● Comunidad
zxkane
⚡ Instantáneo
aws-skills
por zxkane · zxkane/aws-skills
Habilidades de agente Claude para AWS — flujos shell-first que cubren servicios comunes, con valores por defecto apropiados e IAM con privilegios mínimos.
aws-skills envuelve flujos comunes de AWS CLI como habilidades de agente: operaciones de flota EC2, comprobaciones de políticas S3, auditorías de IAM, scaffolding de CloudFormation/CDK y consultas de costos. Shell-first para que siempre veas los comandos ejecutándose. Funciona bien con TerraShark para IaC.
Por qué usarlo
Características clave
- Shell-first — comandos visibles antes de ejecutarse
- Servicios comunes: EC2, S3, IAM, Lambda, CloudFormation, Cost Explorer
- Valores por defecto de IAM con privilegios mínimos
- Consciente de región y perfil
- Funciona con Claude Code y Codex
Demo en vivo
Cómo se ve en la práctica
Casos de uso
Usos del mundo real: aws-skills
Cuándo usarlo: Necesitas parchear o reiniciar un grupo de instancias que coincidan con una etiqueta, sin escribir todo el script tú mismo.
Flujo
-
Simula la consulta
Usa aws-skill. Lista instancias EC2 etiquetadas Env=staging, App=api. Solo describe, no hagas mutaciones.✓ Copiado
→ Tabla de IDs de instancia con estado
-
Planifica la acción
Ahora propón el comando para reiniciar las que están ejecutándose. Muéstrame la llamada exacta de aws cli antes de ejecutarla.✓ Copiado
→ Comando impreso; sin ejecución aún
-
Ejecuta con límites
Ejecuta en lotes de 3 con 30s entre lotes. Aborta si alguno falla.✓ Copiado
→ Salida en lotes con éxito/fallo por lote
Resultado: Una operación de flota controlada sin sorpresas desagradables.
Errores comunes
- Perfil/región incorrectos destruyen prod — Siempre imprime el perfil resuelto + región como la primera línea de cualquier acción
Cuándo usarlo: Antes de una revisión de cumplimiento, o después de una alerta de configuración incorrecta.
Flujo
-
Lista buckets
Lista todos los buckets S3 en nuestra cuenta con sus configuraciones de bloque de acceso público y cualquier política de bucket que permita *.✓ Copiado
→ Tabla con estado por bucket
-
Triaje
Marca buckets que tienen acceso público y no coinciden con nuestra lista de permisos de buckets públicos conocidos (lista: [...]). Propón remediación para cada uno.✓ Copiado
→ Plan de remediación por bucket marcado
Resultado: Una lista de remediación priorizada para exposición pública de S3.
Errores comunes
- OAI / OAC para CloudFront se ve público a nivel de bucket — Comprueba la configuración de origen de CloudFront antes de marcar
Cuándo usarlo: Una cuenta de servicio funciona con AdministratorAccess y quieres limitarla.
Flujo
-
Recopila uso
Extrae las acciones derivadas de Access Analyzer / CloudTrail utilizadas por este rol en los últimos 30 días.✓ Copiado
→ Tabla de acciones
-
Genera política limitada
Escribe la política mínima que coincida con esas acciones. Sin Resource comodín a menos que sea necesario; comenta dónde los comodines están justificados.✓ Copiado
→ JSON de política con comentarios
Resultado: Una política de privilegios mínimos con justificación documentada.
Errores comunes
- 30 días no es suficiente para capturar todos los caminos — Verifica contra trabajos mensuales o trimestrales conocidos antes de cambiar la política
Cuándo usarlo: Finanzas pregunta '¿por qué subió el gasto de S3 en abril?' — quieres una respuesta antes de la reunión.
Flujo
-
Consulta
Usa Cost Explorer para comparar el gasto de S3 de abril vs marzo por tipo de uso.✓ Copiado
→ Tabla de diff por tipo de uso
-
Explica
¿Qué tipo de uso creció más y cuál bucket es más probable que sea responsable?✓ Copiado
→ Hipótesis con candidatos de bucket específicos
Resultado: Una atribución específica que puedas seguir.
Combinaciones
Combínalo con otros MCPs para multiplicar por 10
aws-skill para operaciones puntuales, TerraShark para infraestructura codificada
Investiga con aws-skill, luego codifica la solución como Terraform con terrashark.✓ Copiado
Revisiones de seguridad en configuraciones de IAM y S3
Después de limitar IAM, ejecuta revisión OWASP en la política resultante.✓ Copiado
Coste y límites
Lo que cuesta ejecutarlo
- Cuota de API
- Los límites de API de AWS varían según el servicio; generalmente no es un problema para uso interactivo
- Tokens por llamada
- 5-15k para planificación; la ejecución es libre de tokens de Claude
- Monetario
- Habilidad gratuita; uso de AWS facturado como normal
- Consejo
- La API de Cost Explorer tiene precios por solicitud. Cachea resultados cuando iteres.
Seguridad
Permisos, secretos, alcance
Almacenamiento de credenciales: Credenciales estándar de AWS CLI (configuración compartida, SSO). La habilidad lee el perfil activo.
Salida de datos: Todas las llamadas de API de AWS. Los resultados del comando pueden contener datos sensibles (ARNs, etiquetas).
No conceder nunca: AdministratorAccess para uso interactivo
- Siempre verifica el perfil activo y la región antes de comandos destructivos. La habilidad imprime ambos antes de la ejecución — no omitas la comprobación.
- Usa credenciales de corta duración de SSO en lugar de claves de acceso de larga duración.
Resolución de problemas
Errores comunes y soluciones
AccessDenied a pesar del perfil correcto
La sesión de rol puede haber expirado. Reautentica (aws sso login o actualización de STS)
Verificar: aws sts get-caller-identity
Los comandos apuntan a la región incorrecta
La habilidad respeta la variable de entorno AWS_REGION; establécela explícitamente o pasa --region en cada llamada
Limitación de velocidad en operaciones de flota grandes
Usa el modo de lotes de la habilidad con retrasos
Alternativas
aws-skills vs otros
| Alternativa | Cuándo usarla | Contrapartida |
|---|
| Servidor AWS MCP | Quieres llamadas de herramienta MCP nativas en lugar de shell-first | Menos visibilidad de shell; modelo de confianza diferente |