# Repaso de los dominios 1 y 2 y simulacro 1 **Dominios 1 y 2** ## Objetivo Consolidar todo lo visto en las cinco lecciones de los dominios 1 y 2 y obtener un diagnóstico honesto. Meta: **≥ 60 %** en el simulacro. Menos de eso no es problema: es información. --- ## Bloque A — Repaso activo estructurado (55 min) ### Ejercicio 1: reconstrucción sin apuntes (25 min) En una hoja en blanco, escribí de memoria: 1. Los **6 beneficios** de la nube según AWS, con un ejemplo de empresa para cada uno. 2. Los **6 pilares** del Well-Architected Framework y una pregunta que cada pilar le hace a una arquitectura. 3. Las **6 perspectivas** del Cloud Adoption Framework, separadas en las tres de negocio y las tres técnicas, y los **4 resultados** que el CAF apunta a mejorar. 4. Las **7 R** de migración, en una línea cada una. 5. Qué entra en un cálculo de **TCO** que no entra en el precio de un servidor. 6. **BYOL** contra **licencia incluida** (quién paga la licencia en cada caso) y qué es **rightsizing**, con por qué va antes de comprometerte con un Savings Plan o con Reserved Instances. 7. El **modelo de responsabilidad compartida**: cinco cosas que son de AWS y cinco que son tuyas, y cómo se corre la línea entre EC2, RDS y Lambda. 8. Los **tipos de identidad de IAM** (user, group, role, policy) y en qué se diferencia el user del role. 9. Las **tres reglas** de evaluación de una policy (deny implícito, deny explícito, allow). 10. Quién es cada uno: **IAM, IAM Identity Center y Cognito**. 11. Los **servicios de seguridad por función**: frenar tráfico, detectar amenazas, escanear software, encontrar datos sensibles, centralizar hallazgos. 12. **KMS vs CloudHSM**, **KMS vs ACM**, **Secrets Manager vs Parameter Store**, en una frase cada par. 13. La estructura de **Organizations** (management account, OU, SCP, facturación consolidada) y qué hace una SCP que no hace IAM. 14. Las tres capas de gobernanza (preventiva, detectiva, documental) con su servicio. Recién después abrí las lecciones y **marcá en rojo lo que no salió**. Eso es tu lista de repaso. ### Ejercicio 2: mapa de decisión de servicios de seguridad (15 min) Tapá el diagrama y reconstruí las hojas del árbol de memoria: para cada necesidad, el servicio. Después destapalo y compará. ```mermaid flowchart TB START["Necesito..."] --> T["Frenar tráfico malicioso"] START --> D["Detectar un problema"] START --> P["Proteger datos y claves"] START --> G["Gobernar cuentas y cumplir"] T --> T1["Inundación DDoS, capas 3 y 4
→ Shield"] T --> T2["Request HTTP malicioso, capa 7
→ WAF"] D --> D1["Comportamiento sospechoso en los logs
→ GuardDuty"] D --> D2["Vulnerabilidades en el software
→ Inspector"] D --> D3["Datos sensibles en S3
→ Macie"] D --> D4["Todo junto y contra estándares
→ Security Hub"] P --> P1["Cifrar en reposo
→ KMS"] P --> P2["HSM dedicado exigido por norma
→ CloudHSM"] P --> P3["Cifrar en tránsito, certificados TLS
→ ACM"] P --> P4["Secreto que tiene que rotar solo
→ Secrets Manager"] P --> P5["Configuración o secreto simple
→ Parameter Store"] G --> G1["Techo de permisos por grupo de cuentas
→ Organizations, SCP"] G --> G2["Landing zone multi-cuenta lista
→ Control Tower"] G --> G3["¿Mis recursos cumplen la norma?
→ Config"] G --> G4["¿AWS cumple? Informes para el auditor
→ Artifact"] ``` Si una rama te salió mal, la lección donde se explica es *Seguridad en AWS: cifrado, secretos y servicios de seguridad* para las tres primeras y *Cuentas y gobernanza: Organizations, Control Tower y cumplimiento* para la última. ### Ejercicio 3: los 10 pares que más se confunden (15 min) Estos diez pares son los que más puntos cuestan en el examen, porque las dos opciones suenan parecido. La mecánica es en dos tiempos: **antes de marcar, decí en voz alta la diferencia del par en una frase**, y recién después elegí. El cuestionario comprueba lo que recordaste; si elegís sin haberlo dicho primero, estás reconociendo, no recordando, y eso es justo lo que el examen no te va a regalar. ```quiz titulo: Los 10 pares que más se confunden modo: practica preguntas: - tipo: opcion-multiple id: par-kms-vs-cloudhsm enunciado: "Par 1 — **KMS vs CloudHSM**. ¿Qué frase los distingue bien?" opciones: - "KMS es administrado y multi-tenant; CloudHSM es hardware dedicado que vos operás, para cuando la norma lo exige" - "KMS es hardware dedicado; CloudHSM es el servicio administrado que se integra con S3 y EBS" - "KMS cifra en tránsito y CloudHSM en reposo" - "Son el mismo servicio; CloudHSM es el nombre viejo de KMS" correcta: "KMS es administrado y multi-tenant; CloudHSM es hardware dedicado que vos operás, para cuando la norma lo exige" explicacion: "**KMS** es la opción por defecto: administrado, integrado con casi todo AWS, HSMs compartidos que opera AWS. **CloudHSM** es un clúster de HSMs de un solo inquilino donde ni AWS ve las claves; se elige cuando una regulación lo exige y a cambio la operación es tuya. Repaso: *Seguridad en AWS: cifrado, secretos y servicios de seguridad* (dominio 2)." - tipo: emparejar id: par-guardduty-inspector-macie enunciado: "Par 2 — **GuardDuty vs Inspector vs Macie**. Uní cada hallazgo con el servicio que lo encuentra." pares: - ["Una instancia empezó a hablar con un servidor de minería de criptomonedas", "Amazon GuardDuty"] - ["Una imagen de contenedor tiene una librería con un CVE conocido", "Amazon Inspector"] - ["Un bucket tiene planillas con números de tarjeta de crédito", "Amazon Macie"] distractores: - "AWS Shield" explicacion: "Los tres buscan problemas, pero en lugares distintos: GuardDuty mira el **comportamiento** en los logs, Inspector mira el **software** (vulnerabilidades sin parchear), Macie mira el **contenido** de S3 (datos sensibles). Shield no busca nada: frena DDoS. Repaso: *Seguridad en AWS: cifrado, secretos y servicios de seguridad* (dominio 2)." - tipo: emparejar id: par-cloudtrail-config-cloudwatch enunciado: "Par 3 — **CloudTrail vs Config vs CloudWatch**. Uní cada pregunta con el servicio que la responde." pares: - ["¿Quién borró ese bucket ayer a las 3 de la mañana?", "AWS CloudTrail"] - ["¿Cómo estaba configurado ese bucket el martes pasado y cumplía la norma?", "AWS Config"] - ["¿Cuánta CPU usó esa instancia en la última hora?", "Amazon CloudWatch"] distractores: - "AWS Artifact" explicacion: "CloudTrail registra la **actividad** (llamadas a la API: quién hizo qué). Config registra la **configuración** y su historial, y la evalúa contra reglas. CloudWatch registra el **rendimiento**: métricas y logs. Artifact entrega informes de cumplimiento de AWS, no datos de tu cuenta. Repaso: *Cuentas y gobernanza: Organizations, Control Tower y cumplimiento* (dominio 2)." - tipo: opcion-multiple id: par-iam-user-vs-role enunciado: "Par 4 — **IAM user vs IAM role**. ¿Qué frase los distingue bien?" opciones: - "El user tiene credenciales permanentes propias; el role no tiene credenciales y entrega credenciales temporales a quien lo asume" - "El user es para servicios y el role para personas" - "El role tiene credenciales permanentes y el user credenciales temporales" - "El user se asume y el role se crea con password" correcta: "El user tiene credenciales permanentes propias; el role no tiene credenciales y entrega credenciales temporales a quien lo asume" explicacion: "Un **user** es una identidad fija con password o access keys. Un **role** no tiene nada de eso: lo asume un servicio (EC2, Lambda), otra cuenta o un usuario federado, y recibe credenciales que vencen solas. Por eso para una instancia siempre se usa un role y nunca access keys. Repaso: *IAM: identidades, permisos y accesos* (dominio 2)." - tipo: opcion-multiple id: par-shield-vs-waf enunciado: "Par 5 — **Shield vs WAF**. ¿Qué frase los distingue bien?" opciones: - "Shield frena inundaciones de tráfico (DDoS, capas 3 y 4); WAF filtra requests HTTP maliciosos bien formados (capa 7)" - "Shield filtra SQL injection; WAF frena DDoS" - "Shield es pago y WAF gratuito, pero hacen lo mismo" - "WAF protege instancias EC2 y Shield protege buckets S3" correcta: "Shield frena inundaciones de tráfico (DDoS, capas 3 y 4); WAF filtra requests HTTP maliciosos bien formados (capa 7)" explicacion: "No compiten: **Shield** Standard viene gratis y automático contra ataques de red y transporte; **WAF** mira el contenido de cada request (SQL injection, XSS, rate limiting, país) delante de CloudFront, ALB o API Gateway. Shield Advanced suma capa 7 y un equipo de respuesta, pero sigue siendo protección DDoS. Repaso: *Seguridad en AWS: cifrado, secretos y servicios de seguridad* (dominio 2)." - tipo: opcion-multiple id: par-organizations-vs-control-tower enunciado: "Par 6 — **Organizations vs Control Tower**. ¿Qué frase los distingue bien?" opciones: - "Organizations es la estructura (cuentas, OUs, SCPs, una factura); Control Tower la arma y gobierna por vos con una landing zone, Account Factory y controls" - "Control Tower es la estructura de cuentas; Organizations es el dashboard que la monitorea" - "Organizations gobierna lo que se despliega adentro de cada cuenta; Control Tower las cuentas" - "Son excluyentes: si usás Control Tower no podés usar Organizations" correcta: "Organizations es la estructura (cuentas, OUs, SCPs, una factura); Control Tower la arma y gobierna por vos con una landing zone, Account Factory y controls" explicacion: "**Organizations** es el servicio base: agrupa cuentas, aplica SCPs y consolida la factura. **Control Tower** corre encima y lo orquesta: crea la landing zone recomendada, fabrica cuentas preconfiguradas y aplica controls preventivos y detectivos. Lo que se despliega adentro lo gobierna Service Catalog. Repaso: *Cuentas y gobernanza: Organizations, Control Tower y cumplimiento* (dominio 2)." - tipo: emparejar id: par-secrets-manager-vs-parameter-store enunciado: "Par 7 — **Secrets Manager vs Parameter Store**. Uní cada valor con dónde conviene guardarlo." pares: - ["La contraseña de la base de datos, que tiene que rotar sola cada 30 días", "Secrets Manager"] - ["La URL de una API externa y un feature flag, al menor costo posible", "Parameter Store"] distractores: - "AWS KMS" explicacion: "Los dos guardan valores, pero **Secrets Manager** suma rotación automática (integrada con RDS) y cuesta por secreto; **Parameter Store** es más simple, tiene tier gratuito y sirve para configuración, también sensible como `SecureString`, sin rotación automática. KMS no guarda valores: administra las claves con las que los dos cifran. Repaso: *Seguridad en AWS: cifrado, secretos y servicios de seguridad* (dominio 2)." - tipo: opcion-multiple id: par-cognito-vs-identity-center enunciado: "Par 8 — **Cognito vs IAM Identity Center**. ¿Qué frase los distingue bien?" opciones: - "Cognito autentica a los usuarios finales de tu aplicación; Identity Center da a los empleados acceso con un solo login a muchas cuentas de AWS" - "Cognito es para empleados y Identity Center para clientes de la app" - "Cognito reemplaza a IAM dentro de la cuenta; Identity Center reemplaza a Organizations" - "Son el mismo servicio: Identity Center es el nombre nuevo de Cognito" correcta: "Cognito autentica a los usuarios finales de tu aplicación; Identity Center da a los empleados acceso con un solo login a muchas cuentas de AWS" explicacion: "La pregunta que decide es **quién se loguea**: si son los millones de usuarios de una app móvil, es **Cognito** (User Pools para autenticar, Identity Pools para darles credenciales temporales). Si son los empleados que administran AWS en varias cuentas, es **IAM Identity Center**, antes llamado AWS SSO. Repaso: *Cuentas y gobernanza: Organizations, Control Tower y cumplimiento* (dominio 2)." - tipo: opcion-multiple id: par-scp-vs-policy-iam enunciado: "Par 9 — **SCP vs policy de IAM**. ¿Qué frase los distingue bien?" opciones: - "La policy de IAM otorga permisos a una identidad; la SCP no otorga nada, pone un techo a lo que IAM puede otorgar en una cuenta u OU" - "La SCP otorga permisos a toda la organización; la policy de IAM los recorta por usuario" - "La SCP aplica a la management account y la policy de IAM a las cuentas miembro" - "Son intercambiables: una SCP es una policy de IAM aplicada a un grupo" correcta: "La policy de IAM otorga permisos a una identidad; la SCP no otorga nada, pone un techo a lo que IAM puede otorgar en una cuenta u OU" explicacion: "El permiso efectivo es la **intersección**: hace falta que la SCP lo deje pasar **y** que una policy de IAM lo otorgue. Una SCP sola no da acceso a nadie, y una policy de IAM no puede saltar el techo de la SCP. Las SCPs aplican a las cuentas miembro, nunca a la management account. Repaso: *Cuentas y gobernanza: Organizations, Control Tower y cumplimiento* (dominio 2)." - tipo: opcion-multiple id: par-artifact-vs-config enunciado: "Par 10 — **Artifact vs Config** en una auditoría. ¿Qué frase los distingue bien?" opciones: - "Artifact entrega los informes que prueban que AWS cumple; Config verifica que tus propios recursos cumplan las reglas" - "Artifact verifica tus recursos; Config descarga los informes SOC y PCI de AWS" - "Artifact es la versión paga de Config" - "Los dos hacen lo mismo, pero Config solo funciona dentro de una Organization" correcta: "Artifact entrega los informes que prueban que AWS cumple; Config verifica que tus propios recursos cumplan las reglas" explicacion: "Es el modelo de responsabilidad compartida aplicado al cumplimiento. **Artifact**: portal gratuito con los informes de los auditores de AWS (SOC, PCI, ISO) y los acuerdos. **Config**: reglas sobre la configuración de tus recursos, con historial y remediación. Al auditor le mostrás los dos. Repaso: *Cuentas y gobernanza: Organizations, Control Tower y cumplimiento* (dominio 2)." ``` --- ## Bloque B — Simulacro 1 (55 min: 45 de examen + 10 de revisión) El reloj lo lleva el cuestionario: **45 minutos** para 33 preguntas. Ese ritmo (poco más de un minuto por pregunta) es el mismo del examen real, que da 90 minutos para 65. La cuenta regresiva arranca cuando tocás **Empezar simulacro**, así que tocalo recién cuando estés listo, con los apuntes cerrados. Cómo funciona: - **Aparecen los dos tipos de pregunta del examen**, y solo esos: opción múltiple (una correcta entre cuatro) y respuesta múltiple (dos o más correctas entre cinco o más; el enunciado te dice cuántas elegir). El examen CLF-C02 no tiene ordenamiento, emparejamiento ni casos de estudio. - **Cada pregunta vale 1 punto, sin crédito parcial**, igual que en el examen: en las de varias respuestas tenés que acertar todas para sumar. - **Se rinde con el mismo formato que el examen real.** Ves **una pregunta por pantalla**, con «Pregunta N de M» y el reloj siempre visibles arriba. Te movés con **Anterior** y **Siguiente**; las respuestas se guardan aunque vayas y vuelvas. - **Si dudás, marcá y seguí.** El botón **Marcar para revisar** deja la pregunta señalada para volver después, igual que en el examen. No te quedes trabado: descartá las dos peores opciones, elegí entre las que quedan, marcala y avanzá. - **No hay corrección pregunta por pregunta.** Respondé todas: un error no resta, y en el examen las que quedan sin responder cuentan como incorrectas. - **Antes de entregar, revisá.** **Revisar respuestas** (en la última pregunta, o en cualquier momento con el botón secundario del mismo nombre) te lleva a la pantalla **Revisá antes de entregar**: la lista de las 33 preguntas con los filtros **Todas**, **Sin responder** y **Marcadas**. Tocás cualquiera y volvés a ella. El examen real tiene una pantalla igual; acostumbrate a usarla. - **Cuando el reloj llega a cero, avisa pero no corta.** Si te pasás, terminá igual y anotá cuántos minutos te excediste: en el examen real no hay prórroga, así que ese número también es un dato. - Al final tocá **Terminar examen**. Si te quedaron preguntas sin responder, el visor te lo dice y te deja elegir entre **Entregar igual** y **Seguir respondiendo**. Después de entregar viene lo que el examen real no te da: el porcentaje, cada pregunta corregida con su explicación y la lección donde se enseña ese tema, y los filtros **Solo las que fallé** y **Solo las marcadas**. Los 10 minutos que sobran del bloque no son para volver a hacerlo: activá **Solo las que fallé** y leé la explicación de cada error. > [!WARNING] > El visor guarda tu mejor porcentaje y la cantidad de intentos, pero no tus respuestas: si recargás, cerrás la lección o tocás **Reintentar**, perdés la revisión pregunta por pregunta. No salgas de esta página hasta terminar el paso 1 del Bloque C. ```quiz titulo: Simulacro 1 — Dominios 1 y 2 modo: examen minutos: 45 aprobar: 60 preguntas: - tipo: opcion-multiple id: beneficio-gasto-variable-s1 dominio: 1 enunciado: "Una empresa compraba servidores cada tres años, calculando el pico de ventas de diciembre, y el resto del año esa capacidad quedaba ociosa. Al pasar a AWS deja de hacer esa compra y paga por lo que consume cada mes. ¿Qué beneficio de la nube describe este cambio?" opciones: - "Cambiar gasto de capital por gasto variable" - "Volverse global en minutos" - "Aumentar la velocidad y la agilidad" - "Dejar de mantener data centers" correcta: "Cambiar gasto de capital por gasto variable" explicacion: "La palabra clave es **pagar por lo que consume** en vez de una inversión inicial por el pico: es el cambio de **CapEx a OpEx**. «Dejar de mantener data centers» tienta porque también deja de comprar hardware, pero ese beneficio habla del trabajo de operar instalaciones, no de cómo se paga. Repaso: *Well-Architected, Cloud Adoption Framework y economía de la nube* (dominio 1)." - tipo: opcion-multiple id: beneficio-velocidad-y-agilidad-s1 dominio: 1 enunciado: "Un equipo de producto quiere probar una idea nueva. En su data center, conseguir un servidor tardaba seis semanas de compra e instalación; en AWS lo tienen en minutos y, si la idea no funciona, lo apagan. ¿Qué beneficio de la nube aprovechan?" opciones: - "Aumentar la velocidad y la agilidad" - "Economías de escala masivas" - "Cambiar gasto de capital por gasto variable" - "Alta disponibilidad" correcta: "Aumentar la velocidad y la agilidad" explicacion: "Recursos en **minutos** para experimentar y descartar rápido es **velocidad y agilidad**. «Gasto variable» tienta porque también ahorra, pero la pregunta no habla de cómo se paga sino de cuánto tarda en tener el recurso. Las economías de escala son el beneficio por el que AWS compra más barato que vos. Repaso: *Introducción a la nube y a AWS* (dominio 1)." - tipo: opcion-multiple id: beneficio-global-en-minutos-s1 dominio: 1 enunciado: "Una app de delivery argentina quiere lanzar en México y Colombia el mes que viene, con baja latencia para los usuarios de esos países y sin firmar contratos de hosting locales. ¿Qué beneficio de la nube lo hace posible?" opciones: - "Volverse global en minutos" - "Dejar de adivinar la capacidad" - "Economías de escala masivas" - "Cambiar gasto de capital por gasto variable" correcta: "Volverse global en minutos" explicacion: "Desplegar en otra región con un par de clics, cerca de los usuarios nuevos, es **volverse global en minutos**. Las otras tres son beneficios reales, pero no hablan de geografía: «dejar de adivinar capacidad» es sobre cuánto aprovisionar, y las dos de dinero sobre cómo se paga. Repaso: *Introducción a la nube y a AWS* (dominio 1)." - tipo: respuesta-multiple id: ventajas-de-la-nube-s1 dominio: 1 enunciado: "Una empresa evalúa migrar a la nube. ¿Cuáles de las siguientes son **dos** de las seis ventajas de la nube que enumera AWS? (Elegí DOS.)" opciones: - "Dejar de adivinar la capacidad: escalar según la demanda real" - "Beneficiarse de economías de escala masivas" - "Tener control físico sobre los servidores que corren la aplicación" - "Eliminar por completo la responsabilidad del cliente sobre la seguridad" - "Pagar un precio fijo anual, sin importar el uso" correctas: - "Dejar de adivinar la capacidad: escalar según la demanda real" - "Beneficiarse de economías de escala masivas" explicacion: "Las seis ventajas son: gasto variable en vez de capital, economías de escala, dejar de adivinar capacidad, velocidad y agilidad, dejar de mantener data centers y volverse global en minutos. El control físico y el precio fijo son lo **opuesto** a la nube, y la seguridad sigue siendo compartida: el cliente conserva la seguridad **en** la nube. Repaso: *Introducción a la nube y a AWS* (dominio 1)." - tipo: opcion-multiple id: well-architected-reliability-s1 dominio: 1 enunciado: "Una tienda online quiere que su aplicación siga funcionando aunque falle un data center entero, se recupere sola de las fallas y pruebe periódicamente sus procedimientos de recuperación. ¿Qué pilar del Well-Architected Framework guía esas decisiones?" opciones: - "Reliability" - "Performance Efficiency" - "Security" - "Operational Excellence" correcta: "Reliability" explicacion: "Recuperarse de fallas, repartir en varias Availability Zones y probar la recuperación son principios de **Reliability**. **Operational Excellence** tienta por los «procedimientos», pero se ocupa de cómo se opera y mejora el sistema día a día (runbooks, cambios chicos), no de sobrevivir a una falla. Repaso: *Well-Architected, Cloud Adoption Framework y economía de la nube* (dominio 1)." - tipo: opcion-multiple id: well-architected-cost-optimization-s1 dominio: 1 enunciado: "Un equipo revisa su arquitectura y decide apagar los entornos de prueba fuera del horario laboral, achicar instancias sobredimensionadas y comprometer uso a un año para los servidores estables. ¿A qué pilar del Well-Architected Framework responde esa revisión?" opciones: - "Cost Optimization" - "Performance Efficiency" - "Sustainability" - "Reliability" correcta: "Cost Optimization" explicacion: "Apagar lo que no se usa, hacer rightsizing y usar modelos de precio con compromiso es **Cost Optimization**: gastar solo lo necesario. **Performance Efficiency** tienta por el rightsizing, pero su foco es usar el tipo de recurso correcto para el rendimiento, no reducir la factura. Sustainability busca menos impacto ambiental; se parece, pero la pregunta habla de plata. Repaso: *Well-Architected, Cloud Adoption Framework y economía de la nube* (dominio 1)." - tipo: opcion-multiple id: well-architected-operational-excellence-s1 dominio: 1 enunciado: "Una empresa quiere hacer todos sus cambios de infraestructura por código, en pasos chicos y reversibles, con runbooks para las operaciones frecuentes y una revisión después de cada incidente. ¿Qué pilar del Well-Architected Framework describe esas prácticas?" opciones: - "Operational Excellence" - "Reliability" - "Security" - "Cost Optimization" correcta: "Operational Excellence" explicacion: "Operaciones como código, cambios pequeños y reversibles, runbooks y aprender de las fallas son los principios de **Operational Excellence**. **Reliability** es la trampa: también habla de fallas, pero de que el sistema las resista y se recupere, no de cómo el equipo opera y mejora. Repaso: *Well-Architected, Cloud Adoption Framework y economía de la nube* (dominio 1)." - tipo: opcion-multiple id: well-architected-sustainability-s1 dominio: 1 enunciado: "La dirección de una empresa pide medir el impacto ambiental de sus workloads en la nube, elegir regiones con menor huella de carbono y apagar recursos subutilizados para reducir la energía consumida. ¿Qué pilar del Well-Architected Framework agrega ese enfoque?" opciones: - "Sustainability" - "Cost Optimization" - "Performance Efficiency" - "Operational Excellence" correcta: "Sustainability" explicacion: "**Sustainability** es el sexto pilar: minimizar el impacto ambiental, medir la huella y usar los recursos al máximo. **Cost Optimization** es la trampa porque apagar lo subutilizado también ahorra plata, pero acá el objetivo declarado es la energía y el carbono, no la factura. Repaso: *Well-Architected, Cloud Adoption Framework y economía de la nube* (dominio 1)." - tipo: opcion-multiple id: caf-perspectiva-governance-s1 dominio: 1 enunciado: "Durante una migración, el comité directivo pide definir cómo se van a controlar los costos de la nube, medir el riesgo del proyecto y asegurar el cumplimiento regulatorio. ¿Qué perspectiva del AWS Cloud Adoption Framework cubre ese pedido?" opciones: - "Governance" - "Business" - "Security" - "Operations" correcta: "Governance" explicacion: "Riesgos, costos y cumplimiento del programa de adopción son la perspectiva **Governance**. **Business** tienta porque también es de dirección, pero se ocupa de que la inversión dé retorno y acelere los objetivos del negocio. **Security** cubre confidencialidad, integridad y disponibilidad de los datos, no la gestión del proyecto. Repaso: *Well-Architected, Cloud Adoption Framework y economía de la nube* (dominio 1)." - tipo: respuesta-multiple id: tco-costos-del-data-center-s1 dominio: 1 enunciado: "Una empresa compara el costo de su data center con el de AWS. Para que el cálculo de costo total de propiedad (TCO) sea justo, ¿qué **dos** costos del data center tiene que incluir además del precio de los servidores? (Elegí DOS.)" opciones: - "El personal que opera, parchea y reemplaza el hardware" - "La energía, la refrigeración y el espacio físico de las instalaciones" - "El costo de transferencia de datos de salida de AWS" - "El precio de las instancias On-Demand de AWS" - "Las licencias de los servicios administrados de AWS" correctas: - "El personal que opera, parchea y reemplaza el hardware" - "La energía, la refrigeración y el espacio físico de las instalaciones" explicacion: "El **TCO** on-premise suma a los servidores lo que suele quedar oculto: **personal**, **energía, refrigeración y espacio**, redes y mantenimiento. Los otros tres son costos del lado de AWS, que van en la otra columna de la comparación, no en la del data center. Repaso: *Well-Architected, Cloud Adoption Framework y economía de la nube* (dominio 1)." - tipo: opcion-multiple id: migracion-rehost-s1 dominio: 1 enunciado: "Una empresa mueve 200 máquinas virtuales a AWS tal como están, sin cambiar ni el sistema operativo ni las aplicaciones, para cerrar el data center antes de que venza el contrato de alquiler. ¿Qué estrategia de migración aplica?" opciones: - "Rehost (lift and shift)" - "Replatform (lift, tinker and shift)" - "Refactor" - "Repurchase" correcta: "Rehost (lift and shift)" explicacion: "Mover **sin cambios** y rápido es **rehost**. **Replatform** es la trampa: también mueve sin reescribir, pero introduce alguna optimización en el camino, como pasar la base a RDS. Refactor rediseña la aplicación para la nube y repurchase la reemplaza por un SaaS. Repaso: *Well-Architected, Cloud Adoption Framework y economía de la nube* (dominio 1)." - tipo: opcion-multiple id: rightsizing-antes-de-comprometer-s1 dominio: 1 enunciado: "Una empresa va a comprar un Savings Plan de tres años para la flota de EC2 que atiende a sus clientes las 24 horas. Las métricas de CloudWatch muestran que, desde hace meses, la mayoría de esas instancias no pasa del 15 % de CPU ni de memoria. ¿Qué conviene hacer antes de comprar?" opciones: - "Achicar primero las instancias al tamaño que la carga usa y calcular el compromiso sobre ese consumo nuevo" - "Comprar ya el Savings Plan por el consumo actual y achicar las instancias después, con el descuento asegurado" - "Comprometer el doble del consumo actual, para tener margen si la carga crece" - "Pasar toda la flota a instancias Spot, que no piden compromiso" correcta: "Achicar primero las instancias al tamaño que la carga usa y calcular el compromiso sobre ese consumo nuevo" explicacion: "Primero **rightsizing**, después el compromiso: AWS recomienda ajustar el tamaño antes de comprar un Savings Plan, porque el gasto por hora que comprometés queda fijo durante todo el plazo (solo se puede devolver un plan chico dentro de los 7 días de comprado). Comprar primero y achicar después es la trampa: al achicar, tu consumo queda por debajo de lo comprometido y esa diferencia la pagás igual, sin usarla. Comprometer el doble agranda el mismo problema, y Spot puede interrumpirse con dos minutos de aviso, algo que una carga que atiende clientes todo el día no admite; además no corrige el sobredimensionamiento. Repaso: *Well-Architected, Cloud Adoption Framework y economía de la nube* (dominio 1)." - tipo: opcion-multiple id: caf-perspectiva-platform-s1 dominio: 1 enunciado: "En la adopción de la nube de una aseguradora, el CTO y sus arquitectos definen los patrones de arquitectura de referencia para las cuentas y la red, y deciden qué aplicaciones se reescriben con contenedores y serverless. ¿Qué perspectiva del AWS Cloud Adoption Framework están trabajando?" opciones: - "Platform" - "Operations" - "Governance" - "People" correcta: "Platform" explicacion: "La arquitectura de la plataforma y el desarrollo moderno de aplicaciones son capacidades de la perspectiva **Platform**, la de los arquitectos y los ingenieros que responden al CTO. **Operations** es la trampa porque también es técnica, pero se ocupa de operar lo que ya corre al nivel acordado con el negocio: monitoreo, incidentes, parches y continuidad. Governance controla riesgos, costos y cumplimiento del programa, y People trabaja cultura, roles y capacitación. Repaso: *Well-Architected, Cloud Adoption Framework y economía de la nube* (dominio 1)." - tipo: opcion-multiple id: modelo-saas-s1 dominio: 1 enunciado: "Una empresa usa un CRM al que entra por el navegador, paga por usuario al mes y nunca instala ni actualiza nada. ¿Qué modelo de servicio de nube está consumiendo?" opciones: - "Software as a Service (SaaS)" - "Platform as a Service (PaaS)" - "Infrastructure as a Service (IaaS)" - "Nube híbrida" correcta: "Software as a Service (SaaS)" explicacion: "Una aplicación lista, usada por el navegador y mantenida por otro, es **SaaS**: el cliente solo maneja sus datos y su configuración. **PaaS** es la trampa: también evita administrar servidores, pero vos seguís desplegando **tu** código en la plataforma. IaaS te da servidores virtuales y vos manejás desde el sistema operativo para arriba. Repaso: *Introducción a la nube y a AWS* (dominio 1)." - tipo: opcion-multiple id: caf-resultado-esg-s1 dominio: 1 enunciado: "Una cadena de supermercados se comprometió ante sus inversores a bajar las emisiones de carbono de su tecnología y a informar el avance cada año. Va a planificar la migración con el AWS Cloud Adoption Framework. ¿Cuál de los resultados que el CAF apunta a mejorar responde a ese compromiso?" opciones: - "Mejor desempeño ambiental, social y de gobernanza (ESG)" - "Más eficiencia operativa" - "Menor riesgo de negocio" - "El pilar de sostenibilidad del Well-Architected Framework" correcta: "Mejor desempeño ambiental, social y de gobernanza (ESG)" explicacion: "Bajar emisiones y rendir cuentas a los inversores es la parte ambiental del **desempeño ESG**, uno de los cuatro resultados que la guía asocia al CAF, junto con menor riesgo de negocio, más ingresos y más eficiencia operativa. Eficiencia operativa tienta porque consumir menos también ahorra, pero ese resultado se mide en costos operativos y productividad, no en emisiones. El pilar de sostenibilidad es la trampa de nombre: es del Well-Architected Framework, que revisa el diseño de una carga de trabajo, y no es un resultado del CAF. Repaso: *Well-Architected, Cloud Adoption Framework y economía de la nube* (dominio 1)." - tipo: opcion-multiple id: responsabilidad-compartida-parches-rds-vs-ec2-s1 dominio: 2 enunciado: "Una empresa tiene una base de datos en Amazon RDS y otra instalada a mano en una instancia EC2. Sale un parche de seguridad para el motor de base de datos. Según el modelo de responsabilidad compartida, ¿quién aplica el parche en cada caso?" opciones: - "En RDS lo aplica AWS; en EC2 lo aplica el cliente" - "En los dos casos lo aplica AWS" - "En los dos casos lo aplica el cliente" - "En RDS lo aplica el cliente; en EC2 lo aplica AWS" correcta: "En RDS lo aplica AWS; en EC2 lo aplica el cliente" explicacion: "La línea se corre según cuán administrado es el servicio. En **RDS**, AWS administra el sistema operativo y el motor, así que parchea AWS; en **EC2** el cliente es dueño de todo lo que está sobre el hipervisor, motor incluido. Los datos, los usuarios de la base y los permisos son del cliente en los dos casos. Repaso: *Introducción a la nube y a AWS* (dominio 2)." - tipo: respuesta-multiple id: responsabilidad-compartida-tareas-cliente-s1 dominio: 2 enunciado: "Una empresa corre su aplicación en instancias EC2 y guarda archivos en S3. Según el modelo de responsabilidad compartida, ¿cuáles **dos** de estas tareas son responsabilidad del cliente? (Elegí DOS.)" opciones: - "Configurar las reglas de firewall (security groups) de las instancias" - "Decidir si los objetos del bucket se cifran y quién puede leerlos" - "La seguridad física de los data centers" - "El mantenimiento del hardware de red y los hipervisores" - "Reemplazar los discos que fallan en los servidores físicos" correctas: - "Configurar las reglas de firewall (security groups) de las instancias" - "Decidir si los objetos del bucket se cifran y quién puede leerlos" explicacion: "AWS responde por la seguridad **de** la nube: instalaciones, hardware, red, hipervisor. El cliente responde por la seguridad **en** la nube: configuración de red, permisos, cifrado y clasificación de sus datos. Las tres opciones físicas son de AWS aunque las instancias sean tuyas. Repaso: *Introducción a la nube y a AWS* (dominio 2)." - tipo: opcion-multiple id: iam-role-en-vez-de-access-keys-s1 dominio: 2 enunciado: "Una aplicación en una instancia EC2 necesita escribir en un bucket S3. Un desarrollador propone generar access keys de un usuario IAM y guardarlas en un archivo de configuración dentro de la instancia. ¿Qué alternativa recomienda AWS?" opciones: - "Asignarle a la instancia un IAM role con permiso de escritura sobre el bucket" - "Guardar las access keys en el user data de la instancia en vez de en un archivo" - "Usar las credenciales del usuario root, que ya tienen acceso a todo" - "Hacer el bucket público para que no haga falta autenticarse" correcta: "Asignarle a la instancia un IAM role con permiso de escritura sobre el bucket" explicacion: "Un **role** entrega credenciales temporales que rotan solas y nunca quedan escritas en disco ni en un repositorio: es la práctica recomendada para cualquier servicio que llama a otro. Mover las keys al user data sigue siendo una key permanente en texto plano. Root y bucket público son los dos peores caminos posibles. Repaso: *IAM: identidades, permisos y accesos* (dominio 2)." - tipo: opcion-multiple id: iam-deny-explicito-s1 dominio: 2 enunciado: "Un usuario IAM pertenece a un grupo con una policy que permite todas las acciones de S3. Además, tiene una policy propia con un `Deny` sobre `s3:DeleteObject`. Intenta borrar un objeto. ¿Qué pasa?" opciones: - "Se deniega: un Deny explícito gana sobre cualquier Allow" - "Se permite: la policy del grupo cubre todo S3" - "Se permite: la policy más reciente es la que vale" - "Depende de si el bucket está en la misma región que el usuario" correcta: "Se deniega: un Deny explícito gana sobre cualquier Allow" explicacion: "IAM arranca en deny implícito, evalúa todas las policies aplicables y, si aparece un **Deny explícito**, deniega sin importar cuántos Allow haya ni de dónde vengan. No existe la regla de «la más reciente», y la región no interviene en la evaluación. Repaso: *IAM: identidades, permisos y accesos* (dominio 2)." - tipo: opcion-multiple id: iam-root-no-usar-a-diario-s1 dominio: 2 enunciado: "El administrador de una cuenta nueva usa las credenciales del usuario root para el trabajo de todos los días porque «así no tiene problemas de permisos». ¿Qué debería hacer en su lugar?" opciones: - "Activar MFA en el root, guardarlo para las pocas tareas que solo él puede hacer, y trabajar con una identidad IAM con los permisos necesarios" - "Crearle access keys al root para usarlo desde la CLI en vez de la consola" - "Ponerle al root una policy de IAM que le recorte los permisos" - "Seguir usando el root, pero cambiando la contraseña cada semana" correcta: "Activar MFA en el root, guardarlo para las pocas tareas que solo él puede hacer, y trabajar con una identidad IAM con los permisos necesarios" explicacion: "El root tiene acceso total y **no se puede restringir con policies de IAM**: por eso se protege con MFA y se deja de usar. Crearle access keys agranda el riesgo, y cambiar la contraseña no resuelve que cualquier error se ejecuta con poder absoluto. Repaso: *IAM: identidades, permisos y accesos* (dominio 2)." - tipo: opcion-multiple id: iam-identity-center-s1 dominio: 2 enunciado: "Una empresa con ocho cuentas de AWS quiere que sus empleados entren a las cuentas que les corresponden con las credenciales del directorio corporativo, con un solo login y sin crear usuarios IAM en cada cuenta. ¿Qué servicio usa?" opciones: - "IAM Identity Center" - "Amazon Cognito" - "IAM Access Analyzer" - "AWS Organizations" correcta: "IAM Identity Center" explicacion: "Acceso de la **fuerza de trabajo** a **muchas cuentas** con single sign-on es **IAM Identity Center** (antes AWS SSO). **Cognito** es la trampa: también autentica, pero a los usuarios finales de una aplicación. Organizations agrupa las cuentas pero no autentica a nadie; Access Analyzer revisa permisos. Repaso: *IAM: identidades, permisos y accesos* (dominio 2)." - tipo: respuesta-multiple id: iam-buenas-practicas-s1 dominio: 2 enunciado: "Un equipo de seguridad audita el uso de IAM en una cuenta. ¿Cuáles **dos** de estas prácticas son las recomendadas por AWS? (Elegí DOS.)" opciones: - "Dar a cada identidad solo los permisos que necesita para su tarea" - "Asignar los permisos a grupos y sumar los usuarios a esos grupos" - "Compartir un único usuario IAM entre todo el equipo para simplificar la administración" - "Escribir las access keys en el código fuente para que la aplicación las encuentre" - "Dar `AdministratorAccess` a todos y recortar si surge un problema" correctas: - "Dar a cada identidad solo los permisos que necesita para su tarea" - "Asignar los permisos a grupos y sumar los usuarios a esos grupos" explicacion: "**Mínimo privilegio** y **permisos por grupo** son dos pilares de las buenas prácticas de IAM. Compartir un usuario borra la trazabilidad, las keys en el código terminan en un repositorio, y arrancar con administrador y recortar después es mínimo privilegio al revés. Repaso: *IAM: identidades, permisos y accesos* (dominio 2)." - tipo: opcion-multiple id: kms-claves-controladas-s1 dominio: 2 enunciado: "Una empresa de salud quiere cifrar los datos que guarda en AWS con claves que ella controle, definir quién puede usarlas y auditar cada uso, sin operar hardware criptográfico propio. ¿Qué servicio usa?" opciones: - "AWS KMS con claves administradas por el cliente" - "AWS CloudHSM" - "AWS Secrets Manager" - "AWS Certificate Manager" correcta: "AWS KMS con claves administradas por el cliente" explicacion: "**KMS** administra las claves, permite key policies (quién las usa), registra cada uso en CloudTrail y se integra con casi todos los servicios: cubre el pedido sin operar nada. **CloudHSM** es la trampa: da más control, pero implica operar un HSM dedicado, justo lo que la empresa no quiere; se elige cuando una norma exige hardware de un solo inquilino. Repaso: *Seguridad en AWS: cifrado, secretos y servicios de seguridad* (dominio 2)." - tipo: opcion-multiple id: secrets-manager-rotacion-s1 dominio: 2 enunciado: "Una aplicación necesita la contraseña de su base de datos, y la política de la empresa exige que esa contraseña cambie sola cada 30 días sin que nadie la toque ni redespliegue la aplicación. ¿Dónde la guardan?" opciones: - "AWS Secrets Manager" - "Systems Manager Parameter Store, como `SecureString`" - "Una variable de entorno en la instancia" - "AWS KMS" correcta: "AWS Secrets Manager" explicacion: "La palabra clave es **rotación automática**: es lo que **Secrets Manager** suma, con integración directa para bases RDS. **Parameter Store** es la trampa: también guarda el valor cifrado y es más barato, pero no rota solo. KMS administra claves de cifrado, no guarda contraseñas. Repaso: *Seguridad en AWS: cifrado, secretos y servicios de seguridad* (dominio 2)." - tipo: opcion-multiple id: waf-sql-injection-y-rate-limiting-s1 dominio: 2 enunciado: "El sitio de una empresa recibe requests HTTP bien formados que intentan inyectar SQL en el buscador y, además, un mismo cliente hace miles de pedidos por minuto. Quieren bloquear las dos cosas delante del balanceador. ¿Qué servicio usan?" opciones: - "AWS WAF" - "AWS Shield Standard" - "Amazon GuardDuty" - "Amazon Inspector" correcta: "AWS WAF" explicacion: "Inspeccionar el contenido de cada request (SQL injection) y limitar por IP (rate limiting) es **capa 7**: **WAF**. **Shield** es la trampa: protege contra DDoS de red y transporte, no lee el contenido de un request. GuardDuty detecta amenazas en los logs e Inspector busca vulnerabilidades; ninguno se pone delante del tráfico. Repaso: *Seguridad en AWS: cifrado, secretos y servicios de seguridad* (dominio 2)." - tipo: opcion-multiple id: guardduty-amenazas-s1 dominio: 2 enunciado: "Una empresa quiere enterarse si alguna instancia empieza a comunicarse con direcciones conocidas por distribuir malware o si unas credenciales IAM se usan desde un país inusual, analizando los logs de la cuenta de forma continua y sin instalar nada. ¿Qué servicio habilita?" opciones: - "Amazon GuardDuty" - "Amazon Inspector" - "Amazon Macie" - "AWS Config" correcta: "Amazon GuardDuty" explicacion: "Detección de amenazas por **comportamiento**, a partir de CloudTrail, VPC Flow Logs y DNS, sin agentes: **GuardDuty**. **Inspector** es la trampa: también «detecta», pero vulnerabilidades en el software, no actividad sospechosa en curso. Macie busca datos sensibles en S3 y Config evalúa configuración. Repaso: *Seguridad en AWS: cifrado, secretos y servicios de seguridad* (dominio 2)." - tipo: opcion-multiple id: macie-datos-sensibles-s1 dominio: 2 enunciado: "Una empresa tiene cientos de buckets S3 con documentos históricos y necesita saber en cuáles hay datos personales o números de tarjeta antes de una auditoría, sin revisarlos a mano. ¿Qué servicio usa?" opciones: - "Amazon Macie" - "Amazon Inspector" - "AWS Artifact" - "Amazon GuardDuty" correcta: "Amazon Macie" explicacion: "Descubrir **datos sensibles** (PII, tarjetas, credenciales) dentro de S3 con machine learning es **Macie**. **Artifact** es la trampa por la palabra «auditoría», pero entrega los informes de cumplimiento de AWS, no revisa tus datos. Inspector mira software y GuardDuty comportamiento. Repaso: *Seguridad en AWS: cifrado, secretos y servicios de seguridad* (dominio 2)." - tipo: respuesta-multiple id: security-hub-s1 dominio: 2 enunciado: "Un equipo de seguridad tiene GuardDuty, Inspector y Macie activos y pierde tiempo saltando entre consolas. Habilita AWS Security Hub. ¿Qué **dos** cosas obtiene? (Elegí DOS.)" opciones: - "Un panel único con los hallazgos de esos servicios en un formato común y priorizados" - "La evaluación de la cuenta contra estándares como CIS y PCI DSS" - "Protección automática contra ataques DDoS en todas las cuentas" - "El cifrado de todos los buckets que no lo tengan" - "Los informes SOC y PCI de la infraestructura de AWS" correctas: - "Un panel único con los hallazgos de esos servicios en un formato común y priorizados" - "La evaluación de la cuenta contra estándares como CIS y PCI DSS" explicacion: "**Security Hub** centraliza los hallazgos de GuardDuty, Inspector, Macie y Config en un solo lugar y verifica la cuenta contra estándares de seguridad. No protege ni remedia por sí solo: el DDoS es de Shield, cifrar buckets lo hacés vos con KMS, y los informes de AWS los entrega Artifact. Repaso: *Seguridad en AWS: cifrado, secretos y servicios de seguridad* (dominio 2)." - tipo: opcion-multiple id: acm-https-s1 dominio: 2 enunciado: "Una app corre detrás de un Application Load Balancer y la empresa quiere que todo el tráfico de los clientes viaje cifrado por HTTPS, con un certificado que se renueve solo y sin costo extra. ¿Qué servicio usa?" opciones: - "AWS Certificate Manager" - "AWS KMS" - "AWS CloudHSM" - "AWS Secrets Manager" correcta: "AWS Certificate Manager" explicacion: "Cifrado **en tránsito** con certificados TLS públicos, gratuitos y con renovación automática, integrados con ALB, CloudFront y API Gateway: **ACM**. **KMS** es la trampa clásica: cifra datos **en reposo**, no conexiones. CloudHSM es hardware criptográfico dedicado y Secrets Manager guarda secretos. Repaso: *Seguridad en AWS: cifrado, secretos y servicios de seguridad* (dominio 2)." - tipo: opcion-multiple id: scp-restringir-region-s1 dominio: 2 enunciado: "Una empresa tiene una OU llamada Sandbox con las cuentas de experimentación de cada equipo y quiere garantizar que nadie, ni siquiera un administrador de esas cuentas, pueda crear recursos fuera de la región `us-east-1`. ¿Qué usa?" opciones: - "Una Service Control Policy aplicada a la OU Sandbox" - "Una policy de IAM con `AdministratorAccess` en cada cuenta" - "Una regla de AWS Config que detecte recursos fuera de la región" - "Un control detectivo de Control Tower" correcta: "Una Service Control Policy aplicada a la OU Sandbox" explicacion: "La palabra clave es **garantizar que nadie pueda**, incluso un administrador: eso es un control **preventivo** a nivel de organización, la **SCP**. Config y un control detectivo son la trampa: avisan **después** de que el recurso se creó, no lo impiden. Una policy de IAM la puede modificar el propio administrador de la cuenta. Repaso: *Cuentas y gobernanza: Organizations, Control Tower y cumplimiento* (dominio 2)." - tipo: opcion-multiple id: control-tower-landing-zone-s1 dominio: 2 enunciado: "Una empresa que recién llega a AWS necesita armar en pocas horas un entorno multi-cuenta con la estructura recomendada, cuentas nuevas que salgan preconfiguradas y reglas de gobernanza aplicadas a cada OU, sin construirlo a mano. ¿Qué servicio usa?" opciones: - "AWS Control Tower" - "AWS Organizations, creando las OUs y las SCPs una por una" - "AWS Service Catalog" - "AWS Config" correcta: "AWS Control Tower" explicacion: "**Control Tower** arma la landing zone sobre Organizations, con Account Factory y controls preventivos y detectivos ya aplicados. **Organizations solo** es la trampa: da las piezas, pero la empresa tendría que armar todo a mano, que es lo que quiere evitar. Service Catalog gobierna lo que se despliega adentro de las cuentas y Config es la pata detectiva. Repaso: *Cuentas y gobernanza: Organizations, Control Tower y cumplimiento* (dominio 2)." - tipo: opcion-multiple id: cloudtrail-vs-config-auditoria-s1 dominio: 2 enunciado: "Un auditor pregunta dos cosas: quién modificó ayer el security group de la base de datos, y si todos los volúmenes de la cuenta están cifrados como exige la norma interna. ¿Qué par de servicios responde cada pregunta, en ese orden?" opciones: - "AWS CloudTrail y AWS Config" - "AWS Config y AWS CloudTrail" - "Amazon CloudWatch y AWS Artifact" - "AWS CloudTrail y AWS Artifact" correcta: "AWS CloudTrail y AWS Config" explicacion: "«**Quién** hizo qué» es actividad: **CloudTrail** registra cada llamada a la API. «¿**Cumple** la configuración?» es **Config**: evalúa cada recurso contra reglas y guarda el historial. El orden invertido es la trampa. CloudWatch mide rendimiento y Artifact entrega los informes de cumplimiento de AWS, no de tus recursos. Repaso: *Cuentas y gobernanza: Organizations, Control Tower y cumplimiento* (dominio 2)." - tipo: respuesta-multiple id: artifact-auditoria-pci-s1 dominio: 2 enunciado: "Una fintech prepara una auditoría PCI DSS y su equipo entra a AWS Artifact. ¿Qué **dos** cosas puede obtener ahí? (Elegí DOS.)" opciones: - "Los informes de cumplimiento de la infraestructura de AWS, como SOC y PCI DSS, emitidos por auditores independientes" - "Revisar y aceptar acuerdos con AWS para su cuenta o para toda su organización" - "Un informe de qué recursos propios incumplen la norma" - "Los hallazgos de seguridad de GuardDuty y Macie en un solo panel" - "Un escaneo de vulnerabilidades de sus instancias" correctas: - "Los informes de cumplimiento de la infraestructura de AWS, como SOC y PCI DSS, emitidos por auditores independientes" - "Revisar y aceptar acuerdos con AWS para su cuenta o para toda su organización" explicacion: "**Artifact** tiene dos cosas: los **informes** que prueban que AWS cumple y los **acuerdos** que la empresa puede aceptar. Lo que incumplen **tus** recursos lo dice Config, los hallazgos centralizados son de Security Hub y el escaneo de vulnerabilidades de Inspector. Repaso: *Cuentas y gobernanza: Organizations, Control Tower y cumplimiento* (dominio 2)." ``` --- ## Bloque C — Reparación (55 min) 1. En la revisión del simulacro, activá **Solo las que fallé**. Por cada una, anotá en tu archivo `errores.md`: el enunciado, qué elegiste, la respuesta correcta y **por qué** te equivocaste (¿no sabía el concepto? ¿leí mal? ¿confundí dos servicios?). La explicación del visor te da el porqué de la correcta; el porqué de *tu* error lo escribís vos, y es la parte que más enseña. 2. Contá los errores por dominio. El simulacro tiene **15 preguntas del dominio 1** (beneficios, pilares, perspectivas y resultados del CAF, TCO, rightsizing, 7 R y modelos de servicio) y **18 del dominio 2** (responsabilidad compartida, IAM, cifrado y secretos, servicios de seguridad, gobernanza y cumplimiento). El dominio de cada pregunta es el que figura entre paréntesis al final de su explicación: es el dominio del examen, que no siempre coincide con el de la lección que se repasa (la responsabilidad compartida se enseña en *Introducción a la nube y a AWS*, pero en el examen es del dominio 2): | Dominio | Preguntas | Errores | Lectura | |---|---|---|---| | 1 — Conceptos de la nube | 15 | ___ | Más de 5 errores: repasá *Introducción a la nube y a AWS* y *Well-Architected, Cloud Adoption Framework y economía de la nube* enteras | | 2 — Seguridad y cumplimiento | 18 | ___ | Más de 7 errores: es el dominio de mayor peso; repasá las tres lecciones del dominio antes de seguir | 3. Repaso dirigido: cada explicación termina con la lección donde se enseña ese tema. Volvé a esa lección y releé solo esa sección. | Si fallaste en... | Releé | |---|---| | Pilares, CAF, TCO, licencias, rightsizing, 7 R | *Well-Architected, Cloud Adoption Framework y economía de la nube* | | Beneficios de la nube, IaaS/PaaS/SaaS, responsabilidad compartida | *Introducción a la nube y a AWS* | | Users, roles, policies, root, Identity Center | *IAM: identidades, permisos y accesos* | | KMS, CloudHSM, ACM, Secrets Manager, WAF, Shield, GuardDuty, Inspector, Macie, Security Hub | *Seguridad en AWS: cifrado, secretos y servicios de seguridad* | | Organizations, SCP, Control Tower, Config, Artifact, Cognito | *Cuentas y gobernanza: Organizations, Control Tower y cumplimiento* | 4. Creá una flashcard nueva por cada error, con la etiqueta `error` (*Plan de estudio, materiales y política de costos*). 5. Interpretá tu resultado. El porcentaje está en el resumen del cuestionario: | Resultado | Lectura | Acción | |---|---|---| | ≥ 80 % | Excelente | Seguí el plan tal cual | | 65–79 % | En camino | Sumá 20 min de repaso de los dominios 1 y 2 al inicio de cada lección del dominio 3 | | 50–64 % | Justo | Repasá *Seguridad en AWS: cifrado, secretos y servicios de seguridad* y *Cuentas y gobernanza: Organizations, Control Tower y cumplimiento* completas antes de seguir | | < 50 % | Atrasado | Rehacé el Ejercicio 1 del Bloque A con las lecciones abiertas y volvé a rendir el simulacro en dos días | > [!NOTE] > Recordá: el dominio 3 pesa un 34 % del examen y todavía no lo estudiaste. Un 60 % ahora es un resultado normal; lo que importa es que los errores del dominio 2 (30 % del examen) queden anotados y repasados. ## Siguiente lección *EC2: servidores virtuales* (dominio 3): instancias, AMIs, tipos de instancia y security groups, la primera pieza de la tecnología de AWS.

AWS Cloud Practitioner

Contenido del curso: