AWS para MSP: Gestión de Amazon Web Services para tus clientes
Según el informe de Kaseya sobre el estado de los MSP en 2026, los servicios de nube y alojamiento se encuentran entre las principales fuentes de ingresos para el 34 % de los MSP. Amazon Web Services es la plataforma dominante que sustenta una parte significativa de esa carga de trabajo.
Gestionar AWS para los clientes no es lo mismo que gestionarlo internamente. Usted es responsable de entornos que no controla por completo, de estructuras de facturación que requieren atención constante para evitar sorpresas con los costes y de configuraciones de seguridad que cambian a medida que los clientes crecen. Sin el enfoque y las herramientas adecuadas, el trabajo con AWS para clientes puede convertirse en uno de los servicios más exigentes a nivel operativo que ofrece un MSP.
Esta guía abarca lo que los MSP necesitan saber para gestionar de forma rentable los entornos de AWS de sus clientes: gobernanza de costes, configuración de seguridad, estrategia de copias de seguridad y los obstáculos operativos que hacen que AWS sea más complejo de lo que parece. La plataforma de Kaseya es utilizada por MSP en más de 170 países para gestionar precisamente estos entornos, lo que nos ofrece una perspectiva clara de dónde triunfa la gestión de AWS para clientes y dónde fracasa.
Por qué los MSP gestionan entornos de AWS
La mayoría de los clientes de pymes y del mercado medio que migran a la infraestructura en la nube terminan en AWS. Algunos fueron guiados hasta allí por un consultor. Otros necesitaban una aplicación específica que lo requería. Muchos simplemente optaron por AWS debido a su presencia en el mercado. Sea cual sea el motivo, el resultado es el mismo: la gestión de AWS forma ahora parte del entorno estándar de los clientes que los contratos de Managed Services deben contemplar.
Tres factores impulsan el crecimiento de esta línea de servicios.
Alojamiento de aplicaciones. Los clientes ejecutan aplicaciones empresariales, servidores web, bases de datos y entornos de desarrollo en instancias EC2 y en servicios gestionados como RDS y Lambda. Gestionar esto es tan necesario a nivel operativo como gestionar servidores locales.
Almacenamiento y copias de seguridad. Los clientes almacenan datos en buckets de S3, utilizan volúmenes EBS conectados a instancias de computación y dependen cada vez más de AWS como parte de su arquitectura de copias de seguridad. Saber qué está protegido y qué no, y cómo es el proceso de recuperación, es una responsabilidad fundamental del MSP.
Requisitos de cumplimiento. Los clientes regulados de los sectores sanitario, financiero y gubernamental suelen tener cargas de trabajo en AWS que deben cumplir los mismos estándares que la infraestructura local. HIPAA, PCI DSS y CMMC se aplican a los entornos alojados en AWS cuando dichos entornos gestionan datos sujetos a estas normativas.
Un MSP típico que gestione entre 20 y 50 clientes comprobará que los entornos de AWS están presentes en la mayoría de esas cuentas en un plazo de dos a tres años, según la trayectoria de adopción actual. El momento adecuado para incluir esto en sus acuerdos de servicio es ahora, antes de que un cliente pregunte por qué su bucket de S3 estaba expuesto.
Comprender el modelo de responsabilidad compartida de AWS
El concepto más relevante en la gestión de AWS es el modelo de responsabilidad compartida. El error más común que cometen los MSP es explicárselo mal a los clientes, o ni siquiera mencionarlo.
AWS es responsable de la seguridad de la nube: la infraestructura física, el hipervisor, la red y la infraestructura de servicios gestionados. El cliente, y su MSP, son responsables de la seguridad en la nube. Esto abarca los parches del sistema operativo, la configuración de la red (grupos de seguridad, NACL, diseño de VPC), la gestión de identidades y accesos, el cifrado de datos y la seguridad a nivel de aplicación.
Las implicaciones prácticas son directas:
- Una instancia EC2 que ejecuta un sistema operativo sin actualizar es un problema del cliente, no de AWS.
- Un bucket de S3 mal configurado para permitir el acceso público es un problema del cliente.
- Los roles de IAM con permisos excesivos son un problema del cliente.
- Las vulnerabilidades de las aplicaciones que se ejecutan en la infraestructura de AWS son un problema del cliente.
Los MSP que gestionan entornos de AWS deben aplicar parches a los sistemas operativos de las instancias EC2 del mismo modo que lo harían en servidores locales. VSA admite la gestión de parches del sistema operativo y de terceros para instancias de Windows y Linux, incluidas las instancias EC2 donde se implementa el agente de VSA, mediante la misma automatización basada en políticas que se utiliza para los terminales locales.
Esto también importa en los términos del contrato. Si su acuerdo de Managed Services no define explícitamente quién se encarga de aplicar los parches del SO y de la gobernanza de IAM para las cargas de trabajo alojadas en AWS, tiene una brecha de responsabilidad. Documéntelo claramente en IT Glue y ajuste el lenguaje de su SLA antes de que un incidente obligue a abordar el tema.
Gestión de costes de AWS: donde los MSP pierden margen
La facturación de AWS es compleja. Sin una gobernanza activa, resulta costosa. Los problemas de costes más comunes en los entornos de AWS gestionados por MSP se dividen en cuatro categorías.
Errores de dimensionamiento. Los clientes sobreaprovisionan instancias EC2 durante el despliegue inicial y nunca reducen su tamaño. Un cliente que ejecuta una instancia t3.xlarge para una carga de trabajo que solo requiere una t3.medium está pagando aproximadamente el doble del coste de computación necesario. Las revisiones periódicas de dimensionamiento, respaldadas por AWS Cost Explorer y las métricas de CloudWatch, sacan a la luz estas oportunidades antes de que erosionen el margen.
Subutilización de instancias reservadas y planes de ahorro. AWS ofrece descuentos de hasta el 72 % en instancias reservadas y planes de ahorro en comparación con los precios bajo demanda. Los MSP que gestionan entornos de AWS deben identificar qué cargas de trabajo son lo suficientemente estables como para comprometerse con precios reservados, para luego comprar las reservas en nombre del cliente o aconsejarle que lo haga como parte de una revisión trimestral formal.
Recursos no adjuntos. Los clientes suelen dejar volúmenes EBS, IPs elásticas y balanceadores de carga en funcionamiento después de que se eliminen los recursos asociados. Estos no tienen valor operativo, pero siguen acumulando costes. Una revisión mensual de la higiene de costes debe incluir comprobaciones de recursos huérfanos. Lleva menos de una hora y a menudo descubre cientos de dólares de gasto mensual innecesario.
Costes de salida de datos (egress). La transferencia de datos fuera de AWS se factura a tarifas que toman por sorpresa a los clientes. Las aplicaciones con un alto tráfico saliente, los sistemas de respaldo que transfieren datos a otros destinos y las cargas de trabajo adyacentes a redes de entrega de contenido (CDN) pueden generar costes de transferencia saliente que superan los costes de computación. Conozca el perfil de salida de datos del entorno de cada cliente antes de que reciban la factura.
La oportunidad para los MSP aquí es real. Tratar la gestión de costes de AWS como un servicio de asesoramiento proactivo genera un valor genuino para el cliente y respalda la conversación comercial sobre la ampliación del alcance de Managed Services. Un MSP que detecta 500 dólares al mes en gastos evitables de AWS se convierte en un asesor de confianza. Quien pasa esto por alto se convierte en la persona que permitió al cliente malgastar su dinero.
Configuración de seguridad en entornos de clientes de AWS
AWS ofrece sólidas capacidades de seguridad, pero deben configurarse correctamente. Las brechas de seguridad más comunes en los entornos de AWS gestionados por MSP siguen un patrón predecible.
Exceso de permisos en IAM. El principio de mínimo privilegio es más difícil de mantener en AWS que en un entorno de directorio tradicional porque los roles, las políticas y los límites de permisos de IAM son más complejos de auditar. Es un hallazgo rutinario encontrar usuarios y roles de servicio con acceso de Administrador cuando solo necesitan permisos de servicios específicos. Las revisiones periódicas de acceso a IAM y AWS IAM Access Analyzer detectan estas brechas antes de que se conviertan en vectores de ataque.
Buckets de S3 públicos. Los buckets de S3 son privados por defecto, pero los cambios de configuración o las plantillas de infraestructura como código pueden exponerlos públicamente de forma involuntaria. AWS proporciona bloqueos de acceso público a nivel de bucket y de cuenta. Habilitarlos a nivel de cuenta previene la exposición accidental.
Falta de cifrado en reposo. Los volúmenes EBS, los buckets S3 y las instancias RDS deben tener el cifrado habilitado. AWS KMS ofrece cifrado de claves gestionadas. Habilitar el cifrado por defecto a nivel de cuenta garantiza que los nuevos recursos se cifren a menos que se anule explícitamente, lo cual es una línea base sensata para cualquier entorno de cliente que maneje datos empresariales.
Grupos de seguridad demasiado permisivos. Los grupos de seguridad que permiten el acceso de entrada sin restricciones (0.0.0.0/0) en los puertos 22 (SSH) o 3389 (RDP) exponen las instancias directamente a Internet. Estos problemas se identifican en casi todas las evaluaciones de seguridad de AWS y son fáciles de remediar. Deben cerrarse como línea base inicial en cualquier nueva contratación de clientes.
CloudTrail deshabilitado. AWS CloudTrail es el registro de auditoría para la actividad de la API de AWS. Sin él, la investigación de incidentes se ve gravemente limitada. CloudTrail debe estar habilitado en todas las regiones, con los registros almacenados en un bucket S3 separado y restringido. Esta es una línea base innegociable para cualquier entorno en el que su MSP sea responsable de la seguridad.
Copias de seguridad y recuperación en AWS
El modelo de responsabilidad compartida significa que AWS no realiza copias de seguridad de la mayoría de los recursos por defecto. Las instancias EC2, los volúmenes EBS y las bases de datos RDS requieren una configuración explícita de copias de seguridad.
AWS Backup es el servicio nativo de orquestación de copias de seguridad de AWS, compatible con EC2, EBS, RDS, DynamoDB, EFS y otros servicios. Proporciona gestión centralizada de políticas, copias entre regiones y cuentas, y generación de informes de cumplimiento de copias de seguridad. Para los MSP que gestionan múltiples entornos de AWS de clientes, la capacidad de gestión entre cuentas (disponible a través de AWS Organizations) permite administrar las políticas de copias de seguridad en las cuentas de los clientes desde una consola central.
Lo que AWS Backup no cubre: datos de S3 (protegidos mediante versiones y replicación en lugar de copias de seguridad tradicionales), aplicaciones SaaS que se ejecutan en la infraestructura de AWS y copias de seguridad coherentes con las aplicaciones para sistemas complejos de múltiples niveles. Datto BCDR puede complementar a AWS Backup para aquellas cargas de trabajo donde se requiere una capacidad de recuperación a nivel de imagen o un RTO más rápido.
Pruebas de recuperación. El mismo principio que se aplica a las copias de seguridad locales rige aquí: una copia de seguridad que no se ha probado no es una copia de seguridad. AWS Backup admite pruebas de restauración con validación automatizada. Esto debe formar parte del contrato de Managed Services para cualquier entorno de AWS en el que la capacidad de recuperación sea un compromiso contractual. Prográmela, ejecútela y documente los resultados en IT Glue.
Monitoreo de entornos AWS a escala
AWS CloudWatch ofrece monitoreo nativo para los recursos de AWS: métricas, registros, alarmas y paneles. Para los MSP que gestionan múltiples entornos de AWS de clientes, el desafío consiste en unificar el monitoreo de AWS junto con el local y el de otras nubes en una vista operativa unificada.
El monitoreo basado en agentes de VSA cubre las instancias EC2 donde se implementa el agente, proporcionando las mismas capacidades de monitoreo de terminales, gestión de alertas y automatización utilizadas para los servidores locales. Para el monitoreo de AWS a nivel de infraestructura (estado del servicio, alertas de facturación, eventos de CloudTrail), las herramientas nativas de AWS o las integraciones de monitoreo específicas de AWS complementan al agente de VSA.
El objetivo es una vista operativa única. El NOC de un MSP no debería necesitar cambiar entre la consola de VSA y las consolas individuales de AWS para cada cliente con el fin de comprender el estado del entorno gestionado. Cada cambio de contexto añade latencia a la respuesta ante incidentes y crea oportunidades para que pasen desapercibidas las brechas.
Cómo Kaseya apoya la gestión de clientes de AWS
Datto RMM / VSA se encarga de la aplicación de parches del sistema operativo, el monitoreo y la automatización de los servidores que ejecutan Windows o Linux. Se implementa una vez y se gestiona junto con los terminales locales desde la misma consola.
Datto BCDR complementa a AWS Backup para aquellas cargas de trabajo que requieren recuperación a nivel de imagen, virtualización instantánea o un RTO más rápido que el que ofrece la restauración nativa de AWS.
IT Glue almacena la documentación de los entornos de AWS de los clientes: arquitectura de VPC, estructura de IAM, configuraciones de grupos de seguridad, manuales de recuperación ante desastres y credenciales de acceso, con aislamiento por cliente y acceso controlado.
Compliance Manager GRC realiza un seguimiento de la implementación de controles y genera evidencias de cumplimiento para clientes con cargas de trabajo reguladas en AWS (HIPAA, PCI DSS, CMMC), tanto en entornos locales como en la nube.
Kaseya Intelligence y AWS: operaciones autónomas en la nube
Gestionar entornos de AWS implica lidiar con cambios constantes: nuevas instancias, eventos de escalado, desviación de la configuración, hallazgos de seguridad de AWS Security Hub y tareas de respaldo que deben validarse en distintas regiones. La carga de trabajo manual necesaria para mantenerse al día con todo esto a escala es considerable.
Kaseya Intelligence, el motor de IA que impulsa Kaseya 365, automatiza la capa de respuesta. En lugar de alertar a un técnico sobre un hallazgo y esperar a que tome medidas, ejecuta acciones como: aplicar parches, aislar, verificar la integridad de las copias de seguridad y validar el resultado. Para los MSP que gestionan entornos de AWS en múltiples clientes, este ciclo de ejecución es lo que evita que la fatiga por alertas se convierta en una brecha de seguridad.
Puntos clave
- El modelo de responsabilidad compartida de AWS sitúa la aplicación de parches en el sistema operativo, la gestión de IAM, la configuración del cifrado y la seguridad de red en manos del cliente (y del MSP), no de AWS. Definir esto en sus contratos no es negociable.
- La gestión de costos de AWS (dimensionamiento adecuado, instancias reservadas, limpieza de recursos huérfanos) es un servicio de asesoramiento proactivo que protege los presupuestos de los clientes y los márgenes del MSP.
- Las copias de seguridad en AWS requieren una configuración explícita. AWS no respalda EC2, EBS o RDS de forma predeterminada. AWS Backup junto con procedimientos de recuperación probados constituyen el nivel mínimo de referencia.
- VSA amplía a las instancias de EC2 la misma supervisión y aplicación de parches basadas en agentes que se utilizan para los terminales locales, lo que permite obtener una vista operativa unificada en entornos híbridos.
