Tema: cloud
-
Endpoints de metadatos de instancia en la nube: por qué los tokens IMDSv2 y un límite de saltos de 1 atenúan el SSRF
Las máquinas virtuales en la nube exponen un servicio de metadatos de enlace local que puede devolver credenciales temporales para el rol de la instancia. Un fallo de falsificación de solicitud del lado del servidor o una herramienta de fetch de un agente puede alcanzarlo. En AWS, exigir tokens de sesión IMDSv2 y mantener el límite de saltos de la respuesta PUT en 1 elimina los caminos más simples.
-
Etiquetas de asignación de costos: un estándar de etiquetado que sobrevive a la exportación de facturación
Las facturas de la nube solo pueden agruparse por etiquetas que existan en el recurso, estén activadas para facturación y se escriban de forma consistente; definir un conjunto breve de claves obligatorias, exigirlo en el momento de creación mediante políticas, aplicarlo a través del código de infraestructura, y conciliar mensualmente el gasto sin etiquetar.
-
Agentes de aprovisionamiento de Windows en el primer arranque en la nube: EC2Launch v2, el agente de VM de Azure y cloudbase-init
AWS, Azure y la mayoría de las demás nubes incluyen en la imagen de Windows un pequeño agente que procesa los datos de usuario o los datos personalizados en el primer arranque. Los agentes habituales son EC2Launch v2, los agentes de aprovisionamiento y de VM de Windows de Azure (que guardan los datos personalizados en CustomData.bin pero no los ejecutan) y el proyecto de código abierto cloudbase-init. Cada uno registra en una ubicación distinta, que conviene revisar cuando el aprovisionamiento parece haber fallado sin avisar.
-
Estado de Terraform: qué almacena, por qué se bloquea y cómo se manifiesta el drift
El estado vincula las direcciones de recursos de la configuración con objetos reales y guarda los valores de sus atributos, incluidos secretos, en JSON sin cifrar. Un backend remoto con bloqueo evita que las escrituras concurrentes lo corrompan, y el drift (cambios hechos fuera de Terraform) aparece como diferencias inesperadas en plan o en una ejecución con refresh-only.
Legible por máquina: JSON