Cómo crear una base de datos RDS (MySQL) y conectar tu web sin dejarla abierta a internet

Amazon RDS es la base de datos "que mantiene Amazon": tú eliges el motor y el tamaño y ellos se ocupan de instalar, actualizar, copiar y vigilar. Es el paso natural cuando una web crece o cuando quieres que la base de datos no viva en la misma máquina que la web. El formulario tiene muchas opciones y una trampa: la casilla de acceso público. Si la marcas, la base de datos queda expuesta a internet; si no la marcas y no haces lo demás bien, la web no conecta y no sabes por qué. Esta guía recorre el camino correcto.

Paso a paso

1. Prepara el grupo de seguridad de la base de datos

   Antes del formulario, en EC2, Grupos de seguridad, Crear: nombre bd-interna, una regla de entrada tipo MYSQL/Aurora (puerto 3306) con origen el grupo de seguridad de tu máquina web (elige el grupo en el desplegable en vez de una IP). Así, solo las máquinas que lleven ese grupo podrán conectar. Si prefieres, en el formulario de RDS hay un atajo que lo hace por ti ("Conectar a una instancia EC2"), pero saber hacerlo a mano te servirá después.

2. Abre el formulario de RDS

   Consola de RDS, misma región que tu máquina, Crear base de datos. Elige Creación estándar (la fácil esconde la casilla de acceso público), motor MySQL, la versión recomendada. En plantillas, Capa gratuita si tu cuenta la tiene y es para probar, o Desarrollo/pruebas para una web pequeña; Producción activa Multi-AZ y cuesta más.

3. Nombre, usuario y tamaño

   Identificador bd-web. Usuario maestro admin o uno tuyo; contraseña: deja que la gestione AWS Secrets Manager si no te importa un pequeño coste, o pon una tuya larga y guárdala en un gestor de contraseñas. Clase de instancia: la más pequeña de la familia t (db.t4g.micro o db.t3.micro) para empezar; se cambia después. Almacenamiento gp3, 20 GB, con escalado automático activado y un tope razonable (por ejemplo 100 GB) para que no se llene.

4. Conectividad: la parte que importa

   En Conectividad: recurso de computación No conectar (lo haces con el grupo de seguridad), la VPC por defecto, Acceso público: No. En grupo de seguridad, Elegir existente y selecciona bd-interna; quita el default. Deja el puerto 3306. Más abajo, en Configuración adicional, escribe un nombre de base de datos inicial (tienda) para no tener que crearla a mano, deja activadas las copias automáticas con 7 días y una ventana de madrugada, y activa el cifrado. Crea. Tarda unos 5 o 10 minutos.

5. Prueba la conexión desde la máquina web

   Cuando el estado sea "Disponible", abre la base de datos y copia el punto de enlace de la pestaña Conectividad. Entra por SSH en tu máquina web y prueba:

   mysql -h tu-endpoint.eu-west-1.rds.amazonaws.com -u admin -p tienda

   Si entras, está todo bien. Si se queda colgado sin responder, es el grupo de seguridad (paso 1); si dice "Access denied", es el usuario o la contraseña.

6. Conecta la web y haz una copia

   En la configuración de tu aplicación cambia el servidor a ese punto de enlace, con el usuario y la contraseña. Si traes datos de otra base, vuélcalos con mysqldump e impórtalos con mysql como en cualquier migración. Cuando funcione, haz una instantánea manual desde RDS: tu primer punto de retorno seguro. Las copias automáticas seguirán cada día.

Qué puede salir mal