Diseñamos, desplegamos y operamos tu Landing Zone en AWS: desde la fundación multi-cuenta hasta los workloads en producción, todo provisionado como código.
Es el conjunto de cuentas, redes, identidad, logs, guardrails y pipelines que hace que cada nuevo proyecto no empiece de cero ni viole seguridad. Una sola cuenta con una VPC funciona para un lab. En producción, el blast radius, la facturación y el least privilege se descontrolan sin esa base.
Según el punto de partida. Control Tower y AFT/LZA son válidos cuando encajan. Si ya hay Organization, SCPs y pipelines, no los tiramos para “instalar el producto de moda”. El entregable es una base versionada, no un checkbox de consola.
Semanas, no un trimestre de slides. El plan Fundación deja Organization, cuentas core (seguridad, logs, shared), red mínima y CI/CD de cuentas. Escalable suma workloads y patrones. Gestionado es operación continua. Los plazos se cierran en el kickoff con el inventario real.
Sí, y es el caso más común. Se hace un assessment de la Organization actual, se definen cuentas destino, se migran workloads por olas y se cierran las cuentas huérfanas. No es “apagar todo y crear de nuevo”.
Una Landing Zone que no etiqueta ni separa costos termina como la cuenta única, pero con más YAML. Incluimos OU, tags, cuentas y guardrails de gasto básicos. El deep FinOps puede ser un frente aparte si el dolor es la factura.
Sí. El plan Gestionado cubre parches de la fundación, altas de cuentas, excepciones de SCP y acompañamiento a los equipos de workload. Sin eso, la LZ se pudre en seis meses.
El clásico: desarrollo, un proveedor y “el de datos” con admin. Separar cuentas y aplicar SCPs no es burocracia: es que un error de IAM no tumbe producción ni deje un bucket público.
Logs centralizados, CloudTrail organizado, acceso federado y cambios por pipeline. Eso se demuestra. Una cuenta artesanal no.
Si este año van a nacer diez cuentas, la LZ se paga sola: el patrón de red, DNS, y CI/CD se reusa. Sin patrón, cada proyecto inventa su VPC.
Sin OU ni tags, FinOps es arqueología. La fundación no reemplaza un equipo de costos, pero deja la telemetría para que exista.
Entregamos una Organization viva, cuentas core, red de tránsito o el patrón que corresponda, identidad (IAM Identity Center u el IdP que ya usen), logs, guardrails y el pipeline para crear cuentas. Documentación y capacitación al equipo que la va a operar.
No entregamos “la aplicación de negocio hecha”. Eso es workload: va encima, con sus propios pipelines. Si también necesitás DevOps de aplicaciones, es otro frente — y lo hacemos, pero no se esconde detrás de la palabra Landing Zone.
Solicitá una consulta y te decimos qué plan encaja: Fundación, Escalable o Gestionado.
Control Tower es un acelerador, no un destino. Vemos Organizations con Tower levantado y cuentas que igual se crean a mano, SCPs en default y logs que nadie consulta. El trabajo nuestro es dejar la fundación operable: pipeline de cuentas, baseline de red, Identity Center enganchado al IdP, y un equipo que sepa pedir una cuenta nueva sin abrir un ticket eterno.
Si no hay Tower, a veces conviene empezarlo; a veces un LZA o un pipeline propio es más honesto con el estado actual. La decisión es técnica y de skills, no de brochure.
Seguridad de la LZ no es “activar GuardDuty y listo”. Es definir quién puede salir a internet, qué regiones están habilitadas, cómo se heredan tags, y qué excepción se documenta cuando un vendor pide una cuenta con admin. Sin ese gobierno, la LZ es un árbol de cuentas tan caótico como la cuenta única.
En Argentina el caso típico es un programa de migración o un equipo que creció de 2 a 15 personas en AWS. Ahí la fundación evita que cada squad invente su VPC y su IAM. Si sos un solo developer con un side project, no necesitás este servicio.
El plan Fundación cubre Organization, cuentas de seguridad y logs, red mínima e Identity Center. El plan Escalable suma cuentas de workload, patrones de red por ambiente y CI/CD para altas. El plan Gestionado es la fundación viva: parches, excepciones y acompañamiento. Elegir de más es tan caro como elegir de menos: por eso el kickoff arranca por inventario, no por el brochure.
Si ya pagás Partners de AWS o un contrato de soporte, no lo pisamos. Encajamos la LZ en ese marco y dejamos por escrito quién opera qué. El cliente tiene que poder explicar la Organization en una auditoría sin llamarnos a las 3 de la mañana — aunque esté bien llamarnos si contrataron Gestionado.
El primer contacto no es una propuesta de 40 páginas. Es una conversación para entender si el dolor es real (licencias, releases, exámenes, cuentas AWS sueltas, un SIEM que nadie mira) y si nosotros somos el equipo correcto. Si no encaja, lo decimos. Si encaja, armamos un alcance con entregables, no con horas vagas.
Trabajamos con empresas e instituciones en Argentina y la región. El idioma de trabajo es español; la documentación técnica puede ir en el idioma que use el equipo. Facturamos como partner local. No hace falta que el proyecto sea multi-cloud: la mayoría vive 100% en un solo proveedor y está bien.
Las pruebas de concepto existen para no adivinar. Una POC de pipeline, de Wazuh, de una ola de VMs o de un Moodle en staging cuesta menos que un proyecto mal dimensionado. El formulario está en nodonorte.com/poc-nube y el contacto comercial en contactanos.
Después del go-live, el valor está en que el equipo cliente pueda seguir. Por eso insistimos en capacitación y en no dejar un access key innombrable como único procedimiento. Si quieren que operemos nosotros, se cotiza aparte y con SLA. Si quieren autonomía, el entregable incluye runbook y una sesión de pase.
Este sitio es una landing de un servicio, no un catálogo de todos los productos de moda. Si lo que necesitás es otra cosa —migración de nube, operación 24/7, una app de negocio— partí por nodonorte.com y lo encaminamos. Si es este servicio, las preguntas de arriba cubren lo que más nos consultan antes de una reunión.