Glosario de Arquitectura AWS para Agentes de IA

Los términos que aparecen una y otra vez en el Curso de Arquitectura AWS para Agentes de IA y en cualquier conversación seria sobre plataformas cloud. Como todo glosario de la academia, crece con cada bloque nuevo. Los servicios están explicados por el papel que juegan en una arquitectura de agentes — para el detalle de producto, la documentación oficial siempre manda.

El mapa: cuentas, regiones y organización

Cuenta (account) — La frontera dura de aislamiento en AWS: permisos, facturación, límites y radio de explosión terminan en ella. La decisión de arquitectura número uno es cuántas cuentas y cómo repartirlas. Se desarrolla en el mapa de AWS.

AWS Organizations — El servicio que agrupa cuentas bajo una organización: facturación consolidada, políticas centrales (SCP) y la estructura multi-cuenta que separa dev, prod y seguridad.

SCP (Service Control Policy) — Política de organización que limita lo que puede hacerse en una cuenta, por encima de cualquier permiso individual — incluso del administrador. El techo duro: “en sandbox nadie usa instancias caras”, declarado una vez.

Landing zone — El entorno base multi-cuenta preconfigurado (identidad, redes, auditoría, guardrails) donde los proyectos “aterrizan”. AWS la semi-arma con Control Tower. Es la versión de infraestructura de la landing zone de IA de la Metodología.

Región (region) — Conjunto geográfico independiente de data centers (us-east-1, sa-east-1). No comparten nada por defecto; catálogo y precios varían. Para IA se elige por datos (residencia), catálogo (los modelos llegan primero a las grandes) y latencia — en ese orden.

Zona de disponibilidad (AZ, availability zone) — Data center (o grupo) independiente dentro de una región. La alta disponibilidad básica es correr en ≥2 AZs; los servicios administrados suelen hacerlo solos.

Responsabilidad compartida (shared responsibility model) — El contrato de la nube: AWS responde por la infraestructura de la nube; tú, por lo que pones en ella — configuración, permisos, datos y, sobre todo, lo que tu agente hace. Ningún servicio administrado transfiere esa última fila.

Radio de explosión (blast radius) — Hasta dónde llega el daño cuando algo falla o es comprometido. Las fronteras de cuenta, los roles mínimos y el egress cerrado existen para achicarlo.

Identidad: IAM y el agente como principal

IAM (Identity and Access Management) — El motor de identidad y permisos: toda llamada a una API de AWS la firma una identidad y la evalúa IAM. Se desarrolla en identidad.

Principal — Quien hace la llamada: un humano, un servicio o tu agente. En una plataforma de agentes, cada agente es un principal con identidad propia.

Usuario IAM (user) — Identidad permanente con credenciales de larga vida. En la práctica moderna, deuda: los humanos entran por SSO (Identity Center) y las cargas de trabajo usan roles.

Rol (role) — Identidad sin credenciales propias que un principal asume temporalmente. El mecanismo central de todo lo que corre en AWS: nada “tiene contraseña” — asume su rol y recibe credenciales que expiran.

Execution role (rol de ejecución) — El rol que una Lambda, tarea de ECS o agente asume al correr. Su política define exactamente qué puede hacer ese código — es la jaula jurídica del agente.

STS (Security Token Service) — El servicio que emite credenciales temporales al asumir un rol. La razón por la que las llaves de larga vida son evitables siempre.

Política (policy) — Documento JSON de permisos: efecto (allow/deny), acción, recurso, condición. Se evalúa en cada llamada; el deny explícito gana siempre.

Trust policy — La política que define quién puede asumir un rol. La mitad olvidada: permisos perfectos con trust laxa es una puerta blindada con la llave puesta.

Mínimo privilegio (least privilege) — Otorgar exactamente los permisos que la tarea exige, sobre los recursos que toca, y nada más. Para agentes no es cumplimiento: es el único límite que el modelo no puede alucinar.

Confused deputy (diputado confundido) — El agente con permisos amplios que ejecuta, por pedido de un usuario, acciones que ese usuario no podría hacer solo. Se mitiga con permisos de sesión acotados al invocador — la intersección de la clase de gobernanza en versión IAM.

IAM Identity Center — El SSO de AWS: humanos federados con credenciales que expiran, en vez de usuarios IAM con llaves eternas.

Federación OIDC — El mecanismo por el que sistemas externos (GitHub Actions, otros clouds) asumen roles sin guardar llaves: intercambian su identidad verificable por credenciales temporales.

Cómputo: dónde corre el agente

Lambda — Funciones que corren al llegar un evento y se cobran por milisegundo. Límite duro de 15 minutos por ejecución. El cómputo natural del agente reactivo corto. Se desarrolla en cómputo.

Fargate — Contenedores sin administrar servidores: das la imagen, AWS pone el fierro. Sin límite de duración. El cómputo natural del agente de tareas largas.

ECS (Elastic Container Service) — El orquestador de contenedores nativo: cuántas copias, dónde, cómo se reemplazan. Usa Fargate o EC2 como músculo.

EKS (Elastic Kubernetes Service) — Kubernetes administrado. Se elige por razones organizacionales (equipo K8s, multi-cloud), no por prestigio: es el peaje operativo más caro del menú.

AWS Batch — Colas de trabajos por lotes sobre cómputo efímero, con prioridades y reintentos. El hogar del análisis nocturno masivo.

Step Functions — La máquina de estados administrada: orquesta pasos con reintentos, ramas y esperas de hasta un año que no facturan cómputo. Columna vertebral de los flujos multi-paso y de la aprobación asíncrona.

Cold start (arranque en frío) — La latencia de crear el entorno en la primera invocación de una función o contenedor. Duele solo si hay un humano esperando; al agente nocturno no le importa.

Cómputo efímero — El que nace cuando hay trabajo y muere al terminar, costando cero entre medio. El principio del curso: el agente autónomo no es un servidor esperando — es trabajo que despierta cómputo.

Auto-scaling — Ajustar automáticamente el número de copias de un servicio según carga. Lo que hace viable el servicio siempre-vivo del agente conversacional.

Redes: por dónde respira

VPC (Virtual Private Cloud) — Tu red privada dentro de AWS: un rango de IPs aislado donde vive todo lo que despliegas con red. Se desarrolla en redes.

Subred (subnet) — Porción de la VPC anclada a una AZ. Pública: con ruta a internet, solo para puertas (balanceadores, NAT). Privada: sin ruta desde afuera — donde vive todo lo que piensa o guarda.

Internet Gateway — La puerta de la VPC hacia internet. Solo las subredes con ruta hacia él son públicas.

NAT Gateway — La salida controlada de las subredes privadas: lo de adentro inicia conexiones hacia afuera sin ser alcanzable. Cobra por GB — el costo sorpresa clásico con payloads de IA.

Security group — Firewall con estado adjunto a cada recurso. Su superpoder: reglas que referencian otros security groups, declarando quién-habla-con-quién sin IPs.

VPC endpoint — Conexión privada a servicios de AWS (S3, Bedrock, SQS) sin pasar por internet, con políticas propias que restringen a tus recursos. La servilleta de endpoints de una plataforma es una decisión de arquitectura.

PrivateLink — El mecanismo detrás de los endpoints, extendido a servicios de terceros y propios: consumir un servicio ajeno como si fuera interno.

Egress — El tráfico de salida. El control de egress — denegar por defecto, permitir una lista corta de destinos — es el guardrail físico contra la exfiltración que ninguna inyección de prompt puede desactivar.

Trifecta letal — La combinación que habilita la exfiltración vía agente: datos sensibles + contenido no confiable + canal de salida. El egress cerrado rompe el tercer ingrediente. Del modelo de amenazas.

Integración: colas, eventos y APIs

API Gateway — La puerta de entrada administrada: autentica, aplica rate limits y cuotas por cliente, enruta. La única cara pública de la plataforma. Se desarrolla en microservicios y APIs.

SQS (Simple Queue Service) — La cola administrada: productores dejan mensajes, consumidores los procesan a su ritmo, los fallidos reaparecen para reintento. El desacoplador universal y el buzón donde el trabajo espera gratis al agente.

Visibility timeout — El plazo durante el cual un mensaje tomado de SQS queda invisible; si el consumidor no lo borra (porque falló), reaparece. El mecanismo del reintento gratis.

DLQ (dead-letter queue) — La cola donde van los mensajes que fallaron N veces. Sin ella, un mensaje venenoso reintenta para siempre; con ella, se aparta para diagnóstico. Toda cola lleva una, con alarma.

SNS (Simple Notification Service) — Publicación en abanico: un mensaje llega a todos los suscriptores. SQS es “uno lo procesa”; SNS es “todos se enteran”.

EventBridge — El bus de eventos: recibe eventos de servicios y aplicaciones, y los enruta por reglas de contenido. Incluye el Scheduler: el cron administrado que dispara acciones sin cómputo esperando — el despertador del agente autónomo.

Idempotencia — La propiedad de que procesar el mismo mensaje dos veces no duplica el efecto. Obligatoria en todo consumidor de colas, porque “al menos una entrega” significa “a veces dos”. Se implementa con clave de deduplicación antes de actuar.

Cola FIFO — Variante de SQS con orden garantizado y deduplicación nativa, a cambio de menor throughput. Para cuando el orden de los efectos importa.

Rate limit — Límite de peticiones por cliente/ventana. En el API Gateway es la primera línea contra el consumo desbocado (unbounded consumption / denial of wallet).

MCP (Model Context Protocol) — El protocolo estándar para exponer herramientas a agentes con contrato tipado. En la plataforma, un servidor MCP es un microservicio más: corre en tu cómputo, con tu IAM y tu red. Ver fundamentos de MCP.

Estado y datos

DynamoDB — La base clave-valor administrada: latencia de milisegundos a cualquier escala, TTL nativo. La casa de sesiones e historial del agente. Se desarrolla en estado y datos.

TTL (time to live) — Expiración automática de registros. En el historial del agente no es limpieza: es política de retención implementada.

RDS / Aurora — Bases relacionales administradas (Aurora es la versión cloud-native de AWS, con variante Serverless que escala sola). La casa del dato de negocio: joins, transacciones, reportes.

pgvector — La extensión vectorial de PostgreSQL: búsqueda por similitud dentro de tu Aurora. El punto de partida sano para vectores cuando ya tienes Postgres y el volumen es moderado.

OpenSearch — El motor de búsqueda administrado (vector + texto/BM25, búsqueda híbrida madura). El estándar de producción para RAG exigente — y el más caro de operar del menú vectorial.

S3 (Simple Storage Service) — El almacén de objetos: centavos por GB, durabilidad extrema. El default silencioso de todo lo que se escribe una vez y se lee entero; las bases guardan punteros, no los objetos.

S3 Vectors — Vectores nativos sobre S3: costo hasta ~90% menor que las bases vectoriales especializadas, latencia de ~100 ms a sub-segundo y hasta 2.000 millones de vectores por índice (GA en diciembre de 2025). Para corpus enormes de consulta esporádica — movió la economía del RAG frío.

ElastiCache — Redis administrado: el caché de microsegundos para respuestas, datos calientes y claves de idempotencia. Distinto del prompt caching del proveedor: este cachea tus datos; se suman.

Honeypot del historial — El almacén de sesiones como concentrado de todo lo que pasó por los agentes: el dato más sensible que la plataforma crea. Exige PII enmascarada, TTL y acceso mínimo desde el día uno.

Modelos: Bedrock y el gateway

Bedrock — El servicio de modelos como API de AWS: catálogo multi-proveedor, sin infraestructura de inferencia propia, con garantía de que tus datos no entrenan modelos. Se desarrolla en el LLM gateway.

Converse API — La API unificada de conversación de Bedrock: mismo contrato (mensajes, herramientas, streaming) sobre cualquier modelo del catálogo. Cambiar de modelo es cambiar un identificador.

Inferencia cross-region — Perfiles que enrutan la llamada entre regiones — del mismo ámbito geográfico o, en los perfiles globales, de cualquier región comercial — para conseguir capacidad. Gratis en esfuerzo; con la letra chica de que el prompt viaja — verificar contra la política de residencia.

Throughput aprovisionado (provisioned throughput) — Capacidad de inferencia reservada con descuento, para volumen alto y sostenido. La decisión fijo-vs-variable de siempre: se gradúa con datos de uso, nunca el día uno.

Inferencia batch — Procesar lotes no interactivos a ~50% del precio. La palanca más fácil del stack para todo lo nocturno.

LLM gateway — El punto único por donde pasan todas las llamadas a modelos: normalización, routing, fallback, presupuesto, auditoría. A veces Bedrock + IAM + perfiles es el gateway; a veces exige un proxy propio delante. El componente 1 de la landing zone.

LiteLLM — El proxy open source de LLM gateway del patrón de referencia de AWS: multi-proveedor, keys virtuales, cuotas por equipo. Entra cuando Bedrock solo no alcanza (modelos externos, multi-tenant, routing propio).

Fallback — A dónde va la llamada cuando el primario falla: cross-region, modelo alternativo, encolar y esperar, o derivar a humano. La degradación honesta es un fallback digno.

Escalada de modelos — Reintentar en un modelo superior cuando el barato no alcanza (la cascada económica). Siempre con tope: sin él, es un bucle de gasto.

FinOps: ver y frenar el gasto

Cost allocation tags — Etiquetas clave-valor sobre recursos que, activadas en Billing, parten la factura por caso/equipo/entorno. El sistema nervioso de la atribución; se aplican por infraestructura (Terraform), no por memoria. Se desarrolla en FinOps.

Application inference profile — El envoltorio de un modelo de Bedrock creado por aplicación/agente, con sus propios tags: parte el gasto de tokens por agente en Cost Explorer. Mismo precio por token — es contabilidad, no recargo.

Cost Explorer — La lupa de la factura: filtra y agrupa por servicio, tag, perfil y tiempo. La prueba de madurez: responder “¿cuánto cuesta cada agente y en qué se le va?” en cinco minutos.

Cost Anomaly Detection — El detector administrado que aprende el patrón de gasto y alerta desviaciones. Para gasto dirigido por software, la anomalía es la señal de bug. Gratis: se activa y punto.

AWS Budgets — Umbrales de gasto con alertas y — la parte que importa — budget actions: respuestas automáticas al cruce, como aplicar un deny al rol del agente desbocado. Convierte el presupuesto de informe en freno.

Kill switch en capas — El diseño de freno del agente autónomo: topes por diseño (actúan en segundos) → alertas tempranas → deny selectivo por rol al 100% → freno de emergencia con runbook. Frenar no pierde trabajo: las colas retienen.

Showback — Mostrar a cada equipo/caso lo que su uso cuesta. Los perfiles de inferencia + tags lo hacen posible para tokens; es cómo el costo por tarea proyectado se contrasta con la realidad.

Denial of wallet (denegación de billetera) — El ataque (o bug) que genera volumen enorme de peticiones para arruinarte por factura. Se contiene con rate limits duros y el kill switch — nunca con instrucciones en el prompt.

Agentes administrados: AgentCore y Knowledge Bases

Bedrock AgentCore — La familia de servicios administrados para el corazón agéntico, adoptables por separado: Runtime, Memory, Gateway, Identity, herramientas integradas y observabilidad; desde diciembre de 2025 suma Policy y Evaluations en vista previa. Se desarrolla en AgentCore.

AgentCore Runtime — El entorno serverless administrado donde corre el loop del agente: sesiones aisladas, escalado, ciclo de vida. Compra operación; acopla el cómo corre tu agente. Para agentes commodity, sí; para el agente que es tu producto, evalúa.

AgentCore Memory — Memoria de corto y largo plazo como servicio. La decisión: si afinas la forma de recordar de tu agente, la quieres tuya; si te basta “que recuerde”, administrada.

AgentCore Gateway — Convierte APIs, Lambdas y servicios en herramientas que el agente descubre y llama — hablando MCP, con autorización IAM. Su valor crece con el número de agentes y herramientas.

AgentCore Identity — Identidad y credenciales para agentes, incluyendo OAuth hacia terceros. La plomería de seguridad que casi siempre conviene comprar.

Code Interpreter / Browser (AgentCore) — El sandbox de ejecución de código y el navegador administrados. Las herramientas peligrosas de hacer bien: la adopción administrada más fácil de defender.

Knowledge Bases — El RAG administrado de Bedrock: ingesta, chunking, embeddings, vector store (eliges el de atrás) y APIs de retrieve/generate. Para RAG commodity, días en vez de meses; el RAG que es tu producto sigue siendo tuyo.

Build vs. managed por pieza — El criterio del módulo 9: compra lo peligroso (sandbox, OAuth), delega lo commodity (runtime estándar), quédate con lo que te diferencia. Y agenda la revisión: esta frontera se mueve por trimestre.

Seguridad de la plataforma

Secrets Manager — El almacén administrado de secretos: cifrado, acceso por IAM, rotación automática, auditoría de cada lectura. Se desarrolla en seguridad.

Inyección en el borde — El patrón de secretos para agentes: la herramienta lee el secreto al momento de usarlo y lo pone en la llamada saliente; el secreto jamás entra al prompt ni al historial. El agente no puede filtrar lo que nunca vio.

KMS (Key Management Service) — La gestión de llaves de cifrado. La decisión real no es “cifrar” (todo servicio lo hace) sino quién controla la llave.

CMK (customer managed key) — Llave tuya en KMS: tu política, tu rotación, cada uso auditado. Para los datos sensibles de la plataforma es doble puerta (recurso + llave) más registro de cada descifrado.

Bedrock Guardrails — El filtrado declarativo de entrada/salida en el punto único: temas denegados, filtros de contenido y prompt attacks, detección/enmascaramiento de PII, umbrales de grounding. Se exige por condición IAM (bedrock:GuardrailIdentifier) en el rol de cada agente. Configuración versionable, no código — y una capa entre seis, no el sistema de seguridad.

Grounding — Que la respuesta se apoye en el contexto entregado y no en invención. Los umbrales de grounding de Guardrails son el detector de alucinación declarativo.

CloudTrail — El registro de cada llamada a API de la cuenta: quién, qué, cuándo, desde dónde. El diario de todo lo que tus agentes hicieron. Se envía a la cuenta de seguridad — evidencia que el comprometido no puede borrar.

GuardDuty — Detección administrada de amenazas sobre CloudTrail, red y DNS. Para agentes, su valor es la anomalía conductual: el rol que de pronto llama APIs que nunca llamó es la firma del agente comprometido.

Defensa en profundidad — Capas independientes (IAM, red, llaves, guardrails, presupuesto) donde el fallo de una es contenido por las demás. El diseño que confía en una sola capa está a un error del incidente.

Operación autónoma

CloudWatch — Métricas, logs y alarmas de todo lo construido. La materia prima de la operación. Se desarrolla en operación autónoma.

X-Ray — Trazas distribuidas: el recorrido de una petición a través de los servicios. Cómo se depura un sistema de piezas desacopladas.

Métricas de trabajo — Las que miden al agente y no a su máquina: tareas/hora, tasa de escalada a humano, validaciones fallidas, distribución de salidas. Custom siempre; las que avisan primero.

Edad del mensaje más viejo — La métrica reina del agente autónomo: si crece, el agente no está al día, diga lo que diga su CPU.

Alarma accionable — La regla binaria de las alarmas: existe solo si su disparo exige una acción humana concreta. Lo demás es dashboard — y cada alarma ignorable entrena a ignorar la que importa.

Aprobación asíncrona — El patrón estrella: el agente pide permiso para lo irreversible, la máquina de estados espera dormida (sin cómputo) el veredicto, y el timeout tiene desenlace decidido de antemano. Implementa la teoría de la clase de gobernanza.

waitForTaskToken — El mecanismo de callback de Step Functions: emite un token, espera hasta un año sin facturar, y continúa cuando alguien lo devuelve con el veredicto. La espera gratis hecha servicio.

Timeout conservador — La regla del patrón de aprobación: vencido el plazo sin respuesta, la acción se aborta y se escala. El silencio jamás aprueba.

Runbook — El procedimiento escrito de respuesta a un incidente: quién, qué comandos, qué se degrada. El freno de emergencia sin runbook es un botón que nadie se atreve a apretar.

Deriva conductual — El cambio gradual en el comportamiento del agente (por modelo, datos o prompts) que las métricas de distribución de salidas detectan barato: cuando el histograma de hoy no se parece al de la semana pasada.

La arquitectura de referencia

Los cuatro tiempos — El patrón esencial de la plataforma: el trabajo despierta cómputo efímero → el cómputo piensa por un punto único → actúa dentro de jaulas independientes → lo irreversible espera veredicto sin gastar. Los servicios cambian; el patrón es la arquitectura. Se desarrolla en la arquitectura de referencia.

Las cuatro piezas no diferibles — Lo que ninguna escala excusa desde el día uno: rol propio por agente, cola con DLQ, tags de costos y budget con alerta. Horas de trabajo; la diferencia entre incidente y anécdota.

Tabla de equivalencias — El puente entre nubes de esta serie: cuenta↔proyecto↔suscripción, Lambda↔Cloud Run↔Container Apps, Bedrock↔Vertex AI↔Microsoft Foundry. Puentes, no sinónimos: las diferencias de semántica son donde empiezan los cursos de GCP y Azure.