Catálogo de la sesión

• AWS CloudHSM: módulos de seguridad de hardware (HSM) dedicados a tu cuenta, de un solo inquilino y con validación FIPS de nivel 3. Tú controlas las claves; AWS no puede verlas. Para normas que exigen hardware exclusivo.
• Service Quotas: consulta en un solo lugar los límites de cada servicio, como cuántas VPC por Región, y pide aumentarlos.

KMS vs CloudHSM vs ACM vs Secrets Manager

Criterio	KMS	CloudHSM	ACM	Secrets Manager
Qué guarda	Claves de cifrado	Claves, en hardware propio	Certificados TLS	Contraseñas y claves de API
Protege	En reposo, sobre todo	En reposo	En tránsito	Credenciales
Hardware	Compartido, administrado	Dedicado a ti	No aplica	No aplica
Palabra clave	“Administrar claves”	“HSM dedicado”	“Certificado SSL/TLS”	“Rotar credenciales”

Beneficios de la seguridad en la nube

En AWS heredas controles que on-premises tendrías que construir: centros de datos vigilados, hardware auditado y cifrado integrado en cada servicio. Cifrar es marcar una casilla, y todo se automatiza y se audita por API, a una escala que pocas empresas pagarían solas. Lo que configuras sigue siendo tuyo (Sesión 4).

Amazon CloudWatch

Qué es: Amazon CloudWatch monitorea el rendimiento y la salud de tus recursos y aplicaciones con métricas, alarmas y registros (logs).

• Métricas: números en el tiempo, como la CPU de una instancia EC2. EC2 envía métricas cada 5 minutos gratis; con monitoreo detallado, cada minuto y con costo. La memoria y el disco de dentro del sistema operativo necesitan el agente de CloudWatch.
• Alarmas: vigilan una métrica y cambian de estado (OK, ALARM, INSUFFICIENT_DATA) al cruzar un umbral. Pueden avisar por SNS (Sesión 12), escalar un grupo de Auto Scaling o detener una instancia. Diez métricas de alarma estándar al mes son gratis.
• Logs: CloudWatch Logs guarda los registros de tus aplicaciones, como los de Lambda en la Sesión 9, y permite buscarlos.

Analogía: el tablero de un auto con su testigo de “motor caliente”. Dónde falla la analogía: el tablero solo avisa. Una alarma de CloudWatch también puede actuar, como añadir instancias o detener una.

Ejemplo real: Viajes Horizonte crea una alarma: si la CPU de sus servidores pasa del 80% durante 10 minutos, avisa al equipo de guardia. Los errores de sus funciones los busca en CloudWatch Logs.

Úsalo cuando: quieras saber cómo funcionan tus recursos y reaccionar a un umbral. No lo uses cuando: necesites saber quién hizo un cambio (CloudTrail) o cómo estaba configurado un recurso (Config).