Evaluación final

Test integrador · 24 preguntas + práctica

La evaluación tiene dos partes:

Test multirespuesta de 24 preguntas cubriendo los 6 módulos. Necesitas el 75% de aciertos (18/24) para superarlo.
Práctica integradora: desplegar una VPC multi-AZ con EC2 + ALB + ASG + backups + tags + Budget. Entregable evaluado por tutor.

Tienes 2 horas en total. Puedes consultar tus apuntes y los módulos. Responde con honestidad — el certificado FUNDAE refleja que has aprendido, no que has copiado.

Parte 1 · Test (24 preguntas)

¿Cuál es la diferencia entre una región y una zona de disponibilidad (AZ)?

Son sinónimos.
Una región es geográfica y agrupa varias AZ, cada AZ es uno o varios centros de datos aislados entre sí.
Una AZ contiene varias regiones.
Las regiones son lógicas y las AZ físicas, sin más.

B. Las regiones agrupan varias AZ; las AZ son la base de la alta disponibilidad multi-AZ.

Bajo el modelo de responsabilidad compartida, parchear el SO de una EC2 es responsabilidad de:

AWS
El cliente
Compartida 50/50
Del proveedor de la AMI

B. AWS responde por la infraestructura y el hypervisor; el SO de la instancia es del cliente.

¿Qué comando te dice qué cuenta e identidad estás usando con la AWS CLI?

aws whoami
aws sts get-caller-identity
aws iam list-users
aws describe-identity

B. Devuelve cuenta, ARN e ID. Comprobación previa básica antes de comandos destructivos.

Tienes un servidor de aplicación con CPU al 90% constante. ¿Qué familia EC2 encaja mejor?

T (burstable)
C (compute optimizada)
R (memory optimizada)
G (GPU)

B. C ofrece más CPU por euro para cargas sostenidas.

¿Cuál es la diferencia entre stop y terminate?

Son sinónimos.
Stop apaga y conserva el EBS raíz; terminate elimina la instancia y por defecto borra el EBS raíz.
Stop borra, terminate apaga.
Ambas eliminan, pero terminate es más rápido.

B. Stop es reversible; terminate definitivo. Producción suele activar DisableApiTermination.

Una carga toleras interrupciones, se ejecuta en lotes nocturnos. ¿Qué modelo de compra es óptimo?

On-Demand
Reserved Instance a 3 años
Savings Plan
Spot

D. Spot ofrece hasta 90% de descuento a cambio de poder ser reclamado con 2 minutos de aviso.

¿Qué hace Systems Manager Session Manager que sustituye al SSH tradicional?

Acelerar el SSH abriendo más puertos.
Abrir sesiones seguras en las instancias sin abrir el puerto 22, sin gestionar keys, con auditoría completa.
Solo permite el acceso desde la consola web.
Elimina la necesidad de IAM.

B. Session Manager elimina el bastion host clásico y el SSH gestionado a mano.

¿Qué hace que una subred sea "pública" en AWS?

Marcarla como pública en la consola.
Tener una ruta a un Internet Gateway en su route table.
Usar un CIDR especial.
Estar en una AZ específica.

B. La diferencia es la route table: 0.0.0.0/0 → igw-… vs 0.0.0.0/0 → nat-….

Sobre Security Groups, ¿cuál es correcto?

Tienen reglas allow y deny.
Son stateless: hay que abrir entrada y salida por separado.
Son stateful: si una conexión entra, la respuesta sale aunque no haya regla outbound.
Funcionan a nivel subred.

C. SG es stateful y por instancia, solo Allow. NACL es stateless y por subred.

Tus EC2 privadas leen mucho de S3. ¿Cómo reduces el coste del NAT Gateway?

Más NAT Gateways.
Añadir un VPC Endpoint Gateway de S3.
Un IGW adicional.
Una VPN site-to-site.

B. El endpoint gateway de S3 es gratuito y elimina ese tráfico del NAT.

Tienes que conectar 7 VPCs entre sí más la red on-premise. ¿Qué arquitectura es la adecuada?

VPC Peering en malla completa.
Transit Gateway como hub.
Un IGW gigante.
Una única VPC enorme.

B. Más de 3-4 VPCs y/o on-premise → Transit Gateway. Peering no es transitivo.

Tienes un volumen gp2 antiguo. ¿Recomendación moderna?

Mantenerlo, gp2 es lo más nuevo.
Migrar a gp3 en caliente: más barato y con más IOPS/throughput por defecto.
Convertirlo a HDD st1.
Convertirlo a S3.

B. gp3 sustituye a gp2 con mejor relación coste/rendimiento.

Necesitas servir imágenes públicas de una web sin exponer el bucket S3. ¿Patrón correcto?

Hacer el bucket público.
Desactivar Block Public Access y dar GetObject a todos.
Bucket privado + CloudFront delante con Origin Access Identity.
Usar EFS.

C. El bucket no se expone; CloudFront sirve y tú controlas el caché.

Tienes 5 TB de logs históricos consultados 1-2 veces al año. ¿Clase S3 óptima?

S3 Standard
S3 Standard-IA
S3 Glacier (sobre todo Deep Archive vía lifecycle)
EFS

C. Glacier Deep Archive reduce drásticamente el coste para acceso muy esporádico.

¿Cuándo tiene sentido usar EFS?

Siempre, es más moderno.
Cuando varias EC2 necesitan un filesystem POSIX compartido (locking, permisos).
Para reducir el coste de S3.
Para imágenes de una web.

B. EFS es 3-4× más caro que S3; se justifica solo cuando hace falta POSIX compartido entre instancias.

¿Cuál es la diferencia entre un usuario IAM y un rol IAM?

Son sinónimos.
El usuario tiene credenciales propias permanentes; el rol se asume temporalmente y entrega credenciales cortas.
El rol es para humanos y el usuario para servicios.
El rol no tiene políticas.

B. Los roles son la forma moderna: sin keys permanentes, sesiones cortas, auditables.

En una política IAM coinciden una sentencia Deny y otra Allow para la misma acción. ¿Quién gana?

Allow (suma de permisos).
Deny: las denegaciones explícitas siempre tienen precedencia.
Se pide confirmación al usuario.
Falla la política.

B. Las denegaciones explícitas ganan a cualquier permiso.

¿Qué servicio registra quién hizo qué llamada a la API ayer a las 3:00?

CloudWatch
AWS Config
CloudTrail
Inspector

C. CloudTrail es la fuente de auditoría de llamadas a la API.

Eres consultora y accedes a la cuenta AWS de un cliente sin compartir credenciales. ¿Qué patrón?

Te pasan su contraseña por correo.
Crean un usuario IAM en su cuenta con tus credenciales.
Configuran un rol IAM en su cuenta con trust hacia tu cuenta y MFA, y tú lo asumes vía STS.
Te dan acceso al root.

C. Roles cross-account con STS: cero keys compartidas, sesiones cortas, trazabilidad completa.

Vas a balancear tráfico HTTP/HTTPS de una web con routing por path. ¿Qué balanceador?

Classic Load Balancer
Network Load Balancer (NLB)
Application Load Balancer (ALB)
Route 53

C. ALB es L7 con routing por host, path, header. NLB es L4.

¿Qué política de Auto Scaling se usa hoy en la mayoría de cargas web?

Manual scaling
Target tracking ("mantener CPU al X%")
Step scaling con 20 escalones
Scheduled scaling exclusivo

B. Target tracking: declaras el objetivo y AWS calcula los pasos.

¿Por qué un backup en la misma cuenta y misma región no es una estrategia de recuperación?

Porque es más caro.
Porque no sobrevive a un compromiso de cuenta ni a un incidente regional.
Porque AWS no lo permite.
Porque tarda mucho en restaurar.

B. Resiliencia real: cross-account, cross-region y Vault Lock anti-ransomware.

¿Cuál es el mínimo de FinOps que activarías en una cuenta nueva?

Nada, ya se controlará.
Solo Cost Explorer.
Etiquetado obligatorio + un Budget con alerta al 80% + Cost Explorer.
Reserved Instances al máximo.

C. Tags + Budget + Cost Explorer son la base; las RI/Savings Plans vienen después con datos de uso.

¿Qué decisión sobre el usuario root de una cuenta AWS es la correcta?

Usarlo siempre, tiene permiso a todo.
Compartirlo entre el equipo.
Activar MFA, guardar credenciales en bóveda y no usarlo para trabajo diario.
Eliminarlo.

C. Root para emergencias administrativas con MFA; trabajo diario con usuarios IAM o SSO.

— / 24

Responde y pulsa "Calcular nota"

Parte 2 · Práctica integradora

Para superar el curso, además del test, debes entregar la práctica integradora del módulo 6: una arquitectura completa multi-AZ con todos los servicios estudiados a lo largo del curso.

Enunciado

Despliega en tu cuenta sandbox la siguiente arquitectura y documéntala:

Red (módulo 3): VPC 10.0.0.0/16 en 3 AZ; en cada AZ una subred pública y una privada (/24); IGW + 1 NAT Gateway; VPC endpoint gateway para S3.
Cómputo (módulo 2): launch template con Amazon Linux 2023 + Nginx (user-data); ASG con min=2, desired=2, max=4 en subredes privadas; target tracking de CPU al 60%.
Balanceo (módulo 6): ALB en subredes públicas; listener 443 con certificado ACM (puede ser self-signed); target group hacia el ASG.
Seguridad (módulo 5): tres SG alb-sg, app-sg, vpc-endpoint-sg referenciados entre sí; CloudTrail multi-región activo; alarma CloudWatch sobre la CPU de las EC2.
Almacenamiento (módulo 4): plan AWS Backup que cubra el EBS root de las instancias del ASG.
Coste (módulo 6): todos los recursos con tags Environment=demo, Project=lab-final, Owner=<tu nombre>; un Budget de 50 € con alerta al 80%.
Pruebas: levanta tráfico contra el ALB y observa el reparto. Termina una instancia desde la consola: comprueba que el ASG la reemplaza automáticamente.
Limpieza: destruye todos los recursos al terminar para no dejar gasto residual.

Qué incluir en la entrega

Documento (PDF, Markdown o Word) con la arquitectura desplegada.
Capturas de: VPC y subredes, ASG con sus instancias en distintas AZ, ALB con health checks en verde, CloudTrail con el evento de creación, Budget configurado.
Lista de IDs de los recursos creados con sus tags.
Reflexión breve (1 página): qué decisiones tomaste, qué cambiarías si fuese una cuenta de cliente real, qué te ha costado más.

Criterios de evaluación

Arquitectura correcta y desplegada (35%)
Seguridad: SG correctos, CloudTrail activo, cifrado donde toca (25%)
Operación: tagging consistente, Budget y alarmas activas (15%)
Documentación clara y reproducible (15%)
Limpieza al terminar (sin recursos huérfanos) (10%)

Plazo: 14 días desde la finalización del Módulo 6. El tutor dispone de 7 días hábiles para revisar y devolver feedback. Si no se supera al primer intento, hay una segunda oportunidad de mejora con feedback dirigido.

Una vez superados test + práctica

Recibirás:

Diploma Qlcube de aprovechamiento homologado.
Acreditación FUNDAE con código de grupo y horas certificadas.
Insignia digital verificable (Open Badge v2) para LinkedIn.

Enhorabuena. Has completado una formación práctica de administración de AWS pensada para trabajar en cuentas reales de cliente desde el primer día.

← Volver al índice del curso