Datos y seguridad en Azure: Cosmos DB y Key Vault

Curso orientado a perfiles con base en Azure que necesitan trabajar con bases de datos NoSQL distribuidas y gestionar secretos y configuración de aplicaciones de forma segura. A partir del dominio previo de identidades y almacenamiento, el alumno aprende a diseñar contenedores en Cosmos DB eligiendo la partition key adecuada, ejecutar operaciones CRUD, optimizar el consumo de Request Units con índices compuestos, y gestionar consultas cross-partition con criterio. En la segunda mitad del curso aborda la gestión de secretos con Azure Key Vault: almacenar y recuperar secretos sin exponerlos en el código, configurar la rotación automática mediante Event Grid y aplicar el principio de mínimo privilegio diferenciando el plano de control del plano de datos. Al finalizar, el participante será capaz de modelar y operar una base de datos Cosmos DB optimizada para sus patrones de acceso y de gestionar el ciclo de vida de secretos en Key Vault con RBAC granular y auditoría completa.

Al finalizar el curso, el participante será capaz de:

• Diseñar un contenedor en Cosmos DB identificando la partition key adecuada al patrón de acceso y modelando la estructura del documento
• Ejecutar operaciones CRUD sobre Cosmos DB desde el Data Explorer del portal y desde Azure CLI
• Seleccionar entre consultas de partición única y cross-partition según el patrón de acceso, justificando el impacto en el consumo de Request Units
• Añadir índices compuestos a la política de indexación de un contenedor para soportar consultas con filtros combinados y ordenaciones
• Almacenar y recuperar secretos de forma segura con Azure Key Vault usando SDK, CLI y referencias de Key Vault en App Settings
• Configurar la rotación automática de secretos en Key Vault mediante notificaciones de Event Grid y comparar Key Vault con Azure App Configuration
• Aplicar el principio de mínimo privilegio en RBAC de Azure para controlar el acceso al plano de datos de Key Vault y auditar los accesos mediante logs de diagnóstico

1. Diseño de datos en Cosmos DB Modelo de datos NoSQL frente a relacional: documentos JSON, esquema flexible; jerarquía Cosmos DB: cuenta, base de datos, contenedor, documento; partition key: cardinalidad alta, distribución uniforme del tráfico y hot partitions; campo id y su relación con la partition key; niveles de consistencia: Strong, Bounded Staleness, Session, Consistent Prefix y Eventual; Request Units (RU/s) como unidad de coste; cuándo usar cada nivel de consistencia

2. Operaciones CRUD y ciclo de desarrollo Operaciones create, read, upsert, replace, delete y patch desde el Data Explorer; diferencia entre upsert y replace; campo id obligatorio y generación de IDs únicos; uso de az cosmosdb sql item para operaciones desde CLI; lectura de los campos de sistema: _ts, _etag, _rid; comparativa SDK directo frente a bindings de Azure Functions

3. Consultas y optimización de RU Consultas de partición única: filtro por partition key, coste bajo y localidad de datos; consultas cross-partition: fan-out a múltiples particiones físicas e impacto en RU; identificación de consultas cross-partition en los logs de diagnóstico; estrategias de mitigación: índices compuestos, rediseño del modelo con contenedor secundario, Azure Synapse Link para cargas analíticas

4. Índices compuestos Política de indexación por defecto: todos los campos indexados con índice de rango; cuándo son necesarios los índices compuestos: ORDER BY multi-campo y filtros igualdad + rango; sintaxis del índice compuesto en JSON: orden de campos y dirección; actualización de la política de indexación en caliente sin downtime; tiempo de reconstrucción proporcional al volumen de datos

5. Azure Key Vault: secretos, rotación y RBAC Tipos de objetos en Key Vault: secretos, claves y certificados; plano de control frente a plano de datos: roles ARM (Contributor) frente a roles del plano de datos (Key Vault Secrets Officer, Key Vault Secrets User); creación y recuperación de secretos con portal, CLI y SDK; Key Vault References en App Settings de App Service y Azure Functions; rotación automatizada mediante eventos de Event Grid: SecretNearExpiry y SecretExpired; comparativa Key Vault frente a Azure App Configuration: secretos frente a configuración no sensible; log de diagnóstico AuditEvent: habilitación, envío a Log Analytics y consultas KQL para auditoría

• Suscripción Azure activa con permisos sobre Cosmos DB, Key Vault y Event Grid
• Azure CLI configurado con credenciales y suscripción activa
• Terminal: bash, zsh o PowerShell
• Navegador web actualizado para acceso al Azure Portal y al Data Explorer de Cosmos DB
• Editor de texto para editar JSON de políticas de indexación (VS Code recomendado)

→ AZR01 — Azure: Entra ID y Blob Storage (Iniciación, 8h)

• Explicar la jerarquía organizativa de Azure: suscripciones, grupos de administración, grupos de recursos y regiones
• Crear usuarios, grupos y entidades de servicio en Microsoft Entra ID
• Aplicar mínimo privilegio con RBAC de Azure: asignaciones de rol al ámbito correcto
• Configurar Azure CLI con credenciales y suscripciones activas
• Controlar el acceso a recursos con RBAC y SAS tokens