Una instància EC2 mai va sola. Per arrencar-la necessites tres peces que l’acompanyen sempre: una AMI (de quin disc parteix), un parell de claus (com hi entres de forma segura) i un Security Group (quin tràfic permets). Entendre aquestes tres és imprescindible abans de llançar el teu primer servidor.

AMI significa Amazon Machine Image (Imatge de Màquina d’Amazon). És una plantilla que conté el sistema operatiu i, opcionalment, programari preinstal·lat, des de la qual es crea la teva instància.

Analogia: Una AMI és com el motlle d’un pastís o una foto de fàbrica d’un ordinador. Quan llances una instància, AWS «fa una còpia» d’aquella imatge i la posa en marxa. Si llances 10 instàncies de la mateixa AMI, les 10 arranquen idèntiques.

Què conté una AMI:

• El sistema operatiu (Amazon Linux, Ubuntu, Windows Server…).
• Configuracions inicials.
• Opcionalment, programari ja instal·lat (un servidor web, la teva aplicació, etc.).

Tipus d’AMI que trobaràs:

Truc professional: Crear la teva pròpia AMI amb el teu programari ja instal·lat fa que llançar noves instàncies sigui instantani i repetible. Això és clau per a l’autoescalat (Capítol 13): en lloc d’instal·lar-ho tot a cada arrencada, parteixes d’una imatge ja llesta. Eines com Packer (de HashiCorp, igual que Terraform) s’utilitzen per construir AMIs de forma automatitzada.

Per entrar a la teva instància (per SSH a Linux o RDP a Windows) necessites autenticar-te. AWS utilitza parells de claus basats en criptografia de clau pública.

Un parell de claus té dues parts:

• Clau pública: AWS la guarda dins de la instància. És com un pany.
• Clau privada: la descarregues tu i només tu la tens. És la clau que obre aquell pany.

Com funciona quan et connectes:

1. Llançes una instància i li associes un parell de claus.
2. AWS col·loca la clau pública a dins.
3. Per connectar-t’hi, utilitzes la teva clau privada. El pany (públic) només s’obre amb aquella clau (privada) concreta.

⚠️ Regla de seguretat crítica: AWS et deixa descarregar la clau privada només una vegada en crear-la. Si la perds, no la pots recuperar i perdràs l’accés a les instàncies que en depenguin. Guarda-la en un lloc segur i mai la pugis a un repositori Git ni la comparteixis per xat o correu.

Un Security Group (grup de seguretat) és un tallafoc virtual que controla quin tràfic de xarxa pot entrar i sortir de la teva instància. És la teva primera i més important línia de defensa.

Analogia: És com el porter d’una discoteca amb una llista. Només deixa passar qui és a la llista; la resta, la bloqueja.

Característiques clau dels Security Groups:

• Funcionen amb regles d’entrada (inbound) i regles de sortida (outbound).
• Només permeten llistes blanques (allow): defineixes què es permet; tot el que no hi és es bloqueja per defecte.
• Són stateful («amb estat»): si permets una connexió d’entrada, la resposta de sortida es permet automàticament. No cal duplicar regles.

Exemple de regles per a un servidor web:

⚠️ Error de principiant molt comú: obrir el port 22 (SSH) o 3389 (RDP) a 0.0.0.0/0 (tot internet). Això vol dir que qualsevol al món pot intentar entrar al teu servidor. Limita sempre l’accés administratiu a la teva IP o a una xarxa de confiança. És un dels errors de seguretat més explotats.

0.0.0.0/0 significa «qualsevol adreça IP d’internet». Està bé per als ports de la web pública (80/443), però és perillós per a ports d’administració.

Quan llances una instància, defineixes les tres alhora:

• L’AMI decideix de què parteix la instància.
• El parell de claus decideix qui pot entrar.
• El Security Group decideix quin tràfic de xarxa es permet.

• AMI: plantilla (sistema operatiu + programari) des de la qual es crea la instància. Crear AMIs pròpies fa el desplegament ràpid i repetible.
• Parell de claus: parell de claus pública/privada per connectar-t’hi de forma segura. La privada es descarrega només una vegada; guarda-la bé i mai la comparteixis.
• Security Group: tallafoc virtual amb regles d’entrada/sortida, de tipus llista blanca i stateful.
• Error a evitar: obrir SSH (22) o RDP (3389) a tot internet. Limita-ho sempre a la teva IP.

Al següent subcapítol veurem el cicle de vida d’una instància: els diferents estats (arrencada, aturada, terminada) i què implica cadascun, també a la factura.