Gobernanza de TI con AWS Service Catalog - Estandarización de productos aprobados y habilitación del autoservicio
Explicamos cómo catalogar plantillas CloudFormation aprobadas por TI y proporcionar de forma segura a los usuarios finales el aprovisionamiento de autoservicio con Service Catalog.
Rol de Service Catalog
Service Catalog es un servicio que gestiona configuraciones de recursos AWS aprobadas por TI como un catalogo de hasta 5,000 productos, permitiendo a los usuarios finales aprovisionarlos mediante autoservicio. Cuando los usuarios finales crean recursos AWS libremente, surgen problemas como configuraciones de seguridad incorrectas, dificultades en la gestion de costos e inconsistencia arquitectonica. Con Service Catalog, los equipos de TI registran plantillas CloudFormation como productos y proporcionan solo configuraciones aprobadas a los usuarios finales. Los usuarios simplemente seleccionan un producto del catalogo e ingresan parametros, y los recursos estandarizados se aprovisionan automaticamente. Las plantillas Terraform tambien pueden registrarse como productos, permitiendo aprovechar activos IaC existentes.
Diseno de portafolios y restricciones
Un portafolio es una coleccion de productos que otorga acceso a principales IAM (usuarios, grupos, roles). Se pueden disenar portafolios como uno de equipo de desarrollo con EC2 y RDS de entorno dev, y uno de equipo de datos con Redshift y Glue. Las restricciones de lanzamiento especifican el rol IAM usado al aprovisionar un producto: los recursos se crean con los permisos del rol especificado, no con los permisos IAM propios del usuario final. Esto permite la creacion de recursos solo a traves del catalogo sin otorgar permisos directos de ejecucion de CloudFormation. Las restricciones de plantilla limitan los valores permitidos de parametros CloudFormation, habilitando controles como restringir tipos de instancia solo a t3.micro y t3.small. Configurar TagOptions impone etiquetas de asignacion de costos y propiedad durante el aprovisionamiento, previniendo dificultades de seguimiento de costos por etiquetas faltantes.
Uso en entornos multi-cuenta
La integracion con Organizations permite compartir portafolios creados en la cuenta de administracion con todas las cuentas u OUs especificas de la organizacion. Los usuarios finales de cada cuenta pueden usar productos de portafolios compartidos, aplicando patrones arquitectonicos unificados en toda la organizacion. La gestion de versiones de productos permite el despliegue gradual de actualizaciones de plantillas. Al publicar una nueva version, los productos ya aprovisionados no se actualizan automaticamente: los usuarios realizan la actualizacion explicitamente. Esto previene impactos inesperados por actualizaciones. Combinado con Control Tower, los productos de Service Catalog pueden garantizarse automaticamente conformes con las barreras de proteccion del Landing Zone. Para profundizar en la gobernanza de TI en la nube, libros especializados (Amazon) son una referencia util.
Mejores practicas de diseno y trampas
El aspecto mas critico del diseno de Service Catalog es la granularidad de productos. Incluir EC2 + RDS + VPC en un solo producto reduce la flexibilidad, creando recursos innecesarios para usuarios que solo necesitan EC2. Por el contrario, una granularidad demasiado fina aumenta la carga de aprovisionar multiples productos en el orden correcto. El patron recomendado es separar la infraestructura de red (VPC, subnets) como un producto, computo (EC2 + ALB) como otro y base de datos (RDS) como otro, conectandolos mediante referencias cross-stack de CloudFormation. Los roles IAM de restriccion de lanzamiento deben crearse con privilegios minimos por producto, sin reutilizar un rol administrativo comun en todos los productos. Un rol compartido significa que una vulnerabilidad en un producto puede propagar acceso a todos los recursos. Ademas, configurar cuentas de administrador delegado para compartir portafolios evita concentrar permisos en la cuenta de administracion.
Precios y limites de Service Catalog
Service Catalog en si no tiene cargos adicionales. Solo se pagan los recursos AWS aprovisionados (EC2, RDS, etc.). Sin embargo, al usar tipos de recursos de terceros en CloudFormation, se cobra por operacion de handler. Compartir portafolios via Organizations tampoco tiene cargos adicionales, siendo atractivo como base de gobernanza de bajo costo para toda la organizacion. Las restricciones de plantilla que limitan tipos de instancia tambien reducen el riesgo de que usuarios creen accidentalmente recursos costosos. En cuanto a limites, la cuota predeterminada es de 100 portafolios por region y 150 productos por portafolio. Las organizaciones grandes pueden necesitar solicitar aumentos de cuota. Las actualizaciones de productos aprovisionados se ejecutan como actualizaciones de stack CloudFormation, requiriendo atencion a la compatibilidad del change set.
Comparacion con servicios relacionados
Servicios con propositos similares a Service Catalog incluyen AWS Proton y Control Tower. Proton apunta a ingenieria de plataformas, logrando estandarizacion de microservicios mediante una estructura de dos capas de plantillas de entorno y servicio. Mientras Service Catalog es adecuado para autoservicio de recursos de proposito general, Proton se especializa en pipelines de despliegue de aplicaciones contenedorizadas/serverless. Control Tower se centra en gobernanza de cuentas a nivel organizacional (guardrails, agregacion de logs, emision de cuentas), mientras Service Catalog se centra en estandarizar el aprovisionamiento individual de recursos. En la practica, el enfoque comun es usar Control Tower para establecer la base de cuentas y Service Catalog para estandarizar la provision de recursos dentro de las cuentas.
Resumen
Service Catalog es un servicio que equilibra la gobernanza de TI con el autoservicio de usuarios finales. Cataloga patrones arquitectonicos aprobados e impone aprovisionamiento seguro mediante restricciones de lanzamiento y plantilla. La integracion con Organizations habilita la estandarizacion en entornos multi-cuenta, y combinado con Control Tower construye gobernanza consistente en toda la organizacion.