Resumen y objetivo Este artículo ofrece una guía práctica y en español para diseñar y desplegar una infraestructura de Virtual Private Cloud en AWS usando la AWS CLI, y para configurar roles IAM e instance profiles necesarios para EC2 y ECS. Está orientado a equipos DevOps y arquitectos cloud que necesitan una referencia clara sobre buenas prácticas de redes y seguridad en la nube.
Requisitos previos Tener instalada y configurada la AWS CLI con credenciales adecuadas, conocimientos básicos de redes como CIDR y subnets, y permisos IAM para operaciones de VPC y EC2.
Estrategia de etiquetado Recomendamos aplicar etiquetas estándar a todos los recursos para mejorar identificación, asignación de costes y gestión. Etiquetas sugeridas: Name para identificar recursos, Environment para indicar entorno como Dev Staging Production y Purpose para identificar el proyecto o aplicación.
1 VPC Crear la VPC Use un bloque CIDR amplio como 10.0.0.0/16 para disponer de hasta 65536 direcciones IP. Ejemplo de comando: aws ec2 create-vpc --cidr-block 10.0.0.0/16 --tag-specifications ResourceType=vpc,Tags=[{Key=Name,Value=MiVPC},{Key=Environment,Value=Dev}]. Almacene el identificador resultante en una variable VPC_ID para posteriores operaciones: VPC_ID=$(aws ec2 describe-vpcs --filters Name=tag-key,Values=Name --query Vpcs[?Tags[?Key=='Name' && Value=='MiVPC']].VpcId --output text).
Aplicar etiquetas adicionales Puede crear un fichero tags.json con pares Key Value y aplicar tags usando aws ec2 create-tags --resources $VPC_ID --cli-input-json file://tags.json. Esto facilita búsquedas y políticas basadas en etiquetas.
Verificación Para comprobar la VPC: aws ec2 describe-vpcs --filters Name=tag-key,Values=Purpose --query Vpcs[].[VpcId,CidrBlock,State] --output table.
2 Subnets Segmente la VPC en subredes públicas y privadas siguiendo buenas prácticas. Ejemplo de subred privada: aws ec2 create-subnet --vpc-id $VPC_ID --cidr-block 10.0.4.0/24 --availability-zone us-east-1b --tag-specifications ResourceType=subnet,Tags=[{Key=Name,Value=PrivateSubnet-1b}]. Ejemplo de subred pública: aws ec2 create-subnet --vpc-id $VPC_ID --cidr-block 10.0.3.0/24 --availability-zone us-east-1a --tag-specifications ResourceType=subnet,Tags=[{Key=Name,Value=PublicSubnet-1a}]. Recuerde que AWS reserva 5 IP por subred.
Recuperar IDs de subnets Puede obtener los IDs con describe-subnets filtrando por tag-value y guardarlos en variables PUBLIC_SUBNET y PRIVATE_SUBNET, y a continuación aplicar tags mediante aws ec2 create-tags --resources $PUBLIC_SUBNET --cli-input-json file://tags.json y aws ec2 create-tags --resources $PRIVATE_SUBNET --cli-input-json file://tags.json.
3 Internet Gateway Crear y adjuntar un Internet Gateway para permitir salida a internet desde subredes públicas. Crear IGW y almacenarlo en IGW_ID con aws ec2 create-internet-gateway --tag-specifications ResourceType=internet-gateway,Tags=[{Key=Name,Value=MiIGW}] --query InternetGateway.InternetGatewayId --output text. Aplicar tags y adjuntarlo a la VPC con aws ec2 attach-internet-gateway --internet-gateway-id $IGW_ID --vpc-id $VPC_ID.
4 Tablas de enrutamiento Crear una tabla de rutas pública específica y añadir una ruta 0.0.0.0/0 que apunte al IGW: aws ec2 create-route-table --vpc-id $VPC_ID --query RouteTable.RouteTableId --output text para obtener PUBLIC_ROUTE_TABLE_ID y luego aws ec2 create-route --route-table-id $PUBLIC_ROUTE_TABLE_ID --destination-cidr-block 0.0.0.0/0 --gateway-id $IGW_ID. Asocie la subnet pública con la tabla de rutas usando aws ec2 associate-route-table --route-table-id $PUBLIC_ROUTE_TABLE_ID --subnet-id $PUBLIC_SUBNET.
Buenas prácticas de seguridad No añada rutas a internet en la main route table para evitar que nuevas subnets se vuelvan públicas por error. Mantenga subnets privadas aisladas sin rutas al IGW. Para producción despliegue subnets en múltiples zonas de disponibilidad. Considere Network ACLs y security groups estrictos para segmentación adicional.
IAM Roles y instance profiles Conceptos clave Trust relationship que define quién puede asumir el rol, permissions que indican qué puede hacer el rol, y credenciales temporales para acceso limitado en el tiempo. Proceso recomendado Crear una policy de confianza que permita a ec2.amazonaws.com o ecs-tasks.amazonaws.com asumir el rol crear el rol con esa policy añadir tags y adjuntar políticas gestionadas o específicas crear instance profile cuando vaya a asociarlo a instancias EC2 y finalmente asociar el role o instance profile a recursos.
Configuración práctica EC2 Cree un role para EC2 con una trust policy que permita sts AssumeRole desde el servicio ec2.amazonaws.com Etiquete el role y adjunte las políticas gestionadas necesarias para la funcionalidad requerida. Cree un instance profile y añada el role al profile para usarlo en instancias EC2.
Configuración práctica ECS Para tareas ECS cree un task execution role con trust policy para ecs-tasks.amazonaws.com y adjunte la política AmazonECSTaskExecutionRolePolicy para permitir que ECS extraiga imágenes y escriba logs. Opcionalmente cree un task role para permisos específicos del código que corre dentro del contenedor si su aplicación necesita acceso a APIs de AWS.
Recomendaciones operativas Use least privilege al definir permisos mantenga roles separados para ejecución de tareas y permisos de aplicación pruebe sin task role y añada permisos solo si la aplicación los reclama audite y rote credenciales y políticas de tags para facilitar gobernanza y facturación.
Resumen Tiene ahora una hoja de ruta para crear una base de redes e IAM segura en AWS: VPC subnets IGW route tables y roles IAM para EC2 y ECS. Estas piezas forman la fundación para desplegar aplicaciones en contenedores y servicios gestionados con seguridad y escalabilidad.
Sobre Q2BSTUDIO Q2BSTUDIO es una empresa de desarrollo de software que ofrece servicios de aplicaciones a medida y software a medida, especialistas en inteligencia artificial y ciberseguridad, y soluciones en la nube. Diseñamos arquitecturas seguras y escalables y ayudamos a las empresas a transformar procesos mediante automatización y servicios de inteligencia de negocio. Si necesita despliegues cloud gestionados y migraciones o optimización de infraestructuras puede conocer nuestros servicios cloud y opciones de integración con AWS y Azure en servicios cloud en AWS y Azure. Para proyectos que requieran IA para empresas agentes IA o soluciones a medida visite nuestra página de inteligencia artificial.
Palabras clave incluidas naturalmente para SEO aplicaciones a medida software a medida inteligencia artificial ciberseguridad servicios cloud aws y azure servicios inteligencia de negocio ia para empresas agentes IA power bi.
Llamada a la acción Hable con nosotros para que Q2BSTUDIO le acompañe desde la fundación de redes e IAM hasta la puesta en producción segura de sus aplicaciones y servicios cloud. Ofrecemos asesoría técnica auditorías de ciberseguridad y desarrollo de soluciones a medida que integran inteligencia artificial y Business Intelligence para obtener valor real de sus datos.
