Comprensión conceptual de los comandos de AWS CLI

La AWS CLI permite controlar AWS desde un terminal. No tendrá que escribir código en el examen, pero sí deberá leer comandos de la CLI y saber exactamente qué hacen.

Todos los comandos siguen el mismo patrón: aws, después un servicio, luego una operación y, por último, opciones. Cuando reconoce esta estructura, cualquier comando resulta fácil de leer. El ejemplo la muestra.

Primero aparece el servicio (como iam o ec2) y después la operación, normalmente con la forma verbo-sustantivo. Todo lo que empieza por list o describe solo lee datos, por lo que es seguro durante una investigación.

Las opciones empiezan con dos guiones y añaden detalles: --bucket indica un bucket y --region selecciona una región. Leerlas le indica exactamente qué afectará el comando.

Debe saber qué comandos cambian las cosas. get, list y describe solo leen. put, create, delete y modify escriben en el estado y pueden ser peligrosos; utilícelos con cuidado.

De forma predeterminada, la CLI responde en JSON, un formato de texto ordenado compuesto por campos y valores. Revisarlo rápidamente en busca de claves como «Effect» y «Action» es una habilidad que utilizará constantemente.

La CLI necesita credenciales, procedentes de un perfil, una variable de entorno o un rol asociado. La fuente más segura son las credenciales temporales de un rol, no las claves de larga duración.

La opción --profile selecciona un conjunto de credenciales con nombre, de modo que una persona puede trabajar con varias cuentas. Cada perfil corresponde a su propia identidad y permisos.

La CLI se puede incluir en scripts, programar y controlar mediante versiones, lo que hace que las acciones de seguridad sean repetibles y auditables. Por eso aquí la aplicación de controles escala mejor que en la consola.

Para descifrar un comando de examen, léalo por partes: qué servicio, qué operación, si lee o escribe y qué opciones utiliza. Eso basta para saber si cumple el objetivo; no es necesario ejecutarlo.

La llamada sts assume-role devuelve credenciales de corta duración, de modo que un script actúa con un rol en lugar de utilizar claves permanentes. Reconocer este patrón significa que el actor lo está haciendo de forma segura.

Descifre un comando de la CLI.

Un comando se lee como aws service operation options. list, describe y get son lecturas seguras; put y delete escriben. La salida es JSON y los scripts hacen que la CLI sea excelente para la automatización.