Qué pasa cuando activas las funciones avanzadas en AWS

Si creaste tu cuenta de AWS hace poco, lo que viste no es el AWS del que hablan la mayoría de los tutoriales. Te registraste con un social login como Google o GitHub, nunca tuviste que poner un Account ID ni configurar un usuario root, y en lugar de "cuentas" la consola te habla de "proyectos". A eso AWS le llama la nueva experiencia.

La nueva experiencia te da controles que AWS gestiona por ti y te pone límites a propósito:

Una sola región para todos tus proyectos.
Un subconjunto de servicios disponibles.
Políticas que AWS mantiene por ti, para que no tengas que escribirlas.
Un límite de gasto que puede pausar tus proyectos para que no te pases del monto que tú definiste.

La idea es que puedas aprender y construir sin preocuparte por configurar la gobernanza de una cuenta ni por llevarte una factura sorpresa.

Si quieres conocer a detalle la nueva experiencia desde el lado de quien va comenzando, Ramses Mata lo explica en Qué significa el nuevo AWS para las personas que van comenzando.

Qué hay debajo de la nueva experiencia

Debajo de esos límites está el mismo AWS de siempre, con algunas piezas configuradas por AWS:

Tus proyectos son member accounts dentro de una AWS Organization que AWS administra por ti.
La región única y la lista de servicios son Service Control Policies (SCP) y Resource Control Policies (RCP) que ya están aplicadas, solo que escritas y mantenidas por AWS.
El límite de gasto es un mecanismo encima de tu billing, igual que la simplificación de permisos de IAM.

Activar las funciones avanzadas te entrega las llaves de todo eso y te quita los límites.

¿Qué son las funciones avanzadas?

Si entras a settings.aws.com vas a encontrar una opción que se llama "Explore advanced features", o explorar funciones avanzadas. Es la puerta para salir de la nueva experiencia y administrar tu AWS directamente: tu organización, tus políticas, tus regiones y tus costos.

Antes de poder activar las funciones avanzadas necesitas hacer un upgrade de tu cuenta a un plan de pago. Si sigues en free tier, ese botón no te va a servir. Da clic aquí para leer más. Y ojo, activar las funciones avanzadas no se puede revertir. No hay botón de regreso.

Lo que cambia depende de quién seas

Si llevas años usando AWS y ya tienes experiencia manteniendo aplicaciones en producción, activar las funciones avanzadas te lleva al mismo AWS que conoces: organizaciones, acceso al root user, selector de regiones, todos los servicios, IAM. Para ti es un alivio, porque no tienes que aprender nada nuevo ni hay magia oscura por debajo. Lo que viste al entrar por primera vez era la experiencia pensada para quien va empezando en la nube.

Si estás aprendiendo sobre AWS, esto sí lo vas a notar. Los cuatro límites que vimos arriba desaparecen de golpe, y todo lo que AWS mantenía por ti ahora lo mantienes tú. Como decían en una película: un gran poder conlleva una gran responsabilidad.

Vamos a ver qué cambia exactamente.

Cambios en tu organización

En el momento que activas las funciones avanzadas pasan estas cosas. Si quieres conocer todo a detalle te recomiendo ir directamente a la documentación:

Te vuelves administrador de la AWS Organization que contiene tus proyectos. Ya no es AWS quien la maneja.
Configuras un root email y un root user password para tu management account. Sí, el root user clásico regresa a tu vida. Y como todo root user, se usa para emergencias y nada más.
Tus proyectos se convierten en member accounts. El nombre de "proyecto" desaparece y queda lo que siempre fue: una cuenta de AWS. Y ahora puedes crear más cuentas tú mismo.
Tus team members pasan a llamarse workforce identities. Siguen entrando igual que antes, pero ahora el identity source es configurable desde IAM Identity Center. Puedes dejar AWS Builder ID o cambiarlo a un proveedor externo.
Las SCPs y RCPs pasan a ser tuyas. Antes AWS las mantenía por ti. Ahora las puedes modificar, y también las puedes romper. Como ves, es el mismo patrón en todo lo demás: más control, más responsabilidad.

Cambiar el identity source de AWS Builder ID a otro proveedor tampoco se puede revertir. Una vez que lo cambias, ya no puedes volver a habilitar Builder ID.

¿Qué pasa a nivel de costos cuando activas las funciones avanzadas?

Esta es la parte que más se siente si vienes de la nueva experiencia:

Se va tu límite de gasto. Si tenías uno, desaparece, y si algún proyecto estaba pausado por haberse pasado del límite, se reactiva solito. Después de activar ya no puedes crear límites de gasto. A cambio te dan la suite completa de Billing and Cost Management: budgets, Cost Explorer, Cost Anomaly Detection. Son herramientas mejores para analizar, organizar y planear, pero ninguna pausa tus proyectos por sí sola cuando te pasas del presupuesto. El límite de gasto era lo único que frenaba, y ese freno es justo lo que pierdes al activarlas.
Se abren todos los servicios de AWS, incluyendo los que no estaban en la nueva experiencia. Vale la pena leer la documentación de cada uno antes de prenderlos, porque ya nadie te va a detener.
Se habilitan todas las regiones, incluyendo las opt-in, y con eso vienen las capacidades multi-región. Te sirven, por ejemplo, para que tu aplicación siga funcionando aunque una región tenga problemas.
Puedes usar IAM Access Analyzer, que es muy útil justo cuando empiezas a escribir tus propias políticas.

Lo que cambia en el día a día

La consola simplificada ya no va a estar disponible y en su lugar tienes acceso a la AWS Management Console completa, donde puedes seleccionar regiones y ves todos los servicios. Además se desbloquean varias cosas que antes no estaban:

Apagar el multi-session console support
Marcar tu cuenta como HIPAA o SEC compliant
Usar AWS Marketplace
Trabajar con un AWS Training Partner
Comprar suscripción de AWS Skill Builder Team
Enterprise Agreement, contratos de Professional Services y AWS Partner Network

¿Qué pasa con AWS Settings?

AWS Settings sigue existiendo mientras uses AWS Builder ID como identity source, solo que ahora vive únicamente en settings.aws.com. Desde ahí puedes llegar a Billing, a la consola de Organizations para revisar tus SCPs y RCPs, al Account Access Manager y a IAM Identity Center.

Una cosa que sí se pierde es crear proyectos dentro de esa organización. Lo que creas ahora son member accounts, y si vas a la página de configuración e intentas crear un proyecto nuevo, AWS te muestra un modal que te explica que los proyectos de tu organización ahora se administran como cuentas de AWS y que en lugar de un proyecto crees una member account.

Cómo prepararte antes de activar las funciones avanzadas

Para dar el salto a las funciones avanzadas toma en cuenta lo siguiente:

Avísale a tu equipo. Su acceso no cambia por default, pero la consola que van a ver sí. Y si después cambias el identity source o metes SCPs nuevas, eso sí les pega en cómo entran y qué pueden tocar.
Revisa el gasto de todos tus proyectos y detecta los que fluctúan raro. Sin límite de gasto, todo lo que corra lo pagas tú. Buen momento para borrar o pausar recursos idle y aprender buenas practicas para manejar tu cuenta.
Planea los cambios a tu Organization antes, no después. Si vas a usar otra región, deja lista la SCP con el RegionFloor actualizado.
Si conectaste un agente de IA siguiendo la guía de AWS, borra el archivo aws-starter-rules.md. Ese archivo le dice a tu agente que vives en la nueva experiencia con todas sus restricciones, y en cuanto activas las funciones avanzadas esa información queda falsa. Un agente con reglas viejas te va a pelear cosas que ya son válidas.

Entonces, ¿ya necesito esas funciones avanzadas?

Si ya tienes experiencia usando AWS probablemente activaste las funciones avanzadas el primer día. Para ti es el lugar donde siempre has estado y lo único que vale la pena revisar es la lista de detalles que conlleva activarlas.

Si estás aprendiendo, no tienes que apresurarte. Lo que hay que preguntarte es si todavía necesitas el freno. En la práctica te vas a dar cuenta solo: te va a faltar un servicio que no viene incluido en la nueva experiencia, vas a necesitar multi-región o aplicar políticas personalizadas, y ahí la nueva experiencia se te va a quedar corta.

Si todavía no te has topado con nada de eso, quédate en la nueva experiencia, configura tus limites de gasto y sigue aprendiendo.

Esto es todo por ahora

Espero que te haya servido y que ya tengas con qué decidir entre saltar a las funciones avanzadas o quedarte en la nueva experiencia. Si te queda alguna duda escríbeme a @fromchiapasdev. Y cuéntame si ya probaste la nueva experiencia o si ya construiste tu primer proyecto ahí.

Fuente: Activate advanced AWS features