Preguntas y respuestas de entrevista de AWS: 25 preguntas sobre servicios, seguridad y diseño

Las entrevistas de AWS son de dos tipos. Algunas evalúan si sabes qué hacen los servicios y cuándo elegir cada uno. Otras te plantean un escenario, como una aplicación web que debe sobrevivir a una falla o una factura que se ha duplicado, y observan cómo razonas sobre confiabilidad, seguridad y costo. Esta guía tiene 25 preguntas con respuestas en ambos estilos.

Los detalles y límites de los servicios cambian con frecuencia, así que para cifras exactas consulta la documentación de AWS. Lo que el entrevistador quiere escuchar, sobre todo, es tu razonamiento.

Servicios principales

1. ¿Cuál es la diferencia entre EC2, Lambda y contenedores (ECS o EKS)?

EC2 te da servidores virtuales que tú administras. Lambda ejecuta código en respuesta a eventos sin servidores que administrar, y pagas por invocación y duración, con límites de tiempo de ejecución y tamaño. Los contenedores en ECS o EKS quedan en un punto intermedio: empaquetas la aplicación y el servicio la programa, ya sea en servidores que administras o en Fargate, que elimina la administración de servidores.

Elige Lambda para cargas event-driven o con picos, contenedores para servicios de larga duración y portabilidad, y EC2 cuando necesitas control total de la máquina.

2. ¿Cuáles son las clases de almacenamiento de S3?

S3 ofrece clases para distintos patrones de acceso: Standard para acceso frecuente, Intelligent-Tiering para acceso desconocido o cambiante, Standard-IA y One Zone-IA para acceso poco frecuente, y las clases Glacier para archivos con distintos tiempos de recuperación. Las reglas de ciclo de vida mueven los objetos entre clases automáticamente.

3. ¿Cómo proteges un bucket de S3?

Bloquea el acceso público a nivel de cuenta y de bucket, usa políticas de bucket y roles de IAM que otorguen solo lo necesario, habilita el cifrado (SSE-S3 o KMS), activa el versionado para la recuperación, habilita el registro de accesos y usa endpoints de VPC cuando el tráfico no deba cruzar por internet.

4. ¿Cuál es la diferencia entre EBS, EFS y S3?

EBS es almacenamiento de bloques conectado a una instancia EC2, como un disco. EFS es un sistema de archivos de red compartido que muchas instancias pueden montar. S3 es almacenamiento de objetos al que se accede mediante una API, ideal para archivos, copias de seguridad y recursos estáticos.

5. ¿Cuál es la diferencia entre RDS, Aurora y DynamoDB?

RDS ejecuta bases de datos relacionales administradas como MySQL y PostgreSQL. Aurora es el motor relacional de AWS, compatible con MySQL y PostgreSQL, diseñado para mayor disponibilidad y rendimiento. DynamoDB es una base de datos NoSQL de clave-valor y documentos, administrada, que escala horizontalmente y requiere que diseñes en función de los patrones de acceso. Elige relacional para joins y transacciones entre muchas tablas, y DynamoDB para acceso basado en claves conocido a gran escala.

Redes

6. ¿Qué es una VPC y cuáles son sus partes principales?

Una VPC es tu red privada en AWS. Tiene subredes (públicas y privadas), tablas de rutas, una puerta de enlace de internet para el tráfico público, NAT gateways para que las subredes privadas puedan salir a internet, y grupos de seguridad y ACL de red para controlar el tráfico.

7. ¿Cuál es la diferencia entre un grupo de seguridad y una ACL de red?

Un grupo de seguridad es un firewall con estado asociado a una instancia o interfaz de red, con reglas de solo permitir. Una ACL de red es un firewall sin estado a nivel de subred y admite reglas de permitir y denegar. El tráfico de retorno debe permitirse explícitamente en una ACL.

8. ¿Cuál es la diferencia entre subredes públicas y privadas?

Una subred pública tiene una ruta a una puerta de enlace de internet, así que se puede acceder a los recursos que están allí desde internet si tienen una dirección pública y lo permiten. Una subred privada no tiene ruta directa, así que colocas allí las bases de datos y los servidores de aplicaciones y dejas que salgan a través de un NAT gateway.

9. ¿Cómo conectarías sistemas on-premises con AWS?

VPN de sitio a sitio para un enlace cifrado rápido por internet, o Direct Connect para una conexión de red dedicada con un rendimiento más estable. Muchas configuraciones usan ambas, con la VPN como respaldo.

10. ¿Qué hace Route 53?

Es el servicio de DNS de AWS. También admite health checks y políticas de enrutamiento como ponderado, basado en latencia, geolocalización y failover.

Seguridad e identidad

11. ¿Qué es IAM y qué significa el principio de mínimo privilegio?

IAM controla quién puede hacer qué en AWS. El mínimo privilegio significa dar a cada usuario, rol o servicio únicamente los permisos que necesita. Prefiere roles con credenciales temporales en lugar de claves de acceso de larga duración, y utiliza condiciones de políticas y límites de permisos cuando sea útil.

12. ¿Cuál es la diferencia entre un usuario, un grupo, un rol y una política de IAM?

Un usuario es una identidad con credenciales de largo plazo. Un grupo es un conjunto de usuarios. Un rol es una identidad que puede ser asumida temporalmente por una persona, un servicio u otra cuenta. Una política es un documento que define permisos y se adjunta a cualquiera de los anteriores.

13. ¿Cómo gestionas los secretos?

Almácenalos en Secrets Manager o en Systems Manager Parameter Store, no en el código ni en archivos de entorno dentro de un repositorio. Concede acceso mediante roles de IAM, rótalos y encriptalos con KMS.

14. ¿Qué hace KMS?

AWS Key Management Service crea y controla claves de cifrado. Muchos servicios lo usan para el cifrado en reposo, y tú controlas quién puede usar cada clave mediante políticas de claves e IAM.

Confiabilidad y escalabilidad

15. ¿Cómo haces que una aplicación tenga alta disponibilidad?

Distribúyela en al menos dos Zonas de Disponibilidad. Coloca un balanceador de carga al frente, usa un grupo de Auto Scaling para reemplazar instancias fallidas, usa una base de datos Multi-AZ y evita almacenar estado en un solo servidor. Para fallos regionales, agrega una segunda región con replicación de datos y failover de DNS, y decide si el costo vale la pena.

16. ¿Cuál es la diferencia entre un Application Load Balancer y un Network Load Balancer?

ALB trabaja en la capa 7 para HTTP y HTTPS y admite enrutamiento basado en rutas y en hosts. NLB trabaja en la capa 4 para TCP y UDP, maneja un rendimiento muy alto con baja latencia y proporciona direcciones IP estáticas.

17. ¿Cómo funciona el auto scaling?

Un grupo de Auto Scaling mantiene un número de instancias entre un mínimo y un máximo. Las políticas de escalado agregan o eliminan instancias según métricas como CPU, cantidad de solicitudes o un horario. Los health checks reemplazan las instancias no saludables.

18. ¿Qué son RTO y RPO? ¿Cuáles son las principales estrategias de recuperación ante desastres?

RTO es cuánto tiempo puedes estar caído y RPO es cuántos datos puedes perder. Las estrategias habituales, de la más económica y lenta a la más costosa y rápida, son backup y restauración, pilot light, warm standby y multi-site activo-activo.

19. ¿Cuándo usarías SQS, SNS o EventBridge?

SQS es una cola para desacoplar productores y consumidores y suavizar la carga. SNS es publicación-suscripción, que envía un mensaje a muchos suscriptores. EventBridge enruta eventos entre servicios y fuentes SaaS según reglas. Un patrón común es SNS hacia varias colas SQS, para que cada consumidor procese a su propio ritmo.

Operaciones y costos

20. ¿Cómo monitoreas una aplicación en AWS?

CloudWatch para métricas, logs y alarmas, X-Ray o un trazado similar para las rutas de las solicitudes, y CloudTrail para la actividad de API y auditoría. Las alarmas deben llegar a una persona o a una automatización, y los dashboards deben mostrar las señales que importan, como la tasa de errores y la latencia.

21. ¿Qué es la infraestructura como código y qué herramientas usas?

Definir la infraestructura en archivos que se versionan y se revisan. En AWS, las herramientas principales son CloudFormation y CDK, con Terraform ampliamente usado como opción de terceros. Los beneficios son la repetibilidad, la revisión y la facilidad para reconstruir.

22. Tu factura de AWS se duplicó. ¿Qué haces?

1. Abre Cost Explorer y agrupa por servicio, cuenta y etiqueta para encontrar qué cambió.
2. Revisa si hay recursos nuevos o redimensionados, transferencia de datos y volúmenes sin adjuntar o instancias inactivas.
3. Comprueba si hubo un pico de tráfico o un proceso descontrolado.
4. Corrige la causa y luego configura presupuestos y alertas para enterarte antes.
5. Busca ahorros a largo plazo, como ajustar el tamaño de los recursos, Savings Plans o capacidad reservada, instancias spot para trabajo flexible y reglas de ciclo de vida del almacenamiento.

23. ¿Cómo reduces los costos de transferencia de datos?

Mantén el tráfico dentro de una región y una AZ cuando puedas, usa endpoints de VPC para los servicios de AWS en lugar de NAT gateways, usa una CDN como CloudFront para la entrega de contenido y comprime los datos.

Preguntas de escenarios

24. Diseña una aplicación web de alta disponibilidad en AWS.

"Colocaría la aplicación en un grupo de Auto Scaling distribuido en dos o tres zonas de disponibilidad, en subredes privadas detrás de un Application Load Balancer en subredes públicas. La base de datos sería RDS Multi-AZ o Aurora, con copias de seguridad y réplicas de lectura si las lecturas son intensivas. El contenido estático iría a S3 detrás de CloudFront. Las sesiones irían en ElastiCache o en la base de datos, no en las instancias. Desplegaría con infraestructura como código, monitorizaría con alarmas de CloudWatch y guardaría los secretos en Secrets Manager."

Después, comenta los compromisos: coste, tiempo de recuperación y si se necesita multi-región.

25. Una función Lambda está agotando el tiempo de espera. ¿Cómo lo investigas?

Revisa los logs de CloudWatch y las métricas de duración, busca llamadas descendentes lentas como una base de datos o una API, comprueba los efectos de arranque en frío y la configuración de memoria (más memoria también implica más CPU), y verifica si está esperando una conexión VPC o límites. Soluciónalo con tiempos de espera y reintentos, caché, una configuración de memoria mayor o moviendo el trabajo largo a una cola o a un contenedor.

Cómo prepararte

Crea un proyecto pequeño que use una VPC, un balanceador de carga, una base de datos y un bucket, y practica explicar cada elección. Aprende los pilares del Well-Architected (excelencia operativa, seguridad, fiabilidad, eficiencia del rendimiento, optimización de costes y sostenibilidad), porque muchas respuestas de escenarios se corresponden con ellos. Para practicar diseño relacionado, consulta nuestra guía de preguntas de entrevista de diseño de sistemas, y para las rondas de código, la guía del asistente de entrevistas de programación.

Practica decir tus diseños en voz alta y luego revisa una transcripción para detectar los puntos en los que saltaste a un nombre de servicio sin una razón. Sigue las normas del empleador sobre herramientas de IA durante una entrevista en vivo.