Una instancia EC2 nunca va sola. Para arrancarla necesitas tres piezas que la acompañan siempre: una AMI (de qué disco parte), una key pair (cómo entras de forma segura) y un Security Group (qué tráfico permites). Entender estas tres es imprescindible antes de lanzar tu primer servidor.

AMI significa Amazon Machine Image (Imagen de Máquina de Amazon). Es una plantilla que contiene el sistema operativo y, opcionalmente, software preinstalado, desde la que se crea tu instancia.

Analogía: Una AMI es como el molde de un pastel o una foto de fábrica de un ordenador. Cuando lanzas una instancia, AWS «hace una copia» de esa imagen y la pone en marcha. Si lanzas 10 instancias de la misma AMI, las 10 arrancan idénticas.

Qué contiene una AMI:

• El sistema operativo (Amazon Linux, Ubuntu, Windows Server…).
• Configuraciones iniciales.
• Opcionalmente, software ya instalado (un servidor web, tu aplicación, etc.).

Tipos de AMI que encontrarás:

Truco profesional: Crear tu propia AMI con tu software ya instalado hace que lanzar nuevas instancias sea instantáneo y repetible. Esto es clave para el autoescalado (Capítulo 13): en lugar de instalar todo en cada arranque, partes de una imagen ya lista. Herramientas como Packer (de HashiCorp, igual que Terraform) se usan para construir AMIs de forma automatizada.

Para entrar a tu instancia (por SSH en Linux o RDP en Windows) necesitas autenticarte. AWS usa key pairs (pares de claves) basadas en criptografía de clave pública.

Una key pair tiene dos partes:

• Clave pública: AWS la guarda dentro de la instancia. Es como una cerradura.
• Clave privada: la descargas tú y solo tú la tienes. Es la llave que abre esa cerradura.

Cómo funciona al conectarte:

1. Lanzas una instancia y le asocias una key pair.
2. AWS coloca la clave pública dentro.
3. Para conectarte, usas tu clave privada. La cerradura (pública) solo se abre con esa llave (privada) concreta.

⚠️ Regla de seguridad crítica: AWS te deja descargar la clave privada una sola vez al crearla. Si la pierdes, no puedes recuperarla y perderás el acceso a las instancias que dependan de ella. Guárdala en un lugar seguro y nunca la subas a un repositorio Git ni la compartas por chat o correo.

Un Security Group (grupo de seguridad) es un firewall virtual que controla qué tráfico de red puede entrar y salir de tu instancia. Es tu primera y más importante línea de defensa.

Analogía: Es como el portero de una discoteca con una lista. Solo deja pasar a quien está en la lista; al resto, lo bloquea.

Características clave de los Security Groups:

• Funcionan con reglas de entrada (inbound) y reglas de salida (outbound).
• Solo permiten listas blancas (allow): defines qué se permite; todo lo demás se bloquea por defecto.
• Son stateful («con estado»): si permites una conexión de entrada, la respuesta de salida se permite automáticamente. No tienes que duplicar reglas.

Ejemplo de reglas para un servidor web:

⚠️ Error de principiante muy común: abrir el puerto 22 (SSH) o 3389 (RDP) a 0.0.0.0/0 (todo internet). Eso significa que cualquiera en el mundo puede intentar entrar a tu servidor. Limita siempre el acceso administrativo a tu IP o a una red de confianza. Es uno de los fallos de seguridad más explotados.

0.0.0.0/0 significa «cualquier dirección IP de internet». Está bien para los puertos de la web pública (80/443), pero es peligroso para puertos de administración.

Cuando lanzas una instancia, defines las tres a la vez:

• La AMI decide de qué parte la instancia.
• La key pair decide quién puede entrar.
• El Security Group decide qué tráfico de red se permite.

• AMI: plantilla (sistema operativo + software) desde la que se crea la instancia. Crear AMIs propias hace el despliegue rápido y repetible.
• Key pair: par de claves pública/privada para conectarte de forma segura. La privada se descarga una sola vez; guárdala bien y nunca la compartas.
• Security Group: firewall virtual con reglas de entrada/salida, de tipo lista blanca y stateful.
• Error a evitar: abrir SSH (22) o RDP (3389) a todo internet. Limítalo siempre a tu IP.

En el siguiente subcapítulo veremos el ciclo de vida de una instancia: los distintos estados (arrancada, parada, terminada) y qué implica cada uno, también en la factura.