CloudWatch vs CloudTrail vs Config
Los tres responden preguntas distintas sobre tu cuenta. (1) CloudWatch: ¿cómo está funcionando? (2) CloudTrail: ¿quién hizo qué y cuándo? (3) Config: ¿cómo estaba configurado y cumple las reglas?
| Criterio | CloudWatch | CloudTrail | Config |
|---|---|---|---|
| Pregunta | ¿Cómo funciona? | ¿Quién hizo qué? | ¿Cómo está configurado? |
| Registra | Métricas y logs | Llamadas a la API | Configuración de recursos |
| Avisa con | Alarmas | Consultas de eventos | Reglas no conformes |
| Gratis | Métricas básicas, 10 alarmas | Historial de 90 días | Nada; cobra por registro |
| Palabra clave | “Rendimiento”, “alarma” | “Auditoría”, “quién” | “Cumplimiento”, “historial” |
Trampa común: CloudWatch Logs guarda registros, pero el registro de quién llamó a la API es de CloudTrail. Y X-Ray (Sesión 13) rastrea peticiones dentro de tu aplicación, no acciones sobre tu cuenta.
Informes de acceso de IAM
IAM tiene dos informes para aplicar el mínimo privilegio. El informe de credenciales (credential report) es un CSV con todos los usuarios de la cuenta y el estado de sus credenciales: contraseña, último uso, MFA y claves de acceso. Se puede generar una vez cada cuatro horas. La información de último acceso (last accessed) está en la pestaña Last Accessed de cada usuario, rol o grupo. Muestra qué servicios usó y cuándo: lo que nadie usa en meses es un permiso que sobra.
En el examen: “listar usuarios sin MFA” o “credenciales sin uso” en toda la cuenta es el informe de credenciales. “Quitar permisos de servicios que un usuario no usa” es el último acceso.