La consola de administración de AWS es la interfaz web desde la que se ve y se gobierna todo lo que tienes en la nube. Marta y Luis la van a tener abierta en una pestaña durante todo el proyecto de MercadoFresco, así que merece la pena dedicarle una lección entera: no un paseo turístico por los menús, sino las cosas que de verdad se usan a diario y, sobre todo, las trampas que hacen perder horas y dinero a quien empieza.

Al terminar sabrás moverte con soltura, entenderás por qué el selector de región de la esquina superior derecha es el elemento más peligroso de toda la pantalla, sabrás etiquetar recursos para poder encontrarlos y controlar su coste después, y habrás creado, etiquetado, localizado y borrado tu primer recurso real en la cuenta de MercadoFresco.

1. Qué es la consola y cuándo conviene usarla
2. Iniciar sesión: usuario IAM frente a usuario root
3. La barra superior, elemento por elemento
4. La trampa de la región y cómo evitarla
5. Console Home, favoritos y buscador de servicios
6. Etiquetas (tags): el hábito que salva la factura
7. Resource Groups y Tag Editor: encontrar lo que has dispersado
8. AWS CloudShell: una terminal sin instalar nada
9. Facturación, Cost Explorer y Trusted Advisor: dónde están
10. Cambiar de rol entre cuentas
11. Ejercicio guiado: crear, etiquetar, localizar y borrar un bucket

La consola es un cliente web que llama a las mismas APIs que usan la CLI y los SDK. No hay nada que la consola pueda hacer y la API no (al revés sí ocurre: hay operaciones disponibles solo por API).

Conviene tener claro para qué sirve cada herramienta:

La regla profesional: explora en la consola, construye con código. Todo lo que llegue a producción debería estar definido en CloudFormation o CDK, no creado a mano. Pero para aprender y para investigar una incidencia, la consola es insustituible.

Hay dos formularios distintos de acceso, y confundirlos es habitual al principio.

En MercadoFresco, Marta guarda en el gestor de contraseñas el enlace directo del usuario IAM y solo ese. Si al iniciar sesión ves un banner rojo avisándote de que estás usando el root, cierra la sesión y vuelve a entrar como mercadofresco-admin.

Un truco útil: la consola permite tener varias sesiones a la vez si usas los perfiles de sesión del navegador (Chrome, Firefox y Edge lo soportan). Así puedes tener abierta la cuenta de desarrollo en un perfil y la de producción en otro, sin cerrar sesión constantemente. Es una forma barata de evitar el clásico "creí que estaba en desarrollo".

La barra superior está presente en todas las pantallas. De izquierda a derecha:

Este apartado merece su propio espacio porque es, con diferencia, el error más frecuente de quien empieza en AWS.

Como vimos en la lección 01-03, casi todos los recursos son regionales o zonales. La consola crea los recursos en la región que esté seleccionada en ese momento, y esa selección:

• Se guarda por navegador y por usuario, no por cuenta.
• Puede volver a us-east-1 si abres la consola desde un enlace de la documentación.
• No te avisa de nada cuando creas algo en la región equivocada.

Luis crea una instancia EC2 un jueves. El lunes vuelve, abre la consola desde un enlace de un tutorial (que lo lleva a us-east-1), va a EC2 y ve la lista vacía. Concluye que "se ha borrado sola" y crea otra. Al mes siguiente, la factura tiene dos instancias: la de Irlanda y la de Virginia, ambas encendidas y ambas cobrando.

1. Mira la región antes de cada creación. Conviértelo en un reflejo, como mirar el retrovisor.

2. Fija la región por defecto. En Console Home, el widget de configuración permite elegir la región que se cargará al entrar. Ponla en eu-west-1.

3. Comprueba la URL. La consola incluye la región en la dirección; es un chivato instantáneo:

   https://eu-west-1.console.aws.amazon.com/ec2/home?region=eu-west-1
                                                           ^^^^^^^^^
   

4. Usa el Tag Editor para buscar en todas las regiones cuando algo "no aparezca" (lo vemos en un momento).

5. Revisa la factura por región. En Billing → Bills, el desglose por región delata cualquier recurso olvidado en un sitio inesperado.

Y recuerda la excepción de la lección 01-02: las alarmas de facturación viven en us-east-1. Si vas a crear una, cambia de región a propósito y vuelve después.

Es la pantalla de inicio. Está formada por widgets que puedes añadir, quitar y reordenar arrastrando. Los útiles de verdad:

Marta configura su Console Home con Cost and usage, AWS Health y Recently visited arriba: las tres cosas que quiere ver cada mañana.

Pulsa en la barra de búsqueda (o Alt+S) y escribe. El buscador devuelve resultados de cuatro tipos:

• Servicios: escribe s3, ec2, iam.
• Funciones concretas dentro de un servicio: escribe buckets, security groups, snapshots.
• Recursos tuyos: escribe el nombre o el ID de un recurso (i-0a1b2c3d, fotos-producto).
• Documentación y blogs.

Buscar es casi siempre más rápido que navegar por el menú de servicios. Acostúmbrate a usarlo.

Al abrir un servicio, pulsa la estrella junto a su nombre para fijarlo en la barra de favoritos. Para el curso de MercadoFresco, esta selección inicial es un buen punto de partida:

Los favoritos se guardan por usuario, así que Luis y Sara tendrán los suyos propios.

Una etiqueta es un par clave-valor que asocias a un recurso. No hacen nada por sí solas: no cambian el comportamiento del recurso ni su rendimiento. Pero son la única forma práctica de responder a preguntas como:

• ¿Qué recursos son de producción y cuáles de pruebas?
• ¿Cuánto nos cuesta al mes la parte de "catálogo de productos"?
• ¿Quién creó esto y a quién pregunto antes de borrarlo?
• ¿Qué se puede apagar por la noche sin romper nada?

Sin etiquetas, en seis meses tendrás una lista de recursos con nombres crípticos y nadie se atreverá a borrar ninguno "por si acaso". Eso es dinero tirado cada mes.

Marta define desde el primer día un esquema mínimo y obligatorio:

Reglas de higiene que evitan muchos disgustos:

• Las claves distinguen mayúsculas y minúsculas: Entorno y entorno son etiquetas distintas y romperán tus informes. Fija una convención y respétala.
• Máximo 50 etiquetas por recurso; clave hasta 128 caracteres, valor hasta 256.
• No pongas datos sensibles en etiquetas. Son visibles en la facturación y en muchos informes.
• El prefijo aws: está reservado y no lo puedes usar.

Casi todos los servicios ofrecen una pestaña Tags en la pantalla de detalle del recurso, con un botón Manage tags o Add tags. Además, la mayoría de los asistentes de creación incluyen un paso de etiquetado: úsalo siempre, porque etiquetar en el momento de crear es el único hábito que sobrevive al paso del tiempo.

Nota: para que las etiquetas aparezcan desglosadas en los informes de coste hay que activarlas como etiquetas de asignación de costes en la consola de facturación, y tardan hasta 24 horas en reflejarse. Ese procedimiento completo es la lección 11-02.

Cuando tienes recursos de varios tipos repartidos por varias regiones, la consola de cada servicio se queda corta: EC2 te enseña instancias, S3 te enseña buckets, pero nadie te enseña "todo lo del proyecto MercadoFresco".

Para eso existe Resource Groups & Tag Editor.

Es una pantalla de búsqueda transversal. Busca en:

• Todas las regiones a la vez (opción All regions).
• Todos los tipos de recurso (opción All supported resource types).
• Filtrando por clave y valor de etiqueta.

Es la herramienta que resuelve el problema de la región equivocada: si algo "ha desaparecido", busca en Tag Editor con All regions y aparecerá.

Además permite editar etiquetas en bloque: seleccionas 30 recursos y les añades Proyecto=mercadofresco de una vez. Es la forma de arreglar un etiquetado descuidado sin morir de aburrimiento.

Un grupo de recursos es una consulta guardada. En lugar de repetir la búsqueda cada vez, la guardas con un nombre y la tienes siempre a mano.

MercadoFresco crea dos grupos desde el principio:

El segundo es especialmente valioso: es la lista de todo lo que se puede apagar un viernes por la noche para no pagar el fin de semana.

Los grupos pueden ser basados en etiquetas (una consulta sobre etiquetas, lo habitual) o basados en pila de CloudFormation (todos los recursos creados por una plantilla, módulo 9).

AWS CloudShell es un intérprete de comandos con Linux que se abre dentro del navegador, desde el icono de terminal de la barra superior. Es una de las mejores incorporaciones de los últimos años a la consola.

Sus virtudes:

• Ya viene autenticado. Hereda automáticamente los permisos del usuario con el que has iniciado sesión: no hay que configurar credenciales ni copiar claves a ningún sitio.
• Trae las herramientas preinstaladas: AWS CLI v2, Python con boto3, Node.js, git, jq, vim.
• Persiste 1 GB en tu directorio personal, por región, entre sesiones.
• Es gratis. Solo pagas lo que consuman los recursos que crees desde ahí.

Sus límites:

• La sesión se cierra tras unos 20-30 minutos de inactividad.
• El almacenamiento se borra si no usas CloudShell en esa región durante 120 días.
• Solo está disponible en algunas regiones (eu-west-1 es una de ellas).

Prueba inmediata: abre CloudShell y ejecuta

Salida esperada:

Qué significa cada campo:

• UserId: identificador interno del usuario.
• Account: el ID de 12 dígitos de tu cuenta (el que anotaste en 01-02).
• Arn: el Amazon Resource Name, el identificador único y global de esa identidad. Verás ARNs por todas partes en AWS; su estructura se explica en la lección 04-01.

Ese comando es la mejor forma de responder a "¿con qué permisos estoy actuando ahora mismo?". Lo usarás mucho. La CLI en profundidad —instalación local, perfiles, filtrado— es la lección 01-05.

Tres sitios que conviene localizar ahora, aunque los estudiemos a fondo más adelante.

Menú de la cuenta → Billing and Cost Management. Dentro:

Recuerda que Billing es un servicio global: el selector de región no le afecta.

Es la herramienta de análisis de gasto: gráficos por día o por mes, agrupados por servicio, región, tipo de instancia o etiqueta. Ahí es donde el esquema de etiquetado de MercadoFresco empieza a dar frutos: podrás ver cuánto cuesta el componente catalogo frente a pedidos.

Al activarlo por primera vez tarda hasta 24 horas en tener datos. Actívalo hoy aunque no lo necesites todavía. Su uso completo es la lección 11-03.

Buscador → Trusted Advisor. Es un servicio que analiza tu cuenta y te da recomendaciones en cinco categorías: coste, rendimiento, seguridad, tolerancia a fallos y límites de servicio.

Con el plan de soporte Basic solo verás un subconjunto de comprobaciones (las de seguridad básicas y las de límites). Con Business o Enterprise se desbloquean todas. Aun con el subconjunto gratuito, merece la pena mirarlo: detecta cosas como buckets S3 públicos o el MFA del root sin activar. Lo veremos a fondo en la lección 05-05.

En el menú de la cuenta hay una opción Switch role (cambiar de rol). Permite pasar a otra cuenta de AWS, o a otro conjunto de permisos dentro de la misma, sin cerrar sesión: introduces el ID de la cuenta destino y el nombre del rol, y la consola te "presta" esa identidad.

Es el mecanismo estándar en empresas con varias cuentas (una de desarrollo, otra de producción, otra de seguridad). Los últimos cinco roles usados quedan guardados con un color, lo que ayuda a saber de un vistazo dónde estás: en muchas empresas, producción se pinta de rojo a propósito.

MercadoFresco todavía tiene una sola cuenta, así que de momento no lo usaremos. La estrategia multicuenta se estudia en la lección 09-04 (AWS Organizations) y los permisos que lo hacen posible, en la 04-01 (IAM).

Vamos a manejar la consola de verdad. Usaremos un bucket de S3 como excusa porque es el recurso más sencillo de crear y borrar; S3 en profundidad es la lección 02-03.

Coste: un bucket vacío no cuesta nada, y la capa gratuita cubre 5 GB durante 12 meses. Aun así, lo borraremos al final para adquirir el hábito.

1. Inicia sesión como mercadofresco-admin (no como root).
2. Mira el selector de región arriba a la derecha y selecciona Europe (Ireland) eu-west-1.
3. Confirma en la URL que aparece region=eu-west-1.

1. En el buscador escribe S3 y abre el servicio.

2. Pulsa Create bucket.

3. Bucket name: los nombres de bucket son únicos en todo el mundo, así que añade algo tuyo:

   mercadofresco-pruebas-consola-<tus-iniciales>-<4-digitos>
   

   Por ejemplo: mercadofresco-pruebas-consola-jc-2741. Solo minúsculas, números y guiones.

4. Region: Europe (Ireland) eu-west-1.

5. Deja Block all public access marcado. Es el valor por defecto y nunca debes desmarcarlo sin una razón muy concreta: la mayoría de las "filtraciones en AWS" de las que has oído hablar son buckets con esta casilla desmarcada.

6. Baja hasta la sección Tags y añade:

   Key	Value
   Proyecto	mercadofresco
   Entorno	pruebas
   Componente	formacion
   Propietario	tu nombre

7. Pulsa Create bucket.

1. En el buscador escribe Resource Groups y abre Resource Groups & Tag Editor.
2. En el menú lateral, pulsa Tag Editor.
3. Configura la búsqueda:
   • Regions: selecciona All regions.
   • Resource types: All supported resource types.
   • Tags: clave Proyecto, valor mercadofresco.
4. Pulsa Search resources.

Debería aparecer tu bucket, con su tipo, su región y sus etiquetas. Fíjate en que lo has encontrado sin saber en qué región estaba: esa es exactamente la herramienta que resuelve el problema de la región equivocada.

1. En el menú lateral, Create resource group.
2. Tipo: Tag based.
3. Grouping criteria: todos los tipos de recurso, etiqueta Proyecto=mercadofresco.
4. Nombre del grupo: mercadofresco-todo.
5. Crear.

Ahora tienes esa consulta guardada y accesible con un clic.

Abre CloudShell desde la barra superior y ejecuta:

Línea a línea:

• aws s3api: la interfaz de bajo nivel de S3, que expone todas las operaciones de la API (aws s3 es la interfaz simplificada de alto nivel).
• get-bucket-tagging: operación que devuelve el conjunto de etiquetas.
• --bucket: el nombre del bucket sobre el que preguntamos.

Salida esperada:

Compruebas así que la consola y la API son dos caras de lo mismo.

1. Ve a S3 → Buckets.
2. Selecciona el bucket y pulsa Delete.
3. S3 te pedirá que escribas el nombre exacto del bucket para confirmar. Es una protección deliberada contra borrados accidentales.
4. Confirma.

Si el bucket tuviera objetos dentro, primero habría que vaciarlo con el botón Empty. Un bucket no vacío no se puede borrar.

Opcionalmente, borra también el grupo de recursos mercadofresco-todo (no cuesta nada, pero deja la cuenta limpia).

• Crear recursos en la región equivocada. Ya insistido, pero es el error que más veces vas a cometer. Mira siempre el selector antes de pulsar Create.
• Trabajar como root "porque así no hay problemas de permisos". Si ves el banner de root, sal.
• No etiquetar "porque es un recurso temporal". Casi todos los recursos temporales acaban siendo permanentes. Etiqueta siempre en el momento de crear: después nadie lo hace.
• Usar Entorno y entorno indistintamente. Las claves distinguen mayúsculas. Un esquema inconsistente arruina los informes de coste y no da ningún error, así que el problema se descubre meses después.
• Desmarcar Block all public access al crear un bucket. No lo hagas salvo que sepas exactamente lo que estás haciendo. Para servir contenido público existe CloudFront (lección 03-04), que no exige abrir el bucket.
• Buscar un recurso solo en la consola de su servicio. Si no aparece, prueba con Tag Editor y All regions antes de concluir que no existe.
• Creer que borrar un recurso de la consola lo borra todo. Al terminar una instancia EC2 pueden quedar volúmenes EBS, IPs elásticas e instantáneas facturando. Revisa siempre lo asociado.
• Consejo: usa perfiles del navegador para separar cuentas. Es más seguro y más rápido que cerrar y abrir sesión.
• Consejo: aprende el atajo del buscador (Alt+S). Navegar por menús es lento; buscar por nombre es inmediato.
• Consejo: todo lo que hagas en la consola y quieras conservar, apúntalo. Cuando llegues al módulo 9 convertirás esas notas en plantillas de CloudFormation.

Sin crear ningún recurso nuevo, responde usando solo la consola:

1. ¿Cuál es el ID de 12 dígitos de tu cuenta y qué alias tiene?
2. ¿Con qué identidad estás actuando ahora mismo? Obtén el ARN completo por dos caminos distintos: por la consola y por CloudShell.
3. ¿Cuánto llevas gastado este mes y en qué servicios?
4. ¿Cuántas comprobaciones de Trusted Advisor tienes disponibles y cuántas están en alerta?
5. ¿Tienes algún recurso en una región distinta de eu-west-1? Demuéstralo con Tag Editor.

MercadoFresco va a tener, dentro de unos meses: servidores de la tienda, una base de datos de pedidos, un bucket de fotos de producto, una función que calcula rutas de reparto y un entorno de desarrollo completo que Luis quiere apagar los fines de semana.

1. Escribe el esquema de etiquetas que aplicarías a cada uno de esos cinco elementos, usando las claves definidas en esta lección.
2. Define tres grupos de recursos que a Marta le resultarían útiles y explica qué pregunta responde cada uno.
3. ¿Qué etiqueta añadirías al esquema para automatizar el apagado nocturno del entorno de desarrollo, y qué valores tendría?

Sara avisa de que la factura de este mes tiene un cargo de EC2 de 9 $, pero Marta entra en la consola de EC2 y no ve ninguna instancia. Además, ambas juran que nadie ha creado nada.

1. Enumera, en orden, los pasos que darías en la consola para localizar el origen del cargo.
2. Cita al menos tres causas posibles de un cargo de EC2 sin instancias visibles.
3. ¿Qué dos medidas preventivas de esta lección y de la 01-02 habrían evitado o detectado antes el problema?

Solución 1

1. Menú de la cuenta (arriba a la derecha): ahí aparecen el ID de 12 dígitos y, debajo, el alias. También en IAM → Dashboard.
2. Por consola: IAM → Users → mercadofresco-admin, campo ARN, con la forma arn:aws:iam::111122223333:user/mercadofresco-admin. Por CloudShell: aws sts get-caller-identity, campo Arn. Ambos deben coincidir.
3. Billing and Cost Management → Bills: gasto del mes en curso desglosado por servicio, y en la pestaña correspondiente, por región.
4. Buscador → Trusted Advisor. Con plan Basic verás un subconjunto (seguridad básica y límites de servicio); el panel indica cuántas comprobaciones están en verde, ámbar y rojo.
5. Resource Groups & Tag Editor → Tag Editor, con All regions, All supported resource types y sin filtro de etiqueta (o con clave vacía). El resultado lista los recursos con su región.

Solución 2

1. Esquema por elemento:

2. Tres grupos útiles:

3. Una etiqueta de programación de encendido y apagado, por ejemplo Horario, con valores como 24x7 (siempre encendido), laborable-8-20 (encendido de lunes a viernes de 8 a 20) y bajo-demanda (normalmente apagado). Después, un proceso automático lee esa etiqueta y actúa en consecuencia; la automatización de ese apagado se construye con los servicios de los módulos 5 y 7.

Solución 3

1. Pasos, en orden:

   • Billing and Cost Management → Bills, desplegar el cargo de EC2 y mirar el desglose por región: eso identifica en qué región se está produciendo.
   • Mirar también el tipo de uso (usage type) dentro del cargo: distingue si es tiempo de cómputo (BoxUsage), almacenamiento de disco (EBS:VolumeUsage), instantáneas (EBS:SnapshotUsage) o direcciones IP (ElasticIP:IdleAddress).
   • Cambiar la consola a esa región y revisar EC2 → Instances, Volumes, Snapshots y Elastic IPs.
   • Usar Tag Editor con All regions para ver todo lo que existe en la cuenta.
   • Consultar CloudTrail (lección 05-03) para saber quién creó el recurso y cuándo.

2. Causas posibles:

   • Una instancia en otra región (el caso clásico del selector de región).
   • Un volumen EBS huérfano, que sigue facturando aunque la instancia se haya terminado.
   • Una IP elástica sin asociar: AWS cobra las direcciones que reservas y no usas.
   • Instantáneas antiguas de volúmenes ya borrados.
   • Una instancia parada (no factura cómputo, pero sí su disco EBS).

3. Medidas preventivas:

   • El presupuesto con alerta sobre el importe previsto de la lección 01-02: habría avisado a los pocos días del inicio del cargo, no a fin de mes.
   • El etiquetado obligatorio desde la creación y los grupos de recursos de esta lección: con Proyecto y Propietario en todo, el recurso fantasma se identifica y se atribuye en segundos, y el desglose de coste por etiqueta lo habría hecho evidente.
   • Como refuerzo, el hábito de verificar la región antes de crear y de revisar el desglose de la factura por región una vez al mes.

Ya sabes moverte por la consola de AWS con criterio profesional. Has aprendido a entrar como usuario IAM y no como root, a leer la barra superior, y —lo más importante— a no caer en la trampa del selector de región, que es la causa de la mayoría de los recursos fantasma y de las facturas inexplicables. Has configurado Console Home y los favoritos para trabajar rápido, has adoptado un esquema de etiquetado que en unos meses te permitirá saber cuánto cuesta cada parte de MercadoFresco, y conoces Tag Editor y Resource Groups para encontrar y agrupar recursos dispersos por cualquier región. También has descubierto CloudShell, la forma más rápida de ejecutar un comando sin instalar nada, y sabes dónde viven la facturación, Cost Explorer y Trusted Advisor para cuando lleguemos a los módulos 5 y 11.

Y has hecho tu primer ciclo completo de vida de un recurso: crear, etiquetar, localizar y borrar. Ese último paso es el hábito que te evitará sorpresas en la factura durante todo el curso.

La consola es excelente para explorar y diagnosticar, pero tiene un límite estructural: no es reproducible. Nadie puede revisar en Git lo que hiciste con el ratón, ni repetirlo idéntico en un segundo entorno, ni ejecutarlo cien veces.

En la siguiente lección, 01-05 «AWS CLI y SDKs», damos ese salto: instalarás y configurarás la AWS CLI v2, aprenderás a usar perfiles y a filtrar resultados con --query, entenderás el orden de precedencia de las credenciales y escribirás tus primeros scripts —en bash y en Python con boto3— para gestionar los recursos de MercadoFresco de forma repetible.