AWS CloudFormation

AWS CloudFormation คือบริการ Infrastructure as Code (IaC) ที่ให้เราเขียน template (ไฟล์ YAML หรือ JSON) เพื่อประกาศว่าต้องการ AWS resources อะไรบ้าง แล้ว CloudFormation จะไป provision และจัดการให้ทั้งหมดแบบอัตโนมัติ แทนการกดสร้างทีละตัวใน Console (manual)

• No manual creation — ทุกอย่างถูก code ไว้ ลดความผิดพลาดและทำซ้ำได้ (reproducible)
• Version control — template เก็บใน Git ได้ ทำ code review ได้
• Cost tracking — แต่ละ resource มี stack ID ทำให้ tag และคำนวณค่าใช้จ่ายต่อ stack ได้ง่าย
• Declarative — เราบอก 'ปลายทาง' ที่ต้องการ ไม่ต้องเขียนลำดับการสร้างเอง CloudFormation จัดลำดับ dependency ให้
• CloudFormation ฟรี ไม่มีค่าบริการ จ่ายเฉพาะ resources ที่มันสร้าง

Template ประกอบด้วยหลาย section แต่จำสำคัญ: มีแค่ Resources เท่านั้นที่บังคับ (mandatory) section อื่น ๆ เป็น optional ทั้งหมด

Section อื่นที่ optional แต่พบบ่อย: Transform (ใช้เรียก macros / SAM), Description, AWSTemplateFormatVersion และ Rules

AWSTemplateFormatVersion: "2010-09-09"
Description: Demo template
Parameters:
  InstanceType:
    Type: String
    Default: t2.micro
    AllowedValues: [t2.micro, t2.small]
Resources:
  MyInstance:
    Type: AWS::EC2::Instance
    Properties:
      InstanceType: !Ref InstanceType
      ImageId: ami-0abcdef1234567890
Outputs:
  InstanceId:
    Value: !Ref MyInstance

Parameters (ค่า input แบบ dynamic)

Parameters ใช้รับค่าจากภายนอกตอน deploy ทำให้ template ยืดหยุ่นและ reuse ได้ มี properties สำคัญเช่น Type, Default, AllowedValues, AllowedPattern, MinLength/MaxLength, NoEcho (ซ่อนค่า เช่น password)

• ใช้ Parameters เมื่อค่านั้น 'ไม่รู้ล่วงหน้า' หรือ 'จะเปลี่ยนได้' เช่น instance type, key pair name
• Type พิเศษ: AWS-Specific Parameter Types เช่น AWS::EC2::KeyPair::KeyName ช่วยให้ Console แสดง dropdown และ validate ค่าจริงในบัญชีได้
• SSM Parameter Types — ดึงค่าจาก Systems Manager Parameter Store เช่นล่าสุดของ AMI ID ได้
• อ้างถึงค่าด้วย Fn::Ref (หรือ !Ref ใน YAML)

Mappings (ค่าคงที่แบบ lookup)

Mappings เป็นค่า static hard-code ที่รู้ล่วงหน้าทั้งหมด เหมาะกับ lookup table เช่น mapping Region -> AMI ID หรือ environment -> instance size อ่านค่าด้วย Fn::FindInMap [ MapName, TopLevelKey, SecondLevelKey ]

Mappings:
  RegionMap:
    us-east-1:
      AMI: ami-0ff8a91507f77f867
    ap-southeast-1:
      AMI: ami-08569b978cc4dfa10
Resources:
  MyInstance:
    Type: AWS::EC2::Instance
    Properties:
      ImageId: !FindInMap [RegionMap, !Ref "AWS::Region", AMI]

Intrinsic Functions คือฟังก์ชันที่ CloudFormation provide ให้ใช้อ้างอิงค่าระหว่าง resources/parameters ภายใน template เป็นหัวใจของข้อสอบ

• Condition Functions: Fn::And, Fn::Or, Fn::Not, Fn::Equals, Fn::If — ใช้สร้าง logic ใน Conditions section
• Fn::FindInMap — อ่านค่าจาก Mappings
• Fn::GetAZs — คืน list ของ Availability Zones ในภูมิภาคนั้น มักใช้คู่กับ Fn::Select
• UserData ต้อง wrap ด้วย Fn::Base64 เสมอ

# ตัวอย่างรวมหลายฟังก์ชัน
UserData:
  Fn::Base64: !Sub |
    #!/bin/bash
    echo "Region is ${AWS::Region}"
SubnetAZ: !Select [0, !GetAZs ""]
Name: !Join ["-", ["app", !Ref "AWS::StackName"]]

Pseudo Parameters คือค่าที่ AWS ให้มาในทุก template โดยไม่ต้องประกาศ ใช้ผ่าน !Ref ได้เลย

Conditions ใช้ควบคุมการสร้าง resource หรือกำหนดค่า property ตามเงื่อนไข เช่น สร้างต่างกันระหว่าง dev/prod หรือสร้างเฉพาะบาง Region เงื่อนไขประเมินจาก Parameters, Mappings หรือ condition อื่น

Parameters:
  EnvType:
    Type: String
    AllowedValues: [dev, prod]
Conditions:
  IsProduction: !Equals [!Ref EnvType, prod]
Resources:
  ProdOnlyBucket:
    Type: AWS::S3::Bucket
    Condition: IsProduction

• ผูกเงื่อนไขกับ resource ด้วย key Condition: ในตัว resource
• condition functions ใช้ได้: Fn::And, Fn::Or, Fn::Not, Fn::Equals
• ใช้ Fn::If เพื่อเลือกค่า property ตามเงื่อนไข (เลือกค่า ไม่ใช่สร้าง resource)

Stack คือกลุ่ม resources ที่ถูกจัดการเป็นหน่วยเดียวจาก template เดียว เมื่อลบ stack resources ทั้งหมดจะถูกลบตามไปด้วย (ยกเว้นที่ตั้ง DeletionPolicy ไว้)

Cross-Stack (Export + Fn::ImportValue)

ใช้ Outputs + Export เพื่อแชร์ค่า (เช่น VPC ID, SecurityGroup ID) ข้าม stack แล้ว stack อื่นดึงด้วย Fn::ImportValue เหมาะเมื่อ stack มี lifecycle แยกกันแต่ต้องพึ่งพากัน

• ชื่อ Export ต้อง unique ภายใน Region/บัญชีเดียวกัน
• ห้ามลบ/แก้ค่าที่ถูก Export อยู่ ถ้ายังมี stack อื่น ImportValue อยู่ -> จะ update/delete ไม่ได้
• Cross-stack reference ทำงานภายใน Region เดียวกันและบัญชีเดียวกัน เท่านั้น

Nested Stacks

Nested Stacks คือ stack ที่เป็นส่วนหนึ่งของ stack อื่น (parent) ใช้ resource type AWS::CloudFormation::Stack เหมาะกับการ reuse component ที่ใช้ซ้ำบ่อย เช่น Load Balancer config, security group มาตรฐาน

StackSets ใช้ deploy stack เดียวกันไปยัง หลายบัญชี (accounts) และหลาย Region พร้อมกัน จากจุดเดียว เมื่อ update template ตัว StackSet จะอัปเดต stack instances ทั้งหมดในทุก account/region ที่ผูกไว้

• เหมาะกับองค์กรที่ใช้ AWS Organizations ต้องการ baseline เหมือนกันทุกบัญชี เช่น IAM roles, security config
• มี administrator account (ที่สร้าง StackSet) และ target accounts (ที่ stack ไป deploy)
• รองรับ automatic deployment ไปยังบัญชีใหม่ที่เพิ่มเข้ามาใน Organization (ผ่าน service-managed permissions)
• เมื่อลบ stack instances จาก StackSet จะลบ resources ในทุก target ที่เลือก

Change Sets

Change Sets ให้เรา preview ว่าการ update stack จะกระทบ resources อย่างไรก่อนลงมือจริง โดยเฉพาะบอกว่า resource ไหนจะถูก replace (สร้างใหม่) เพราะการ replace อาจทำให้ข้อมูลหาย/downtime แต่ change set ไม่บอก ว่า update จะสำเร็จหรือไม่

Drift Detection

Drift Detection ตรวจว่า resource จริงถูกแก้ไข 'นอก CloudFormation' (เช่นกดแก้ใน Console / CLI) จนต่างจาก template หรือไม่ ถ้าต่างเรียกว่า drift ใช้หาว่าใครไปแก้ config มือเปล่า แต่ไม่ใช่ทุก resource ที่รองรับ drift detection

Rollback

• Create ล้มเหลว (default) -> rollback ลบทุกอย่างที่สร้าง สถานะกลับเป็นเหมือนไม่เคยสร้าง (ปิด rollback ได้เพื่อ debug)
• Update ล้มเหลว -> rollback กลับสู่สถานะก่อน update ที่ทำงานได้ (last known working state)
• Stack Policy ใช้ป้องกัน resource สำคัญไม่ให้ถูก update/replace โดยไม่ตั้งใจ — เมื่อมี stack policy แล้ว default คือ ทุก resource ถูกป้องกัน จนกว่าจะระบุ allow ชัดเจน

DeletionPolicy ควบคุมว่าเกิดอะไรกับ resource เมื่อ ลบออกจาก stack / ลบ stack ส่วน UpdateReplacePolicy ควบคุมตอน resource ถูก replace ระหว่าง update

• RDS DBInstance default DeletionPolicy คือ Snapshot (ระวัง: ค่า default ของ RDS ไม่ใช่ Delete)
• ถ้าตั้ง DeletionPolicy: Retain ควรตั้ง UpdateReplacePolicy: Retain ด้วยเพื่อกันข้อมูลหายตอน replace
• DependsOn บังคับลำดับการสร้าง: resource A จะสร้างหลัง B เสร็จ — ใช้เมื่อ CloudFormation เดา dependency เองไม่ได้ (ไม่มี Ref/GetAtt เชื่อมกัน)

Resources:
  MyDatabase:
    Type: AWS::RDS::DBInstance
    DeletionPolicy: Snapshot
    UpdateReplacePolicy: Snapshot
    Properties:
      Engine: mysql
      DBInstanceClass: db.t3.micro
      AllocatedStorage: "20"
      MasterUsername: admin
      MasterUserPassword: !Ref DBPassword

กลุ่ม cfn helper scripts ใช้ตั้งค่า EC2 instance หลังบูตและรายงานสถานะกลับมายัง CloudFormation

Resources:
  WebServer:
    Type: AWS::EC2::Instance
    CreationPolicy:
      ResourceSignal:
        Count: 1
        Timeout: PT10M   # รอสูงสุด 10 นาที
    Metadata:
      AWS::CloudFormation::Init:
        config:
          packages:
            yum:
              httpd: []
    Properties:
      ImageId: ami-0abcdef1234567890
      InstanceType: t2.micro
      UserData:
        Fn::Base64: !Sub |
          #!/bin/bash
          /opt/aws/bin/cfn-init -v --stack ${AWS::StackName} --resource WebServer --region ${AWS::Region}
          /opt/aws/bin/cfn-signal -e $? --stack ${AWS::StackName} --resource WebServer --region ${AWS::Region}