Los servicios en la nube de AWS y los puntos de conexión que conectan las aplicaciones
Amazon Web Services (AWS) es una organización de servicios en la nube que ofrece capacidades para crear y operar aplicaciones y otras cargas de trabajo. Su oferta abarca cómputo, almacenamiento, bases de datos, análisis, integración de aplicaciones y otras áreas. La distinción útil es que AWS proporciona numerosos servicios con distintos fines, en lugar de una sola aplicación con un único flujo de trabajo.
El dominio amazonaws.com representa el espacio de nombres de los puntos de conexión de los servicios de AWS, donde el software puede conectarse a servicios y recursos individuales de AWS. El sitio web informativo público de AWS es aws.amazon.com, por lo que el dominio de los puntos de conexión y la página de inicio comercial cumplen funciones distintas. Entender esa diferencia ayuda a explicar por qué una aplicación puede contactar con amazonaws.com sin que nadie esté navegando por el sitio web de AWS.
¿Qué ayuda AWS a crear y operar?
AWS se lanzó en 2006 y ofrece capacidades en la nube que las organizaciones pueden utilizar para configurar y operar cargas de trabajo. El material oficial proporcionado describe servicios para ejecutar aplicaciones, almacenar información, trabajar con bases de datos y conectar sistemas distribuidos. Por tanto, elegir AWS implica identificar las capacidades que necesita una carga de trabajo y comprender los servicios correspondientes.
El catálogo de servicios ilustra esta variedad sin que todos los servicios sean intercambiables. EC2 se describe como un proveedor de servidores virtuales, S3 como almacenamiento de objetos y Lambda como un servicio para ejecutar código sin administrar servidores ni clústeres. Son componentes distintos, aunque las aplicaciones que los utilizan puedan realizar solicitudes dentro de la misma familia amplia de dominios.
| Necesidad de la carga de trabajo | Ejemplos descritos en el material de AWS proporcionado | Distinción práctica |
|---|---|---|
| Ejecutar cargas de trabajo de aplicaciones | EC2 y Lambda | Los servicios de cómputo ofrecen distintos enfoques para ejecutar código. |
| Almacenar objetos | S3 | El almacenamiento de objetos cumple una función distinta a la de una base de datos relacional. |
| Trabajar con bases de datos | RDS y DynamoDB | AWS incluye servicios de bases de datos relacionales y NoSQL. |
| Conectar componentes de aplicaciones | API Gateway, SQS y Step Functions | El acceso a API, las colas de mensajes y los flujos de trabajo responden a distintas necesidades de integración. |
| Analizar y supervisar cargas de trabajo | Athena y CloudWatch | Consultar datos y supervisar operaciones son actividades diferentes. |
Esta amplitud hace que AWS sea relevante para quienes desarrollan soluciones que necesitan varias capacidades en la nube dentro de una carga de trabajo. También plantea una tarea de selección: una organización debe identificar el servicio, el modelo de acceso y las responsabilidades operativas adecuados para su aplicación. Un dominio principal conocido no elimina esas decisiones.
¿Para qué se usa amazonaws.com?
La documentación de AWS define un punto de conexión como el punto de entrada URL de un servicio web de AWS. Muchos puntos de conexión utilizan amazonaws.com como parte de su nombre de host, junto con información que identifica un servicio y, en ocasiones, una región de AWS. El software utiliza estas direcciones para acceder al punto de entrada del servicio correspondiente.
Una solicitud a un punto de conexión de AWS puede formar parte del funcionamiento de una aplicación, en lugar de ser una visita deliberada a un sitio web. Las distintas solicitudes bajo el dominio principal pueden corresponder a diferentes servicios, cuentas, recursos y modelos de acceso. El sufijo que comparten aporta menos contexto sobre la aplicación que la solicitud completa.
Cómo interpretar un punto de conexión de servicio
El ejemplo documentado dynamodb.us-west-2.amazonaws.com contiene más información útil que amazonaws.com por sí solo. Identifica DynamoDB e incluye el código de región us-west-2. Esa información delimita el contexto del servicio, pero no revela todo sobre quien realiza la llamada o el recurso implicado.
- Nombre del servicio: ayuda a identificar la capacidad de AWS con la que se está contactando.
- Código de región: aporta contexto regional cuando ese punto de conexión sigue un patrón regional.
- Nombre de host completo: conserva las distinciones que se pierden cuando una observación se reduce al dominio principal.
- Ruta de la solicitud: proporciona contexto adicional sobre la solicitud que debe interpretarse mediante la documentación del servicio.
- Aplicación solicitante: ayuda a relacionar una dirección técnica con la actividad que una persona u organización espera.
Estos detalles deben considerarse en conjunto. El nombre de host de un servicio aporta indicios útiles sobre un destino, mientras que la aplicación y la solicitud proporcionan contexto sobre por qué se utiliza ese destino. Ni el nombre del servicio ni el dominio principal determinan por sí solos la finalidad de los datos implicados.
¿Por qué algunas direcciones de AWS incluyen una región?
Muchos puntos de conexión de AWS contienen un código de región porque ofrecen un punto de entrada regional para un servicio. AWS también documenta puntos de conexión generales y globales para algunos servicios. El comportamiento exacto del punto de conexión depende de cada servicio, por lo que no debe aplicarse un único patrón de nombres a todo el catálogo.
Para quien desarrolla una solución, la cuestión práctica es qué punto de conexión documenta el servicio seleccionado para la operación prevista. Reconocer un código de región puede ayudar en esa investigación, pero adivinar una dirección a partir del patrón de otro servicio no sustituye la comprobación. La Referencia general de AWS y la documentación de los puntos de conexión de los servicios proporcionan los puntos de partida.
| Tipo de punto de conexión | Qué establece la investigación proporcionada | Qué queda por comprobar |
|---|---|---|
| Regional | Muchos nombres de host incluyen un código de servicio, un código de región y amazonaws.com. | El punto de conexión documentado para el servicio y la región seleccionados. |
| General | Algunos servicios tienen puntos de conexión generales. | Cómo gestiona ese servicio las solicitudes enviadas a ese punto de conexión. |
| Global | AWS documenta puntos de conexión globales para algunos servicios. | Qué operaciones y comportamiento regional documenta el servicio. |
La ventaja de los puntos de conexión específicos de cada servicio es un enrutamiento más claro y una separación entre capacidades. La contrapartida para quien revisa la actividad de red es que una observación con un comodín, como *.amazonaws.com, oculta gran parte de esos detalles útiles. Agrupa destinos que pueden tener finalidades considerablemente distintas.
¿Una dirección de AWS identifica quién opera una aplicación?
Ver amazonaws.com no identifica al cliente, la carga de trabajo ni al propietario de la aplicación responsable de una solicitud concreta. AWS aporta el contexto del servicio en la nube, pero el dominio principal no explica qué cuenta o recurso hay detrás de la actividad. Tampoco establece qué información se almacena, recupera o procesa.
Esto es relevante cuando alguien detecta una conexión desconocida en la actividad de una aplicación o en los registros de red. La dirección puede ayudar a identificar un servicio de AWS, pero interpretar la conexión requiere indicios del software que la establece. La pregunta adecuada es qué está haciendo esa aplicación con el destino.
Una revisión útil distingue las siguientes preguntas:
- ¿Qué aplicación inició la solicitud? Relaciona el destino con el software y la actividad que se están revisando.
- ¿Cuál es el destino completo? Conserva el nombre de host y la ruta, en lugar de solo el sufijo del dominio.
- ¿Qué servicio representa? Compara la dirección con la documentación pertinente de AWS.
- ¿Qué operación se espera? Determina cómo se relaciona la solicitud con el comportamiento previsto de la aplicación.
- ¿Qué modelo de acceso se aplica? Comprueba las credenciales y los permisos que requieren ese servicio y ese recurso.
- ¿Qué sigue sin explicarse? Deja sin resolver la titularidad, la finalidad de los datos o la autorización cuando el contexto disponible no permita determinarlas.
Este enfoque evita tratar la identidad de la infraestructura como si fuera la identidad de la aplicación. También hace que una investigación sea más específica: la incertidumbre sobre una solicitud de una aplicación se convierte en una pregunta sobre esa aplicación y ese servicio, en lugar de una conclusión sobre todos los destinos que comparten el sufijo.
¿Cómo afectan las credenciales y los permisos al acceso?
Las credenciales y los permisos de AWS responden a preguntas distintas. Las credenciales autentican a quien realiza una llamada, mientras que los permisos autorizan las acciones que puede llevar a cabo. Saber a qué servicio pertenece un punto de conexión no determina si quien realiza una llamada concreta puede utilizar un recurso determinado.
Los requisitos exactos dependen de cada servicio y de su modelo de acceso. Quienes desarrollan soluciones deben consultar la descripción general de las credenciales de seguridad de AWS junto con la documentación del servicio y la operación previstos. La mera existencia de un punto de conexión no describe todos esos requisitos.
| Pregunta sobre el acceso | Concepto pertinente | Qué no establece por sí solo |
|---|---|---|
| ¿Quién realiza la solicitud? | Autenticación mediante credenciales | Si quien realiza la llamada puede ejecutar la acción solicitada. |
| ¿Puede quien realiza la llamada ejecutar esta acción? | Autorización mediante permisos | Si también se permite una acción o un recurso sin relación con ella. |
| ¿Qué requisitos se aplican aquí? | Documentación específica del servicio | Una regla de acceso universal para todos los puntos de conexión de AWS. |
La responsabilidad va más allá de reconocer al proveedor
AWS publica un modelo de responsabilidad compartida para comprender la división de responsabilidades al utilizar sus servicios. Esa es una cuestión distinta de reconocer un nombre de host de AWS. Los equipos deben considerar sus responsabilidades junto con los requisitos de acceso del servicio, en lugar de asumir que la identidad del proveedor resuelve las cuestiones relativas a la aplicación.
Los indicios proporcionados respaldan la explicación de esta división como parte de la evaluación de AWS. No establecen cómo ha configurado un cliente concreto una aplicación o un recurso. Evaluar una implementación específica requiere información sobre esa implementación.
¿Debe una organización permitir o bloquear toda la familia de dominios?
Una decisión que abarca todo el dominio es amplia porque amazonaws.com cubre múltiples servicios y cargas de trabajo potencialmente no relacionadas. Bloquear toda la familia puede interferir con las aplicaciones que dependen de esos destinos. Permitirla de forma indiscriminada deja sin explicar la identidad y la finalidad de las solicitudes individuales.
Ninguna de las dos opciones se deriva automáticamente de la presencia de un nombre de host de AWS. Un administrador de red necesita conocer la política de la organización, la finalidad de la aplicación solicitante y el contexto del destino específico del servicio. La investigación proporcionada respalda examinar esos detalles antes de decidir el alcance adecuado del acceso.
| Situación | Siguiente paso útil | Límite de los indicios disponibles |
|---|---|---|
| Una aplicación conocida contacta con un punto de conexión de AWS | Compara el destino con el uso de servicios previsto para la aplicación. | Conocer la aplicación no explica todas las solicitudes. |
| Un proceso desconocido contacta con amazonaws.com | Identifica el proceso y conserva el contexto completo de la solicitud. | El dominio principal no identifica al propietario ni la intención del proceso. |
| Una regla propuesta abarca todos los subdominios | Evalúa a qué aplicaciones y servicios afectaría la regla. | Un comodín oculta las diferencias entre los destinos individuales. |
| Una solicitud parece sospechosa | Investiga la aplicación, el recurso y el contexto del servicio pertinente. | La identidad de la infraestructura de AWS no es una garantía de seguridad. |
El mismo razonamiento se aplica a una persona que intenta comprender una dirección inesperada. Reconocer AWS puede explicar la categoría de infraestructura, pero no puede determinar si la conexión es apropiada. El comportamiento de la aplicación y la finalidad de la solicitud siguen siendo fundamentales.
¿Dónde pueden quienes desarrollan soluciones encontrar documentación, ayuda de la comunidad o contactos para denunciar abusos?
El índice de documentación de AWS es el punto de entrada general para consultar orientación sobre los servicios. La Referencia general y las páginas de puntos de conexión de los servicios son especialmente pertinentes para identificar direcciones y comportamientos regionales. La descripción general de las credenciales ofrece la explicación complementaria sobre la autenticación de quien realiza las llamadas.
AWS también ofrece re:Post como servicio comunitario de preguntas y respuestas. Proporciona a quienes desarrollan soluciones un lugar para plantear preguntas sobre el uso de AWS, mientras que los recursos oficiales de contacto ofrecen una vía para obtener asistencia y comunicar sospechas de abuso. Las conversaciones de la comunidad y las denuncias de abuso tienen finalidades distintas y deben elegirse en consecuencia.
- Identificar un punto de conexión: empieza por la Referencia general de AWS y la documentación de los puntos de conexión.
- Comprender un servicio: utiliza el índice de documentación para localizar la orientación pertinente sobre el servicio.
- Aclarar los requisitos de acceso: lee la descripción general de las credenciales junto con la documentación de permisos del servicio.
- Plantear preguntas sobre la implementación: utiliza la comunidad AWS re:Post.
- Encontrar recursos de contacto o para denunciar abusos: consulta la página oficial de contacto de AWS.
- Revisar la información de privacidad de AWS: consulta el Aviso de privacidad de AWS y examina por separado la aplicación responsable de una solicitud.
AWS está dirigido a organizaciones y a quienes desarrollan soluciones que necesitan capacidades en la nube para ejecutar aplicaciones, almacenar información, integrar componentes y operar cargas de trabajo. Los indicios respaldan la descripción de amazonaws.com como un espacio de nombres de puntos de conexión que conecta el software con esas capacidades. Resulta adecuado para lectores que evalúan servicios específicos y para quienes los implementan, siempre que conserven el contexto del servicio, la región, la aplicación y el acceso que el dominio principal no puede aportar por sí solo.
Una respuesta correcta no garantiza la seguridad. Las mediciones describen una observación puntual.