1 of 12

2 of 12

Asegurando y Escalando AWS con Terraform, Vault y Veeam

Global Technologist

Veeam Software �@juliafmorgado

Julia Furst Morgado

SRE

Consultant�@jlamenza

Julia Lamenza

3 of 12

Cuando eso pasa…

4 of 12

http://vee.am/DPR24a

5 of 12

Construyendo infraestructura consistente con Terraform

Consistente
Versionada
Modular

Infrastructura como código

Sin una gestión estructurada de la infraestructura, los entornos suelen volverse caóticos. Terraform nos permite resolver esto adoptando un enfoque declarativo.

Con Terraform puedes definir tu infraestructura como código, almacenarla en un control de versiones y reutilizar módulos. Esto garantiza que tu infraestructura sea:

Consistente: Misma configuración en todos los entornos.
Versionada: Cambios rastreados y reversibles.
Modular: Ahorro de tiempo al reutilizar componentes.

Este diagrama muestra el flujo de trabajo básico que seguimos al usar Terraform para desplegar infraestructura en múltiples plataformas. Es un enfoque estructurado que combina simplicidad y eficiencia.

Usuario y definición del código:

"Todo comienza con el usuario, que define la infraestructura deseada en archivos de configuración declarativa usando el lenguaje de Terraform (HCL - HashiCorp Configuration Language)."
"Esta configuración describe exactamente cómo debería lucir tu infraestructura, desde máquinas virtuales hasta bases de datos y redes."

Ejecución de comandos en Terraform:

"Luego, el usuario utiliza comandos de Terraform para gestionar este proceso:

Plan: Genera un plan que detalla los cambios necesarios para alcanzar el estado deseado.
Apply: Aplica esos cambios, interactuando directamente con las APIs de las plataformas correspondientes."

Compatibilidad con múltiples proveedores:

"Terraform se integra con una amplia variedad de plataformas, como Kubernetes, AWS, Google Cloud, Microsoft Azure, Heroku, VMware, y más. Esto significa que puedes gestionar todo tu stack desde una única herramienta, independientemente del proveedor."

Despliegue en plataformas:

Infraestructura unificada:

"Una vez aplicados los cambios, Terraform interactúa con las APIs de las plataformas seleccionadas para crear o modificar recursos. Por ejemplo:

Despliega pods en Kubernetes.
Crea instancias EC2 en AWS.
Configura redes en Azure o Google Cloud.
Gestiona máquinas virtuales en VMware."

"Esto asegura que todos los componentes se configuren de manera consistente, minimizando errores."

Validación de estado:

"Terraform realiza un seguimiento del estado actual de la infraestructura, comparándolo con el estado deseado definido en los archivos de configuración. Cualquier desviación se puede corregir rápidamente."

Ventajas de este enfoque:

Escalabilidad:

"Puedes manejar entornos grandes y complejos con facilidad, reutilizando módulos y compartiendo configuraciones entre equipos."

Auditoría y control:

"Todo cambio queda registrado, lo que facilita la colaboración y el seguimiento de modificaciones."

Reducción de errores humanos:

"Al usar infraestructura como código, se elimina la necesidad de realizar configuraciones manuales, que son propensas a errores."

Conclusión:

"Terraform transforma la manera en que gestionamos la infraestructura. Desde simplificar despliegues hasta garantizar consistencia en múltiples entornos, es una herramienta esencial para cualquier organización que opere en la nube."

6 of 12

Protección de secretos con HashiCorp Vault

Problemas comunes:

Exposición de claves.
Rotación manual de secretos.

Solución:

Gestión centralizada de secretos.
Generación dinámica de credenciales.

Ahora, ¿qué pasa con los secretos? ¿Cuántos de aquí han encontrado claves duras en código, o peor, subidas a un repositorio público?

El manejo inadecuado de secretos es una de las principales causas de vulnerabilidades en las organizaciones.

HashiCorp Vault gestiona secretos de manera centralizada, permitiendo:

Rotación automática de claves.
Generación dinámica de credenciales.
Acceso basado en políticas.

—-

Desglose del flujo de trabajo en el diagrama:

Flujo de datos seguros:

"Aquí vemos cómo funciona Vault en la práctica:

Una aplicación envía datos sensibles a Vault para ser cifrados. Vault almacena estos datos de manera segura, evitando la exposición directa en la aplicación o en bases de datos."
"Cuando la aplicación necesita los datos, Vault los descifra y los devuelve temporalmente, asegurando que solo se usen cuando realmente se necesitan."

Cifrado y descifrado de datos:

"Vault cifra y almacena los datos sensibles (como contraseñas, tokens o claves API) antes de guardarlos en la base de datos o en otro almacén."
"Esto significa que incluso si alguien accede al almacén de datos, los secretos permanecen ilegibles sin la clave de descifrado administrada por Vault."

Base de datos protegida:

"Los datos cifrados pueden almacenarse en Vault directamente o en bases de datos externas, garantizando que las aplicaciones nunca manejen secretos en texto plano."

Ventajas clave del enfoque de Vault:

Rotación automática de secretos:

"Vault puede cambiar automáticamente las claves y contraseñas a intervalos definidos, eliminando el riesgo asociado con credenciales estáticas y obsoletas."

Control de acceso basado en políticas:

"Solo los usuarios o servicios autorizados pueden acceder a los secretos, y ese acceso puede ser limitado en tiempo y alcance."

Auditoría y visibilidad:

"Cada acceso o modificación de un secreto queda registrado, lo que proporciona un rastro claro para auditorías de seguridad."

Impacto práctico:

Escenario real:

"Supongamos que tienes una base de datos en producción. Con Vault, la aplicación puede solicitar credenciales dinámicas que solo sean válidas durante unas horas. Esto minimiza el impacto de una posible filtración."

Conclusión:

"Vault no solo simplifica la gestión de secretos, sino que también fortalece la postura de seguridad de tus aplicaciones. Es una solución esencial para cualquier organización que quiera operar de manera segura y eficiente."

7 of 12

Respaldo y recuperación de datos con Veeam

Una ec2 borrada, o VPC o Una base de datos perdida puede costar millones en datos e interrupciones operativas. Sin respaldos adecuados, esto se convierte en un desastre total.

Aquí pueden ver cómo Veeam aborda la protección y recuperación de datos con una plataforma unificada, diseñada para cubrir una amplia variedad de entornos y necesidades. Veeam no solo protege tus datos, sino que también habilita la continuidad operativa, la movilidad entre entornos y una resiliencia robusta contra amenazas como ransomware.

Veeam tiene dos modalidades: autogestionada, para empresas que desean un control completo, y como servicio (As-a-Service), ideal para quienes buscan simplicidad operativa.

Las plataformas incluye funciones como:

Data Backup: Copias de seguridad automatizadas y confiables.
Data Recovery: Restauración granular y rápida de datos, desde archivos individuales hasta sistemas completos.
Data Portability: Movilidad de datos entre entornos, permitiendo migraciones y replicaciones sin esfuerzo.
Data Security: Protección basada en cifrado y controles de acceso.
Data Intelligence: capacidades de análisis avanzado con IA para ofrecer visibilidad y recomendaciones sobre el uso y la protección de los datos, ayudando a optimizar recursos y fortalecer la seguridad.

8 of 12

Veeam Backup for AWS

https://community.veeam.com/cloud-city-107/deploy-veeam-backup-for-aws-with-terraform-5330

9 of 12

Una arquitectura resiliente

https://vee.am/hashitalks

Terraform despliega la infraestructura.

Vault protege los secretos.

Veeam asegura los datos.

Componentes clave de la arquitectura de un ejemplo aplicativo

Amazon Route 53: Para manejar DNS.

Amazon S3: Almacenamiento estático.

RDS con Multi-AZ: Para bases de datos críticas.

estas herramientas trabajan juntas para mitigar riesgos y acelerar la recuperación
Aqui temos um diagrama da arquitetura de referência do nosso aplicativo na conta de produção. Vamos ver os principais componentes:
Amazon Route 53: Atende às solicitações de DNS dos usuários, fornecendo um serviço de sistema de nome de domínio altamente disponível.
Amazon CloudFront: Fornece o conteúdo estático, de streaming e dinâmico por meio de uma rede de entrega de conteúdo (CDN).
Amazon Simple Storage Service (S3): Armazena os recursos e o conteúdo estático usados pelo aplicativo da web.
Elastic Load Balancing (ELB): Distribui automaticamente o tráfego de entrada do aplicativo entre as instâncias do Amazon EC2 em zonas de disponibilidade.
Amazon EC2: Implanta servidores web e servidores de aplicativos em grupos de dimensionamento automático que ajustam automaticamente a capacidade com base nas condições definidas.
Amazon Relational Database Service (Amazon RDS): Hospeda o banco de dados relacional de forma redundante em uma implantação Multi-AZ para fornecer alta disponibilidade.

10 of 12

DEMO

https://github.com/julialamenza/demo-secure-aws

11 of 12

GRACIAS!