Los 7 pares de servicios que más se confunden en el CLF-C02

Corrigiendo un banco de preguntas del AWS Certified Cloud Practitioner (CLF-C02) nos encontramos con algo que no esperábamos: los fallos no estaban repartidos. Se concentraban siempre en los mismos sitios, y casi siempre entre dos servicios que se parecen.

Van los siete pares que más caen, con la regla corta para acertar cada uno.

---

1. S3 Standard-IA frente a S3 One Zone-IA

La confusión: creer que One Zone-IA es «lo mismo pero más barato».

• Standard-IA guarda los datos en tres o más zonas de disponibilidad.
• One Zone-IA los guarda en una sola. Es un 20 % más barato justamente por eso.

Lo que despista es la durabilidad: las dos anuncian 99,999999999 % (once nueves). Lo que cambia es qué pasa si esa zona desaparece. Con One Zone-IA, si la AZ se pierde, los datos se pierden.

2. Reserved Instances frente a Savings Plans

Las dos dan hasta un 72 % de descuento a cambio de comprometerte 1 o 3 años. La diferencia está en a qué te comprometes.

• Reserved Instances: te comprometes a un tipo de instancia concreto.
• Savings Plans: te comprometes a gastar X por hora, y AWS aplica el descuento a lo que uses.

El Compute Savings Plan es el más flexible: vale aunque cambies de familia, de tamaño, de sistema operativo, de región, e incluso si pasas de EC2 a Fargate o Lambda.

3. Trusted Advisor, Inspector, GuardDuty y Config

Aquí caen cuatro a la vez, y basta con quedarse con qué mira cada uno:

4. Security Groups frente a Network ACL

El par más clásico, y el que más gente falla por ir deprisa.

• Security Group: a nivel de instancia, con estado (stateful), y solo permite. No existe una regla de denegar.
• Network ACL: a nivel de subred, sin estado (stateless), y permite y deniega.

«Con estado» significa: si dejas entrar una conexión, la respuesta sale sola. Con NACL no: tienes que abrir la vuelta a mano, y ahí es donde se rompen las cosas en la vida real.

5. Regiones, zonas de disponibilidad y ubicaciones de borde

• Región: una zona geográfica (eu-west-1, Irlanda).
• Zona de disponibilidad: uno o varios centros de datos dentro de esa región, separados físicamente. Una región tiene varias.
• Ubicación de borde (edge location): puntos de CloudFront para servir contenido cerca del usuario. Hay muchísimas más que regiones.

6. Los planes de soporte: quién tiene TAM y quién no

Esto es lo que hay que saberse para el examen tal y como está hoy:

La pregunta casi siempre es una de estas dos: «¿el plan más barato con soporte 24/7?» → Business. «¿el plan con un Technical Account Manager asignado?» → Enterprise.

Business tiene 24/7 pero no tiene TAM. Ahí cae mucha gente.

7. El modelo de responsabilidad compartida

No es un servicio, pero es donde más se falla, porque parece obvio y no lo es.

AWS se ocupa de la seguridad de la nube. Tú, de la seguridad en la nube.

Lo que despista son los servicios gestionados. Con RDS, AWS parchea el sistema operativo y el motor de base de datos —eso ya no es tuyo—. Pero los usuarios de la base de datos, sus permisos y el cifrado siguen siendo tuyos. Con EC2, el sistema operativo vuelve a ser tuyo.

---

Cómo lo estudiaríamos nosotros

Estas siete no se aprenden leyéndolas. Se aprenden fallándolas: haces la pregunta, la fallas, lees por qué, y a la tercera ya no se te olvida. Por eso funciona mejor un banco de preguntas con explicación que un vídeo de quince horas.

Y una cosa que ayuda más de lo que parece: hacer al menos un simulacro completo con reloj. El examen son 65 preguntas en 90 minutos, y el cansancio de la pregunta 50 no se parece en nada al de la 5.

Por último, algo que vale para toda la certificación: AWS cambia, y la guía oficial del examen es siempre la última palabra, por encima de cualquier curso, vídeo o artículo. Incluido este.