Aprovisionamiento de servicios IT - Infraestructura de autoservicio con AWS Service Catalog
Explicamos la catalogación de servicios IT aprobados con AWS Service Catalog y el aprovisionamiento de infraestructura de autoservicio mediante la integración con CloudFormation. Presentamos patrones operativos que aumentan la autonomía de los equipos de desarrollo manteniendo la gobernanza.
Desafíos del aprovisionamiento de servicios IT y Service Catalog
En entornos empresariales, es necesario que los equipos de desarrollo puedan utilizar rápidamente los recursos de infraestructura necesarios, al tiempo que se garantiza el cumplimiento de los estándares de seguridad y los requisitos de conformidad. El aprovisionamiento manual tradicional por parte del departamento de IT podía tardar de días a semanas desde la solicitud hasta la entrega, convirtiéndose en un cuello de botella para la velocidad de desarrollo. AWS Service Catalog permite a los administradores de IT catalogar configuraciones de recursos AWS aprobadas como productos, que los usuarios finales pueden aprovisionar por sí mismos. Esto mantiene la gobernanza mientras acelera la entrega de infraestructura.
Diseño de productos y portafolios
Los productos de Service Catalog se definen basándose en plantillas de CloudFormation, permitiendo mejoras graduales mediante el control de versiones. Por ejemplo, un producto llamado "Entorno de aplicación web segura" registra una plantilla de CloudFormation que incluye VPC, subnets, grupos de seguridad, ALB, grupo de Auto Scaling de EC2 e instancia RDS. Los productos se agrupan en portafolios y se comparten con usuarios o grupos de IAM específicos. Las restricciones de plantilla limitan los valores de parámetros que los usuarios pueden seleccionar, como tipos de instancia o regiones permitidas.
Integración con CloudFormation y garantía de gobernanza
Como Service Catalog utiliza CloudFormation como backend, se pueden aplicar directamente las mejores prácticas de Infrastructure as Code. Al incorporar reglas de AWS Config, logs de CloudTrail y configuraciones de cifrado en las plantillas, se garantiza que todos los recursos aprovisionados cumplan con los estándares de seguridad. Las restricciones de lanzamiento (Launch Constraints) permiten ejecutar el aprovisionamiento con un rol de IAM específico, de modo que los usuarios finales no necesitan permisos directos para crear recursos. Esto implementa el principio de mínimo privilegio mientras permite el autoservicio.
Integración con Organizations y despliegue multi-cuenta
Service Catalog se integra con AWS Organizations para compartir portafolios en toda la organización. Al compartir portafolios definidos en la cuenta de gestión por unidad organizativa (OU), se proporciona un catálogo de productos consistente en todas las cuentas. Cuando se agrega una nueva cuenta a una OU, se otorga automáticamente acceso al portafolio. La integración con AWS Control Tower permite incluir productos de Service Catalog en el proceso de Account Factory, proporcionando automáticamente recursos estándar al crear nuevas cuentas.
Precios de Service Catalog
Service Catalog en sí no tiene cargos adicionales. Los costos son solo los cargos de uso de los recursos AWS aprovisionados. Compartir portafolios con Organizations tampoco tiene cargos adicionales, lo que lo hace atractivo como base de gobernanza para toda la organización con bajo costo de implementación. Las restricciones de plantilla limitan los tipos de instancia, reduciendo el riesgo de que los usuarios finales creen accidentalmente recursos costosos.
Resumen - Realización del aprovisionamiento de infraestructura de autoservicio
AWS Service Catalog es una base de aprovisionamiento de infraestructura de autoservicio que aumenta la autonomía de los equipos de desarrollo manteniendo la gobernanza. Al combinar la estandarización de configuraciones aprobadas con plantillas de CloudFormation, el mantenimiento del mínimo privilegio con restricciones de lanzamiento y la automatización de la gestión de costos con opciones de etiquetas, se logra compatibilidad entre seguridad y agilidad. La integración con Organizations permite un despliegue consistente en entornos multi-cuenta.