Problema

En varios entornos de aprendizaje y en proyectos piloto, los ingenieros se topan con el mensaje:

Your account is currently blocked from creating CloudFront distributions. Please contact AWS Support.

El error aparece al intentar crear la primera distribución de CloudFront, aun cuando la cuenta lleva semanas operando recursos como EC2, S3 o ECS. El bloqueo impide avanzar con la capa CDN, forzando a buscar alternativas externas o a abrir tickets de soporte que a menudo quedan sin respuesta. El patrón es claro: la cuenta está bajo una restricción de servicio que impide la creación de recursos de CloudFront, sin que el usuario haya recibido una notificación previa de límite excedido.

Causa

AWS protege su infraestructura mediante límites (service quotas) que se aplican automáticamente a cuentas nuevas o con bajo historial de facturación. Los bloqueos de CloudFront suelen deberse a una combinación de factores:

  1. Límite de creación de distribuciones para cuentas sin historial de pago
    Las cuentas recién creadas (menos de 90 días) y sin una tarjeta de crédito verificada pueden recibir un límite de “0” distribuciones. El sistema lo interpreta como un posible abuso y bloquea la acción.

  2. Detección de actividad sospechosa
    Un patrón de uso intensivo de otros servicios (por ejemplo, despliegues continuos de contenedores) sin una correlación clara con CloudFront puede activar filtros anti‑spam. AWS marca la cuenta como “potencialmente fraudulenta” y la bloquea.

  3. Política de “free‑tier” restrictiva
    El nivel gratuito permite crear recursos limitados. CloudFront no está incluido en la capa gratuita de forma ilimitada; la política de AWS exige que el usuario solicite explícitamente una excepción mediante un caso de soporte.

  4. Configuración de IAM insuficiente
    Aunque el mensaje menciona “blocked”, a veces la causa real es la ausencia de permisos cloudfront:CreateDistribution. En entornos con políticas estrictas, la llamada falla antes de llegar al límite real.

  5. Problemas de facturación pendientes
    Cualquier saldo negativo o método de pago rechazado puede desencadenar un bloqueo genérico que afecta a varios servicios, incluido CloudFront.

Solución

La solución se divide en tres pasos: validar la causa, solicitar la eliminación del bloqueo y, como alternativa, usar un método que no dependa de CloudFront.

1. Verificar límites y estado de facturación

aws cloudfront get-cloud-front-origin-access-identity-config --id test-id 2>/dev/null || echo "Sin acceso a CloudFront"
aws support describe-cases --include-resolved --max-results 10 --query "cases[?subject=='CloudFront limit']"
aws ce get-cost-and-usage --time-period Start=$(date -d '-30 days' +%Y-%m-%d),End=$(date +%Y-%m-%d) --granularity DAILY --metrics "UnblendedCost"
  • Si el primer comando devuelve un error de permiso, revisa la política IAM y añade cloudfront:* o al menos cloudfront:CreateDistribution.
  • El segundo comando muestra casos de soporte abiertos relacionados con límites; si no hay ninguno, el bloqueo es automático.
  • El tercer comando confirma que no hay cargos pendientes que impidan la creación de recursos.

2. Solicitar aumento de límite o desbloqueo mediante AWS Support (sin plan pago)

AWS permite crear casos de soporte gratuitos para problemas de “Service Limit Increase”. Usa la consola o el CLI:

aws support create-case \
  --subject "Request CloudFront distribution limit increase" \
  --service-code cloudfront \
  --category-code limits \
  --severity-code low \
  --communication-body "Account has been active for 60 days, running EC2/ECS workloads. Need to enable first CloudFront distribution for portfolio project." \
  --language en \
  --cc-email-addresses [email protected]
  • Selecciona “Service limit increase” y especifica “Number of distributions” como el recurso a desbloquear.
  • En el cuerpo del mensaje, menciona claramente que la cuenta está en el free‑tier, que ya tiene uso de otros servicios y que el bloqueo impide completar el proyecto de aprendizaje.
  • AWS suele responder en 24‑48 h incluso con el plan “Basic”. Si la respuesta tarda más, reabre el caso indicando la referencia del ticket anterior.

3. Alternativas mientras esperas la respuesta

  • Usar un Origin Access Identity (OAI) con S3 y habilitar la distribución desde la consola: a veces la UI ignora el bloqueo de la API y permite crear una distribución “manual”. No es garantía, pero vale probar.
  • Deploy de CloudFront a través de CloudFormation con AWS::CloudFront::Distribution: el motor de CloudFormation puede saltar la validación de límite y crear la distribución si la cuenta tiene permiso.
  • Migrar temporalmente a un CDN externo (Cloudflare, Fastly): si el proyecto necesita una CDN inmediata, esta opción evita la espera del soporte y permite seguir con el desarrollo.

Cuándo aplicar esta solución

  • Síntomas: error al crear una distribución, mensaje de bloqueo, ausencia de distribuciones en la consola, tickets de soporte sin asignar.
  • Entorno: cuentas nuevas (< 90 días), uso intensivo de otros servicios, sin plan de soporte pago.
  • No aplica: si la cuenta ya tiene distribuciones creadas y el error ocurre al crear una segunda, lo más probable es un límite de número máximo (por ejemplo, 100) y se necesita un aumento de cuota, no un desbloqueo total.

Código

# Paso 1: comprobar permisos IAM
aws iam simulate-principal-policy \
  --policy-source-arn arn:aws:iam::123456789012:user/your-user \
  --action-names cloudfront:CreateDistribution

# Paso 2: abrir caso de límite (CLI)
aws support create-case \
  --subject "Request CloudFront distribution limit increase" \
  --service-code cloudfront \
  --category-code limits \
  --severity-code low \
  --communication-body "Need first CloudFront distribution for portfolio. Account active 60 days, running EC2/ECS workloads." \
  --language en

Verificación

  1. Respuesta del caso: AWS envía un correo con el número de caso y la decisión. Si la respuesta es “limit increased to 1”, intenta crear la distribución nuevamente.
  2. Crear distribución de prueba: desde la consola, selecciona un bucket S3 como origen y despliega una distribución mínima. Si el proceso finaliza sin error, el bloqueo está levantado.
  3. Re‑ejecutar comando de límite: aws cloudfront list-distributions debe devolver al menos una entrada (incluso vacía) sin mensaje de bloqueo.

Notas adicionales

  • Mantén una tarjeta de crédito válida: incluso si no superas el free‑tier, AWS usa el método de pago para validar la cuenta y evitar bloqueos automáticos.
  • Documenta cada caso: guarda el ID del caso y la fecha de apertura; si necesitas escalar, puedes referirte a ese historial.
  • Evita crear y eliminar distribuciones rápidamente: cada creación cuenta contra el límite y puede acelerar la imposición de bloqueos.
  • Considera habilitar “Billing alerts”: una alerta de gasto de $0 ayuda a detectar problemas de facturación antes de que afecten a los límites.
  • Si el bloqueo persiste después de la aprobación, abre un nuevo caso indicando el número de caso anterior y solicita revisión manual; a veces el proceso automático falla por inconsistencias en la información de facturación.