A la lliçó anterior vam recórrer la consola i vam crear el nostre primer bucket amb el ratolí. Va funcionar, però vam deixar una pregunta oberta: com repeteixes això mateix cent vegades, o com demostres d'aquí a sis mesos què vas fer exactament? La resposta és deixar de fer clic i començar a escriure comandes i codi.

Aquesta lliçó és la porta d'entrada a tota la feina seriosa a AWS. L'AWS CLI és l' eina que faràs servir cada dia per consultar, crear i diagnosticar; els SDK són les biblioteques amb les quals la teva aplicació parla amb AWS des de dins. Tots dos fan servir les mateixes APIs que la consola, així que tot el que aprenguis aquí et serveix per a qualsevol servei de la resta del curs.

1. Per què automatitzar: el problema de la consola
2. Instal·lar AWS CLI v2 a Linux, macOS i Windows
3. Anatomia d'una comanda
4. Configurar credencials: aws configure, fitxers i perfils
5. Ordre de precedència de les credencials
6. Seguretat de les claus d'accés
7. Formats de sortida i filtratge amb --query
8. Paginació, --dry-run i altres opcions útils
9. Comandes d'exploració imprescindibles
10. SDK: què són i quins llenguatges hi ha
11. boto3: l'SDK de Python pas a pas
12. Una ullada equivalent en JavaScript
13. CloudShell com a alternativa sense instal·lació

La Marta va crear el bucket de proves a la consola. Ara en Luis necessita crear tres buckets iguals (un per entorn) amb les mateixes etiquetes i la mateixa configuració. Amb la consola hauria de repetir uns quinze clics tres vegades, i qualsevol descuit produiria una diferència silenciosa entre entorns.

Els quatre problemes estructurals de la consola:

La CLI resol els quatre: una comanda és text, i el text es desa, es versiona, es revisa, es repeteix i s'encadena. I és el pas previ natural cap a la infraestructura com a codi del mòdul 9, on ja ni tan sols escriurem comandes sinó declaracions de l'estat desitjat.

Fes servir sempre la versió 2. La v1 està en manteniment, s'instal·lava amb pip (cosa que causava conflictes de dependències) i li falten funcions importants com l'inici de sessió amb IAM Identity Center.

Què fa cada línia:

• curl ... -o "awscliv2.zip": descarrega el paquet i el desa amb aquest nom. L'URL és l'oficial d'AWS; desconfia dels instal·ladors de tercers.
• unzip: extreu una carpeta aws/ amb l'instal·lador.
• sudo ./aws/install: copia els binaris a /usr/local/aws-cli i crea l'enllaç /usr/local/bin/aws. Necessita sudo perquè escriu fora del teu directori personal.
• rm -rf: esborra el que s'ha descarregat, que ja no fa falta.

Si la teva màquina és ARM (per exemple, una instància Graviton), canvia x86_64 per aarch64.

Per actualitzar una instal·lació existent, afegeix els paràmetres d'actualització:

Alternativa amb Homebrew, si ja el fas servir: brew install awscli.

Descarrega i executa l'instal·lador MSI oficial:

O des de PowerShell com a administrador:

Després tanca i torna a obrir el terminal perquè es recarregui la variable PATH.

En qualsevol sistema:

Sortida esperada (els números variaran):

Es llegeix així: versió de la CLI, versió de Python incrustada (no fa servir el teu Python, va inclosa), sistema operatiu i tipus de compilació. Si veus aws-cli/1.x, tens la v1 i l'hauries de desinstal·lar abans de continuar.

Totes les comandes segueixen la mateixa estructura:

Un exemple real, línia a línia:

Els verbs segueixen convencions molt previsibles, i reconèixer-les accelera molt l'aprenentatge:

És la millor documentació que tens i funciona sense connexió:

S'obre en un paginador: navega amb les fletxes i surt amb q.

La CLI necessita saber qui ets. Crearem unes claus d'accés per a l'usuari mercadofresco-admin que vam crear a la lliçó 01-02.

A la consola: IAM → Users → mercadofresco-admin → Security credentials → Create access key. Tria el cas d'ús Command Line Interface (CLI), confirma l'avís i crea-la.

N'obtindràs dos valors:

• Access key ID: una cosa com AKIAIOSFODNN7EXAMPLE. És més aviat públic, identifica la clau.
• Secret access key: una cosa com wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY. Només es mostra una vegada. Si la perds, cal crear una clau nova.

Advertiment: no creïs mai claus d'accés per a l'usuari root (lliçó 01-02). I si no vols manejar claus permanents en absolut, l'alternativa moderna és aws configure sso amb IAM Identity Center, que emet credencials temporals.

Et farà quatre preguntes:

• Regió per defecte: eu-west-1, la que vam decidir a la lliçó 01-03. T'evita escriure --region a cada comanda.
• Format de sortida: json és un bon valor per defecte perquè és el que consumeixen altres eines.

aws configure no fa màgia: escriu dos fitxers de text al teu directori personal (~/.aws/ a Linux i macOS, %USERPROFILE%\.aws\ a Windows).

~/.aws/credentials — conté els secrets:

~/.aws/config — conté els ajustos no secrets:

Els pots editar a mà perfectament. Comprova a més que els permisos siguin restrictius:

Això deixa el fitxer llegible i escrivible només pel teu usuari. En un equip compartit és imprescindible.

Gairebé mai treballaràs amb una sola identitat. MercadoFresco tindrà aviat un entorn de desenvolupament i un altre de producció, i convé que no es puguin confondre.

Crea un perfil nou:

Els fitxers queden així:

Atenció al detall: a credentials la secció és [mercadofresco-dev], però a config és [profile mercadofresco-dev], amb la paraula profile al davant. És una inconsistència històrica que provoca errors constants. Si un perfil "no es troba", revisa això primer.

Per fer servir un perfil:

I per saber sempre amb qui estàs actuant:

Adquireix l'hàbit d'executar aquesta comanda abans de qualsevol operació destructiva. És la diferència entre esborrar la base de dades de desenvolupament i esborrar la de producció.

Quan executes una comanda, la CLI busca credencials en un ordre fix i es queda amb la primera font que trobi. Conèixer aquest ordre explica el 90 % dels "però si jo vaig configurar això":

Els dos últims són els importants conceptualment. Quan el teu codi s'executa dins d'AWS —en una instància EC2, en una funció Lambda, en un contenidor— no necessita claus en absolut: se li assigna un rol IAM i l'SDK obté automàticament credencials temporals que es roten soles cada poques hores.

Els rols IAM s'estudien a fons a la lliçó 04-01. Queda't amb la idea: claus permanents només al teu portàtil; dins d'AWS, sempre rols.

Una clau d'accés de mercadofresco-admin és, literalment, el control total del compte. Aquestes regles no són opcionals.

Aquest és l'error que arruïna comptes cada dia. Hi ha bots que escanegen GitHub de manera contínua buscant cadenes que comencin per AKIA; una clau publicada s'explota en minuts, típicament llançant desenes d'instàncies grans per minar criptomonedes. La factura resultant pot ser de milers d'euros.

Protecció mínima en qualsevol repositori:

I una barrera automàtica, molt recomanable:

Si alguna vegada publiques una clau per error: desactiva-la i esborra-la immediatament a IAM, revisa CloudTrail (lliçó 05-03) per veure què s'hi va fer, i crea'n una de nova. Esborrar el commit no serveix de res: ja està indexat.

El procediment de rotació sense talls és senzill: crea una segona clau, actualitza on es faci servir, comprova que tot funciona, desactiva l'antiga, espera uns dies i esborra-la. IAM permet dues claus actives per usuari precisament per això.

Les comandes d'AWS retornen molta informació. Aprendre a retallar-la és el que converteix la CLI en una eina còmoda.

--query aplica una expressió JMESPath sobre la resposta, al client. Anem de menys a més.

Nivell 1 — extreure una llista:

Nivell 2 — un camp de cada element:

Sortida:

Nivell 3 — reanomenar camps en un objecte:

Les claus {...} construeixen un objecte nou; a l'esquerra dels : va el nom que vols veure, a la dreta el camp original.

Nivell 4 — filtrar amb una condició:

Fixa't en les cometes invertides al voltant d'eu-: a JMESPath, els literals van entre backticks, no entre cometes normals. És una font freqüent d'errors.

Nivell 5 — un cas real de MercadoFresco:

Desglossament:

• Reservations[].Instances[]: aplana l'estructura imbricada d'EC2 (les instàncies vénen agrupades per reserva) en una sola llista.
• State.Name: navega dins d'un objecte imbricat amb el punt.
• Tags[?Key==\Name`]|[0].Value: filtra les etiquetes quedant-se amb la de clau Name, i el |[0]` pren el primer resultat d'aquella llista per extreure'n el valor.

L'ideal és combinar-los: --filters per portar poc, --query per presentar-ho bé.

Quan hi ha molts resultats, la CLI v2 els pagina automàticament i obre un paginador. Opcions per controlar-ho:

Si limites amb --max-items i hi ha més resultats, la resposta inclou un NextToken que pots passar amb --starting-token per demanar la pàgina següent.

Moltes operacions d'EC2 accepten --dry-run: comproven si tindries permisos per fer l' operació, però no l'executen.

Si tens permís, veuràs:

Aquest missatge, encara que digui "error", és la confirmació d'èxit. Si no en tinguessis permís, l'error seria UnauthorizedOperation. És una manera segura de verificar permisos sense crear res ni gastar res.

Aquestes són les comandes que executaràs centenars de vegades. Desa-les.

La sortida de l'última és especialment útil perquè indica l'origen de cada valor:

Quan alguna cosa no funcioni com esperes, aquesta comanda et dirà exactament quina credencial i quina regió està fent servir la CLI i per què.

Un SDK (Software Development Kit) és una biblioteca que permet a la teva aplicació cridar les APIs d'AWS des del llenguatge en què està escrita, sense construir peticions HTTP signades a mà.

La diferència amb la CLI:

Llenguatges amb SDK oficial:

Tots comparteixen la mateixa lògica: cadena de proveïdors de credencials (el mateix ordre de precedència que hem vist), reintents automàtics amb retrocés exponencial, i noms d'operació equivalents als de l'API.

En Luis farà servir Python per als scripts de MercadoFresco, així que vegem boto3 en detall.

boto3 ofereix dues interfícies diferents per al mateix:

Exemple del mateix objectiu amb totes dues:

boto3 fa servir exactament el mateix ordre de precedència que la CLI, així que si aws s3 ls funciona, el teu codi Python funcionarà sense configurar res.

Per triar perfil o regió explícitament es fa servir una sessió:

Tot error retornat per un servei d'AWS arriba com a botocore.exceptions.ClientError. Ignorar-lo és l'error més comú dels scripts de principiant.

Punts clau del fragment:

• head_bucket és la manera barata de comprovar l'existència: no descarrega contingut.
• error.response["Error"]["Code"] és la ruta estàndard per llegir el codi d'error. Memoritza-la.
• Distingir 404 de 403 importa: "no existeix" i "existeix però no el pots veure" exigeixen accions diferents.
• El raise final evita l'antipatró d'empassar-se errors desconeguts, que amaga problemes reals.

Les APIs retornen com a molt uns centenars d'elements per crida. Si itères només la primera resposta, perdràs dades en silenci. Els paginadors ho resolen:

Perquè vegis que els conceptes es traslladen, el mateix llistat de buckets amb l'AWS SDK for JavaScript v3:

Diferències respecte a boto3: el v3 és modular (menys pes a Lambda) i fa servir el patró comanda: crees un objecte XxxCommand i l'envies amb send(). La lògica de credencials, reintents i errors és equivalent.

Com vam veure a la lliçó 01-04, AWS CloudShell et dona un terminal al navegador amb la CLI v2, Python i boto3 ja instal·lats, i autenticada automàticament amb l'usuari de la consola.

CloudShell és especialment útil per a l'escenari "sóc en un ordinador que no és el meu i necessito diagnosticar alguna cosa ja". No substitueix la CLI local per a la feina diària, però és una xarxa de seguretat excel·lent.

• Unable to locate credentials. No has configurat el perfil, o has fet servir un nom de perfil inexistent. Diagnostica-ho amb aws configure list.
• ProfileNotFound amb el perfil ben escrit. Gairebé sempre és la secció de ~/.aws/config sense el prefix profile : ha de ser [profile mercadofresco-dev], no [mercadofresco-dev].
• You must specify a region. Ni el perfil ni la variable d'entorn ni la comanda indiquen regió. Afegeix --region o configura-la al perfil.
• AccessDenied inesperat. Comprova primer amb quina identitat estàs actuant amb aws sts get-caller-identity; molt sovint és el perfil equivocat, no un problema de permisos.
• Pujar claus a Git. El desastre més car i més freqüent. .gitignore, git secrets i, millor encara, credencials temporals.
• Fer servir claus permanents dins d'una instància EC2. Mai. Es fa servir un rol d'instància (lliçó 04-01), que a més rota les credencials sol.
• Oblidar la paginació. El teu script diu "hi ha 1.000 objectes" quan n'hi ha 50.000. Fes servir paginadors a boto3 i --max-items/NextToken a la CLI.
• Confondre aws s3 amb aws s3api. El primer és d'alt nivell (ls, cp, sync); el segon exposa l'API completa (get-bucket-tagging, put-bucket-policy). Si una opció no existeix a s3, busca-la a s3api.
• Ignorar ClientError. Un script que falla en silenci és pitjor que un que es trenca.
• Consell: defineix àlies al teu terminal per al que repeteixis molt, per exemple alias qui='aws sts get-caller-identity'.
• Consell: quan una comanda no funcioni i no entenguis per què, afegeix-hi --debug. Veuràs la petició signada completa i la resposta del servei.

1. Instal·la AWS CLI v2 al teu sistema i verifica'n la versió.
2. Configura un perfil anomenat mercadofresco-admin amb regió eu-west-1 i sortida json.
3. Executa aws sts get-caller-identity i anota el teu ARN complet.
4. Escriu una sola comanda que mostri, en format taula, totes les regions el nom de les quals comenci per eu-, amb una única columna anomenada Region.

Escriu un script inventario-mercadofresco.sh que:

1. Comprovi amb quina identitat i en quin compte s'està executant, i ho mostri.
2. Llisti tots els buckets de S3 del compte.
3. Llisti les zones de disponibilitat d'eu-west-1 amb el seu ID físic.
4. Llisti les instàncies EC2 amb el seu ID, tipus, estat i zona (si no n'hi ha cap, ho ha d'indicar sense fallar).
5. Tot amb sortida en taula i sense obrir el paginador interactiu.

Escriu un script Python crear_bucket_mercadofresco.py que:

1. Rebi el nom del bucket com a argument de línia de comandes.
2. Comprovi si ja existeix (distingint "no existeix" de "sense permisos").
3. Si no existeix, el creï a eu-west-1 amb el bloqueig d'accés públic activat.
4. Li apliqui les etiquetes Proyecto=mercadofresco, Entorno=pruebas, Componente=formacion.
5. Mostri les etiquetes resultants.
6. Gestioni els errors amb ClientError i retorni un codi de sortida diferent de zero si falla.

Cost: un bucket buit no genera cost apreciable i la capa gratuïta cobreix 5 GB. Tot i així, esborra'l en acabar amb aws s3 rb s3://<nom-del-bucket>.

Solució 1

Es pot fer servir starts_with() o contains(); starts_with és més precís perquè contains també acceptaria un nom que portés eu- al mig.

Solució 2

Detalls importants:

• set -euo pipefail evita que l'script continuï alegrement després d'una fallada.
• export AWS_PAGER="" és imprescindible en scripts: sense això, la CLI obriria un paginador i l' script es quedaria bloquejat esperant que algú premés q.
• Desar la sortida en una variable permet comprovar si és buida i donar un missatge clar en lloc d'imprimir una taula buida.

S'executa amb:

Solució 3

Claus de la solució:

• LocationConstraint: si crees un bucket en qualsevol regió que no sigui us-east-1 i omets aquest paràmetre, S3 el crea a us-east-1. És una de les raresses històriques de l'API.
• put_public_access_block amb les quatre opcions a True és la protecció que evita la fuita de dades més habitual a AWS.
• put_bucket_tagging sobreescriu el conjunt complet d'etiquetes: si en volguessis afegir una sense esborrar les altres, hauries de llegir-les primer amb get_bucket_tagging i fusionar-les.
• Codis de sortida: 0 si tot va bé, 1 si falla, per poder encadenar l'script en un pipeline.

Execució i neteja:

Amb aquesta lliçó tanques el mòdul d'introducció i, sobretot, fas el salt d'"usuari d'AWS" a "operador d'AWS". Has instal·lat l'AWS CLI v2, has entès l'anatomia d'una comanda (aws <servei> <operació> --paràmetres) i les convencions de noms que et permeten endevinar comandes que encara no coneixes. Has configurat credencials amb aws configure, has vist què hi ha realment dins de ~/.aws/credentials i ~/.aws/config, i saps treballar amb perfils amb nom per no confondre mai desenvolupament amb producció. Coneixes l'ordre de precedència de les credencials, que explica gairebé tots els comportaments estranys, i les regles de seguretat innegociables: mai claus a Git, rotació periòdica i, dins d'AWS, rols en lloc de claus.

Has après a domar la sortida de les comandes amb --output i amb --query i JMESPath, a evitar el parany silenciós de la paginació, a verificar permisos sense gastar res amb --dry-run, i tens a la mà el grapat de comandes d'exploració que faràs servir cada dia. I has fet els teus primers passos amb els SDK: boto3 en Python, amb la distinció entre client i resource, la gestió correcta d'errors mitjançant ClientError i els paginadors, més l'equivalent en JavaScript per veure que els conceptes són universals.

MercadoFresco ja té tot el que necessita per començar de debò: un compte segur i vigilat, una regió triada amb criteri, una consola que saps manejar i unes eines de línia de comandes i programació que fan la feina repetible.

Al mòdul 2, «Serveis principals d'AWS», començant per la lliçó 02-01 «Amazon EC2», aixecarem el primer servidor real de MercadoFresco al núvol i començarem la migració que resoldrà, un a un, els quatre problemes que vam descobrir a la primera lliçó.