CLF-C02 Notas de preparación
Resumen completo del temario del CLF-C02, con la extensión justa para releerlo en los 30 minutos previos al examen. Úsalo como repaso final después de recorrer los cuatro dominios en el curso de aprendizaje y detectar tus puntos débiles con las preguntas de práctica. Lee primero la tabla que relaciona las pistas del enunciado con la respuesta y los patrones de respuestas incorrectas y las trampas.
Datos del examen y enfoque
- El examen tiene 65 preguntas en 90 minutos, de las que 50 puntúan, y no se puede saber cuáles son las 15 que no puntúan.
- El resultado se expresa como una puntuación escalada de 100 a 1000 y la nota de aprobado es 700.
- La puntuación es compensatoria, así que no hay mínimo por dominio y basta con llegar a 700 en total.
- Hay dos formatos: opción múltiple con una respuesta entre cuatro opciones y respuesta múltiple con dos o más respuestas entre cinco o más opciones.
- Las preguntas sin responder cuentan como incorrectas y adivinar no resta, así que responde a todas.
- La ponderación es Tecnología y servicios en la nube 34 %, Seguridad y conformidad 30 %, Conceptos de la nube 24 % y Facturación, precios y soporte 12 %.
- El candidato objetivo tiene hasta unos seis meses de contacto con AWS, y la programación, el diseño de arquitecturas y la resolución de problemas quedan fuera del temario.
- Lo que más se evalúa es asociar cada servicio con su caso de uso y decidir si una responsabilidad es de AWS o del cliente.
- Los superlativos como más rentable o con menor carga operativa deciden entre las dos últimas opciones.
Pistas del enunciado y dirección de la respuesta
| Pista del enunciado | Dirección de la respuesta |
|---|---|
| Aumentar o reducir instancias automáticamente según la demanda | Amazon EC2 Auto Scaling (elasticidad) |
| Repartir el tráfico entre varias instancias | Elastic Load Balancing |
| Ejecutar código breve por eventos sin gestionar servidores | AWS Lambda |
| Ejecutar contenedores sin gestionar servidores | AWS Fargate |
| Ejecutar al menor coste trabajos que admiten interrupciones | Instancias de spot |
| Carga estable durante uno o tres años | Instancias reservadas o Savings Plans |
| Mantener el descuento aunque cambie el tipo de instancia o la región | Compute Savings Plans |
| Traer licencias por socket y dedicar un servidor físico | Dedicated Hosts |
| Averiguar quién llamó a qué API y cuándo | AWS CloudTrail |
| Registrar cambios de configuración y comprobar el cumplimiento de reglas | AWS Config |
| Vigilar métricas como el uso de CPU y lanzar alarmas | Amazon CloudWatch |
| Obtener informes de auditoría como SOC o PCI DSS | AWS Artifact |
| Protegerse de ataques DDoS | AWS Shield |
| Bloquear ataques web como la inyección SQL | AWS WAF |
| Detectar tráfico sospechoso o actividad anómala de la cuenta | Amazon GuardDuty |
| Analizar vulnerabilidades de EC2 o de imágenes de contenedor | Amazon Inspector |
| Encontrar datos personales en los datos guardados en S3 | Amazon Macie |
| Guardar contraseñas de bases de datos y rotarlas automáticamente | AWS Secrets Manager |
| Unificar la factura de varias cuentas y compartir descuentos | Facturación consolidada de AWS Organizations |
| Recibir un aviso cuando el gasto vaya a superar el presupuesto | AWS Budgets |
| Analizar la tendencia del gasto pasado por servicio | AWS Cost Explorer |
| Estimar el coste mensual antes de empezar | AWS Pricing Calculator |
| Revisar las prácticas recomendadas de coste y seguridad | AWS Trusted Advisor |
| Conectar on-premises por una línea dedicada con ancho de banda estable | AWS Direct Connect |
| Montar enseguida una conexión cifrada por internet | AWS Site-to-Site VPN |
| Entregar contenido a usuarios de todo el mundo con baja latencia | Amazon CloudFront |
| Resolver nombres de dominio y conmutar con comprobaciones de estado | Amazon Route 53 |
| Guardar datos con patrones de acceso desconocidos o cambiantes | S3 Intelligent-Tiering |
| Datos guardados durante años y casi nunca recuperados | S3 Glacier Deep Archive |
| Archivos compartidos montados a la vez por varias instancias EC2 | Amazon EFS |
| Migrar una base de datos a AWS sin detener el servicio | AWS DMS (y AWS SCT si cambia el motor) |
| Crear la misma infraestructura una y otra vez desde código | AWS CloudFormation |
| Desacoplar el procesamiento y encolar mensajes para después | Amazon SQS |
| Entregar una notificación a muchos destinatarios a la vez | Amazon SNS |
| Que un solo fallo no detenga el servicio | Distribuir en varias zonas de disponibilidad |
Patrones de respuestas incorrectas
- Descarta la opción que atribuye al cliente la seguridad del centro de datos o el mantenimiento del hardware físico.
- Descarta la opción que atribuye a AWS la aplicación de parches al sistema operativo invitado de EC2.
- Descarta las confusiones como consultar el uso de CPU en CloudTrail o buscar quién hizo un cambio en CloudWatch.
- Descarta la opción que usa el usuario raíz para las tareas diarias.
- Descarta conceder permisos amplios primero y restringirlos después, porque contradice el principio de privilegio mínimo.
- Descarta la opción que escribe las claves de acceso directamente en el código o en archivos de configuración.
- Descarta elegir instancias de spot para trabajos que no admiten interrupciones.
- Descarta elegir instancias reservadas para cargas cortas e impredecibles.
- Descarta la opción que presume de alta disponibilidad con todo en una sola zona de disponibilidad.
- Descarta la opción que presenta como ventaja de la nube prever y reservar la capacidad por adelantado.
- Cuando se pide la menor carga operativa, descarta instalar y operar el software por tu cuenta en EC2.
- Descarta la opción que dice que Basic Support permite abrir casos de soporte técnico.
- Descarta la combinación invertida de Budgets para el análisis del pasado y Cost Explorer para los avisos de presupuesto.
- Descarta elegir Shield contra la inyección SQL o Inspector como defensa principal frente a DDoS.
- Descarta la opción que escribe reglas de denegación en un grupo de seguridad.
- Descarta la opción que trata las ubicaciones de borde como si fueran zonas de disponibilidad.
- Cuando el objetivo es la migración más rápida, descarta la refactorización, que rehace la aplicación.
Puntos clave por dominio
Dominio 1 Conceptos de la nube (24 %)
- Las seis ventajas de la nube son no invertir por adelantado, las economías de escala, no tener que adivinar la capacidad, la agilidad, no operar centros de datos y desplegar en todo el mundo en minutos.
- La elasticidad es seguir la demanda de forma automática y la escalabilidad es la capacidad de aumentar o reducir recursos.
- La alta disponibilidad significa que el sistema rara vez se cae y la tolerancia a fallos, que sigue funcionando aunque haya un fallo.
- Los seis pilares del marco Well-Architected son excelencia operativa, seguridad, fiabilidad, eficiencia del rendimiento, optimización de costes y sostenibilidad.
- Recuperarse de fallos es fiabilidad, elegir los recursos adecuados es eficiencia del rendimiento, eliminar gasto innecesario es optimización de costes y reducir el impacto ambiental es sostenibilidad.
- Las seis perspectivas de AWS CAF son negocio, personas, gobernanza, plataforma, seguridad y operaciones.
- Los beneficios que señala AWS CAF son menor riesgo empresarial, mejor desempeño ESG, más ingresos y mayor eficiencia operativa.
- Las 7 R de la migración son rehospedar, redefinir la plataforma, refactorizar, recomprar, retirar, retener y reubicar.
- La economía de la nube convierte costes fijos en variables, permite ajustar el tamaño al uso real y reduce el trabajo manual con automatización.
- Para las licencias puedes traer las tuyas (BYOL) o usar precios con la licencia incluida.
Dominio 2 Seguridad y conformidad (30 %)
- AWS responde de la seguridad de la nube (instalaciones físicas, hardware y capa de virtualización) y el cliente de la seguridad en la nube (datos, IAM, sistema operativo y configuración de red).
- El límite cambia según el servicio: en EC2 el cliente se encarga del sistema operativo hacia arriba, en RDS AWS aplica los parches del sistema operativo y de la base de datos, y en Lambda AWS gestiona el entorno de ejecución.
- Los controles compartidos entre AWS y el cliente son la gestión de parches, la gestión de la configuración y la concienciación y formación.
- En IAM, un usuario es una persona o aplicación, un grupo da los mismos permisos a varios usuarios, un rol es un conjunto de permisos temporales que se asume y una política es un documento JSON que define permisos.
- Protege el usuario raíz con MFA, no le crees claves de acceso y úsalo solo para tareas exclusivas como cerrar la cuenta, cambiar el nombre de la cuenta o la dirección de correo y activar el acceso de IAM a la información de facturación.
- IAM Identity Center ofrece inicio de sesión único en varias cuentas y federación con identidades externas, y Amazon Cognito gestiona el registro y el inicio de sesión de los usuarios de una aplicación.
- El cliente activa el cifrado en reposo (claves de AWS KMS) y en tránsito (TLS) y guarda las credenciales en Secrets Manager o en Parameter Store de Systems Manager.
- El registro y la auditoría se hacen con CloudTrail (registro de API), Config (registro de configuración y cumplimiento), CloudWatch (supervisión) y los informes de acceso de IAM.
- GuardDuty cubre amenazas, Inspector vulnerabilidades, Security Hub la agregación de hallazgos, Shield DDoS, WAF ataques web y Firewall Manager la aplicación centralizada de reglas.
- Los informes de conformidad se obtienen en AWS Artifact y los productos de seguridad de terceros se buscan en AWS Marketplace.
Dominio 3 Tecnología y servicios en la nube (34 %)
- AWS se usa mediante la consola de administración, la CLI, los SDK, las API y la infraestructura como código, y los tres modelos de implementación son nube, híbrido y on-premises.
- Cada región tiene varias AZ que no comparten un único punto de fallo, y las ubicaciones de borde entregan contenido cerca de los usuarios.
- Las razones para usar varias regiones son la recuperación ante desastres, la continuidad del negocio, la baja latencia para los usuarios y la soberanía de los datos.
- En cómputo se elige entre EC2 (tipos de instancia por caso de uso), Lambda, ECS y EKS (contenedores) y Fargate (contenedores sin gestionar servidores).
- Las bases de datos son RDS y Aurora (relacionales), DynamoDB (NoSQL) y ElastiCache (en memoria), y solo se instala una por cuenta propia en EC2 cuando hay que gestionar el sistema operativo o el motor.
- Una VPC se compone de subredes y gateways, los grupos de seguridad son con estado y por instancia, y las ACL de red son sin estado y por subred.
- El almacenamiento es S3 (objetos), EBS (bloques en una AZ), almacén de instancias (temporal), EFS y FSx (archivos) y Storage Gateway (conexión con on-premises).
- S3 Standard, Standard-IA, Glacier Flexible Retrieval y Glacier Deep Archive son, en ese orden, más baratos y más lentos de recuperar, y las políticas de ciclo de vida mueven los datos entre ellos automáticamente.
- En IA y análisis se elige según el caso entre SageMaker AI, Lex, Textract (extraer texto de documentos), Translate (traducción), Athena, Kinesis, Glue y Amazon Quick Sight.
- Para la integración se usan SQS (encolar mensajes), SNS (avisar a muchos destinatarios) y EventBridge (enrutar eventos por reglas), y AWS Backup gestiona las copias de seguridad de forma centralizada.
Dominio 4 Facturación, precios y soporte (12 %)
- Las siete opciones de compra son bajo demanda, instancias reservadas, Savings Plans, instancias de spot, Dedicated Hosts, Dedicated Instances y reservas de capacidad.
- Savings Plans compromete un gasto por hora durante uno o tres años y es más flexible que las instancias reservadas, y ambos descuentos se comparten en la organización mediante la facturación consolidada.
- La transferencia de datos de internet hacia AWS es gratuita, mientras que se cobra la salida de AWS, la transferencia entre regiones y la que cruza AZ dentro de la misma región.
- Budgets sirve para los avisos de presupuesto, Cost Explorer para el análisis del pasado y Pricing Calculator para estimar antes de empezar.
- Las etiquetas de asignación de costes pueden ser generadas por AWS o definidas por el usuario y, una vez activadas, permiten desglosar los costes en informes como AWS Cost and Usage Report.
- Los planes de soporte son Basic Support, gratuito, y los de pago Business Support+, Enterprise Support y Unified Operations (a octubre de 2026).
- Trusted Advisor revisa optimización de costes, rendimiento, seguridad, tolerancia a fallos, cuotas de servicio y excelencia operativa.
- La información técnica se busca en documentos técnicos, blogs, documentación, AWS Prescriptive Guidance, AWS Knowledge Center y AWS re:Post.
- AWS Health Dashboard y AWS Health API informan de cómo afectan a tu entorno las incidencias de AWS y el mantenimiento programado.
- El uso indebido de recursos de AWS se notifica al equipo de Trust and Safety, y la ayuda para la adopción se pide a AWS Partner Network, Marketplace y Professional Services.
Servicios en una línea
| Nombre | En una línea |
|---|---|
| Amazon Q | Asistente de IA generativa que responde preguntas de negocio y desarrollo |
| AWS Config | Historial de configuración de recursos y evaluación del cumplimiento |
| AWS CloudTrail | Registro de la actividad de API (quién, cuándo y qué) |
| Amazon CloudWatch | Supervisión con métricas, registros y alarmas |
| AWS Trusted Advisor | Revisión de prácticas recomendadas y propuestas de mejora |
| AWS Security Hub | Hallazgos de seguridad reunidos en un solo lugar |
| Amazon Inspector | Análisis automático de vulnerabilidades de EC2 e imágenes de contenedor |
| AWS Firewall Manager | Aplicar reglas de WAF y otras a varias cuentas a la vez |
| AWS Control Tower | Preparar automáticamente un entorno multicuenta con reglas |
| AWS Global Accelerator | Optimizar la ruta del tráfico por la red de AWS (sin caché) |
| AWS Application Migration Service | Trasladar servidores a AWS tal cual (rehospedaje) |
| AWS Outposts | Infraestructura de AWS en tu propio centro de datos |
| AWS Elastic Beanstalk | Subir el código y obtener el entorno de ejecución |
| AWS IAM Identity Center | Inicio de sesión único en varias cuentas |
| Amazon Rekognition | Análisis de imágenes y vídeos |
| Amazon Comprehend | Extraer sentimientos y entidades de un texto |
| Amazon Polly | Texto a voz |
| Amazon Transcribe | Voz a texto |
Las 15 trampas principales
- Una zona de disponibilidad no es un solo centro de datos, sino un grupo de uno o más centros de datos.
- Activar el acceso de IAM a la información de facturación no lo puede hacer un usuario de IAM con permisos de administrador, solo el usuario raíz.
- Config registra los cambios de configuración de los recursos y su estado de cumplimiento, no quién hizo el cambio.
- Los grupos de seguridad son con estado y solo admiten reglas de permiso, mientras que las ACL de red son sin estado y admiten reglas de permiso y de denegación.
- Aplicar parches al sistema operativo de RDS es responsabilidad de AWS, no del cliente.
- Que un bucket de S3 sea público es responsabilidad del cliente, no de AWS.
- Savings Plans compromete un gasto por hora, no un número de instancias.
- Lo que se cobra es la salida de AWS, y la opción que dice que la transferencia de internet hacia AWS es de pago es un distractor.
- Basic Support es gratuito, pero no permite abrir casos de soporte técnico.
- AWS Artifact es donde se obtienen los informes, no donde se guardan los registros de auditoría (eso es CloudTrail).
- EBS es almacenamiento de bloques en una AZ, y para archivos compartidos entre varias instancias se usa EFS.
- Los datos del almacén de instancias se pierden al detener o terminar la instancia, así que elegirlo como almacenamiento persistente es un distractor.
- CloudFront almacena en caché y entrega contenido, mientras que Global Accelerator optimiza la ruta del tráfico sin caché.
- La región no se elige solo por precio, sino por cumplimiento normativo, cercanía a los usuarios y servicios disponibles.
- La facturación consolidada unifica las facturas, mientras que lo que restringe lo que pueden hacer las cuentas son las políticas de control de servicios (SCP).
Comprobación de última hora
- Sé decir el número de preguntas, la duración, el número de preguntas que puntúan y la nota de aprobado.
- Sé nombrar los cuatro dominios y su ponderación.
- Sé nombrar las seis ventajas de la nube.
- Sé nombrar los seis pilares del marco Well-Architected.
- Sé nombrar las seis perspectivas de AWS CAF.
- Sé nombrar las 7 R de la migración.
- Sé explicar en una frase la diferencia entre elasticidad y escalabilidad.
- Sé explicar en una frase la diferencia entre alta disponibilidad y tolerancia a fallos.
- Sé nombrar tres responsabilidades de AWS y tres del cliente en el modelo de responsabilidad compartida.
- Sé explicar cómo cambia la responsabilidad del cliente entre EC2, RDS y Lambda.
- Sé nombrar dos tareas que solo puede hacer el usuario raíz.
- Sé nombrar tres formas de proteger el usuario raíz.
- Sé explicar las diferencias entre usuarios, grupos, roles y políticas de IAM.
- Sé explicar CloudWatch, CloudTrail y Config en una frase cada uno.
- Sé decir la función de GuardDuty, Inspector, Macie, Shield y WAF en una palabra cada uno.
- Sé nombrar dos diferencias entre los grupos de seguridad y las ACL de red.
- Sé explicar la relación entre regiones, zonas de disponibilidad y ubicaciones de borde.
- Sé nombrar tres razones para usar varias regiones.
- Sé explicar las diferencias entre S3, EBS, EFS y el almacén de instancias.
- Sé nombrar cuatro clases de almacenamiento de S3 de más a menos frecuencia de recuperación.
- Sé explicar cuándo usar RDS, Aurora, DynamoDB y ElastiCache.
- Sé explicar las diferencias entre SQS, SNS y EventBridge.
- Sé nombrar las siete opciones de compra de EC2 y para qué casos sirven las principales.
- Sé explicar cuándo usar Budgets, Cost Explorer y Pricing Calculator.
- Sé nombrar los cuatro planes de soporte.
- Sé nombrar tres categorías que revisa Trusted Advisor.
- Sé explicar la diferencia entre Direct Connect y Site-to-Site VPN.
- Sé decir dónde se notifica el uso indebido de recursos de AWS.