VPC, subnets, security groups, RDS PostgreSQL 16, ElastiCache Redis, ECR y Secrets Manager. Módulos propios, estado remoto en S3, entornos dev/prod separados.

Build, push a ECR y actualización automática del repo de GitOps. Autenticación OIDC sin credenciales estáticas, roles IAM separados por permiso — apply detrás de aprobación manual.

El pipeline solo commitea el tag de imagen nuevo. ArgoCD observa el repo y aplica — con selfHeal y prune, cualquier cambio manual al cluster se revierte solo.

SCA de dependencias, escaneo de la imagen antes de subirla a ECR y SAST sobre los tres servicios en matriz. Secretos inyectados desde Secrets Manager, nunca versionados.

Manifiestos propios en vez de charts empaquetados, para entender cada pieza. Métricas de negocio instrumentadas en la app, tres dashboards provisionados desde git.

nginx-ingress ruteando por host, cert-manager emitiendo contra Let's Encrypt vía DNS-01, expuesto a internet con Cloudflare Tunnel sobre dominio propio — TLS de punta a punta.

Actions Runner Controller sobre Kubernetes, con una imagen de runner efímero custom — los pipelines no dependen de runners hosteados por GitHub.

Mismo set de manifiestos corriendo sobre EKS y en minikube local para iterar rápido.

Migración de un monolito (Express + SQLite) a 4 servicios (auth, catalog, orders, frontend) en k3s sobre EC2. Imágenes Docker multi-stage, charts de Helm propios, Terraform en repo dedicado con estado remoto y DNS en Cloudflare, pipelines de GitHub Actions con OIDC que actualizan el tag en el repo de GitOps, y ArgoCD (app-of-apps) sincronizando el cluster. Servicios expuestos con Gateway API sobre Traefik.

Diseño, aprovisionamiento y despliegue de prueba en ca-central-1: dos VPCs con peering, subredes públicas y privadas multi-AZ, ALB con TLS de ACM, EC2 privadas, RDS transaccional e histórico, Redis, S3 privado con CloudFront y OAC, VPC endpoints, Security Groups y NACLs, CloudWatch. Incluye diagrama de arquitectura y estimación de costos.