías que…? El caso de estudio de Capital One dice que el banco «salió de ocho centros de datos on-premises» y «construyó el 80 por ciento de las casi 2,000 aplicaciones que ahora ejecuta en la nube desde cero» (caso de estudio de AWS, consultado en octubre de 2026). La pista del modelo de despliegue es la frase «a fondo»: no queda nada ejecutándose on-premises, así que el modelo de despliegue es nube pública, no híbrida: una industria regulada que elige nube pública no convierte la respuesta en «privada» ni «híbrida» el día del examen.

Caso D, Bangkok Flight Services: una migración repetible con operaciones multi-AZ

Lección de examen: aquí se encuentran dos patrones. La propia migración es un proceso repetible, un método de rehost, aplicado a toda la cartera, terminado en siete meses sin reversión, que es lo opuesto a una serie de eventos heroicos de una sola vez. Las operaciones posteriores también son repetibles: CloudWatch y CloudTrail aportan la observación, y la Zona de Disponibilidad es la unidad de aislamiento de fallos dentro de la que opera el diseño de recuperación (una AZ protege frente a un fallo a nivel de centro de datos dentro de una Región; una segunda Región es lo que protege frente a un fallo a nivel de Región). Advertencia de alcance que merece memorizarse: AWS Application Migration Service aparece en este caso de estudio, pero un caso de estudio nunca hace examinable a un servicio, solo lo hace la lista en alcance de la guía actual del examen. Comprueba la lista, no la historia.

Qué comparten los casos A y B

Qué añaden los casos C y D

⚠️ Cómo leer los números de los casos de estudio el día del examen: cada porcentaje aquí es afirmado por el cliente y sin auditar, y «hasta» es un techo, nunca un promedio. Atribuye la fuente y la fecha: «caso de estudio de athenahealth, consultado en octubre de 2026», no «AWS demuestra». Un caso nunca licencia una respuesta fuera del alcance: se te pide seleccionar el patrón (Lightsail para un paquete pequeño y predecible; IaC para muchas cuentas), nunca reproducir la cifra de marketing. Las cifras de Gourmeat proceden de un caso de estudio de octubre de 2020 y se reportan tal y como AWS las publicó.

---

Preguntas de Práctica (Practice Questions)