AWS SAM — Serverless Application Model

AWS SAM (Serverless Application Model) คือ framework แบบ open-source สำหรับสร้าง serverless application บน AWS (Lambda, API Gateway, DynamoDB, Step Functions ฯลฯ) จุดสำคัญที่ต้องจำคือ SAM เป็น extension ของ CloudFormation ไม่ใช่บริการแยก เราเขียน template สั้นๆ แบบ serverless แล้ว SAM จะ transform มันให้กลายเป็น CloudFormation resource เต็มรูปแบบตอน deploy

หัวใจคือ template ทุกไฟล์ต้องมีบรรทัด Transform: AWS::Serverless-2016-10-31 ซึ่งเป็น CloudFormation macro ที่บอกให้ engine ขยาย SAM syntax (เช่น 1 resource Function) ออกเป็นหลาย CloudFormation resource จริง (Lambda function + IAM Role + Log Group + API Gateway ฯลฯ)

AWSTemplateFormatVersion: '2010-09-09'
Transform: AWS::Serverless-2016-10-31   # บรรทัดบังคับของ SAM
Description: Hello SAM

Resources:
  HelloFunction:
    Type: AWS::Serverless::Function
    Properties:
      CodeUri: hello/        # local path ตอน dev
      Handler: app.handler
      Runtime: nodejs20.x
      Events:
        Api:
          Type: Api
          Properties:
            Path: /hello
            Method: get

• Transform: AWS::Serverless-2016-10-31 = ค่าคงที่ ต้องจำเป๊ะ (วันที่ 2016-10-31)
• SAM ใช้ engine ของ CloudFormation ทั้งหมด: stack, change set, rollback
• ผสม raw CloudFormation resource กับ SAM resource ในไฟล์เดียวได้
• ผลลัพธ์สุดท้ายคือ CloudFormation stack เสมอ

SAM มี resource type เฉพาะที่ขึ้นต้นด้วย AWS::Serverless:: ซึ่งย่อ resource หลายตัวให้เหลือสั้น แต่ละตัว map ไปยัง service ที่ต่างกัน

Globals — ลดการเขียนซ้ำ

Globals section ใช้กำหนดค่า default ที่ resource หลายตัวใช้ร่วมกัน รองรับ Function, Api, HttpApi, SimpleTable เช่นตั้ง Runtime/MemorySize/Timeout ของทุก Function ครั้งเดียว แล้ว resource แต่ละตัวยัง override ได้

Globals:
  Function:
    Runtime: nodejs20.x
    Timeout: 30
    MemorySize: 256
    Environment:
      Variables:
        TABLE_NAME: !Ref MyTable
  Api:
    Cors: "'*'"

Policy Templates — IAM แบบ least-privilege สำเร็จรูป

Policy Templates คือชุด IAM permission สำเร็จรูปที่ AWS scope ไว้แล้ว ใช้ใน property Policies ของ Function แค่ระบุชื่อ table/bucket ก็ได้สิทธิ์ที่จำเป็นแบบ least-privilege โดยไม่ต้องเขียน IAM policy เอง

MyFunction:
  Type: AWS::Serverless::Function
  Properties:
    Handler: app.handler
    Policies:
      - DynamoDBCrudPolicy:
          TableName: !Ref MyTable
      - S3ReadPolicy:
          BucketName: my-bucket
      - SQSSendMessagePolicy:
          QueueName: !GetAtt MyQueue.QueueName

• ตัวอย่าง template: DynamoDBCrudPolicy, DynamoDBReadPolicy, S3ReadPolicy, S3CrudPolicy, SQSSendMessagePolicy, SNSPublishMessagePolicy, LambdaInvokePolicy
• ลดความเสี่ยงให้สิทธิ์เกินจำเป็น (over-permissive)
• ยังใช้ raw IAM policy / managed policy ARN ผสมได้

SAM CLI เป็นเครื่องมือ command-line สำหรับ init, build, package, deploy และ test ในเครื่อง ลำดับ workflow มาตรฐานที่ต้องจำคือ build -> package -> deploy

# เริ่มโปรเจกต์ใหม่
sam init

# build แล้ว deploy แบบ interactive ครั้งแรก
sam build
sam deploy --guided   # ถาม stack name, region, S3 bucket, confirm changeset

# ครั้งต่อไป deploy ได้เลย (อ่านค่าเดิมจาก samconfig.toml)
sam deploy

# tail log
sam logs --stack-name my-stack --name MyFunction --tail

SAM CLI ทดสอบ serverless app ในเครื่องได้ผ่าน Docker (จำลอง Lambda runtime) ทำให้ debug ก่อน deploy ได้เร็ว

# จำลอง API Gateway บนเครื่อง (พอร์ต 3000)
sam local start-api

# เรียก function ครั้งเดียวด้วย event ที่ gen ขึ้น
sam local generate-event s3 put > event.json
sam local invoke MyFunction -e event.json

# เปิด local Lambda endpoint ให้ SDK เรียก
sam local start-lambda

Packaging ขึ้น S3

ตอน dev ในไฟล์ template CodeUri ชี้ local path เมื่อรัน sam package/deploy SAM จะ zip โค้ดอัปขึ้น S3 bucket แล้วเขียน packaged template ใหม่ให้ CodeUri เป็น S3 URI จากนั้น CloudFormation จึงดึง artifact จาก S3 ตอน deploy (กรณี container image จะอัปขึ้น ECR แทน)

SAM ผสานกับ CodeDeploy เพื่อทำ traffic shifting ของ Lambda แบบค่อยเป็นค่อยไป ลดความเสี่ยงเมื่อ deploy version ใหม่ มี 2 ส่วนสำคัญที่ต้องตั้งร่วมกัน

• AutoPublishAlias — สั่งให้ SAM publish Lambda version ใหม่ ทุกครั้งที่ deploy และชี้ alias ไปที่ version นั้น (จำเป็นต้องมีก่อน shift traffic ได้)
• DeploymentPreference — กำหนด รูปแบบ การ shift traffic (Type) และ Hooks สำหรับ validation

MyFunction:
  Type: AWS::Serverless::Function
  Properties:
    Handler: app.handler
    Runtime: nodejs20.x
    AutoPublishAlias: live        # จำเป็น! สร้าง version + alias
    DeploymentPreference:
      Type: Canary10Percent5Minutes
      Alarms:                      # ถ้า alarm trigger -> rollback
        - !Ref ErrorAlarm
      Hooks:
        PreTraffic: !Ref PreTrafficHookFn   # validate ก่อน shift
        PostTraffic: !Ref PostTrafficHookFn # validate หลัง shift

SAM Accelerate (sam sync)

SAM Accelerate ลดเวลา inner dev loop ด้วยคำสั่ง sam sync --watch ตรวจจับการเปลี่ยนแปลงและอัปเฉพาะส่วนที่เปลี่ยน เช่นถ้าแก้แค่ โค้ด Lambda จะอัปตรงไป Lambda service โดย ข้าม full CloudFormation deployment ทำให้เห็นผลเร็วขึ้นมากระหว่างพัฒนา

# sync การเปลี่ยนแปลงขึ้น cloud อัตโนมัติระหว่างพัฒนา
sam sync --watch --stack-name dev-stack

# sync เฉพาะ resource โค้ด (ข้าม infra) ให้เร็วสุด
sam sync --code --watch --stack-name dev-stack

Serverless Application Repository (SAR)

SAR เป็น managed repository ให้ค้นหา/แชร์/นำเข้า serverless application ที่ packaged ด้วย SAM เพื่อ reuse ได้ทั้ง public และ private (จำกัดเฉพาะ AWS account หรือทั้ง AWS Organization) นำเข้ามาใน template ของเราผ่าน AWS::Serverless::Application โดยอ้าง ApplicationId จาก SAR

MyNestedApp:
  Type: AWS::Serverless::Application
  Properties:
    Location:
      ApplicationId: arn:aws:serverlessrepo:us-east-1:123456789012:applications/my-app
      SemanticVersion: 1.0.0
    Parameters:
      TableName: my-table

• แชร์ public ให้ทุกคน หรือ private เฉพาะ account/Organization
• นำเข้าเป็น nested application ใน stack ของเรา
• ป้องกันการเขียน infra ซ้ำ (reuse best-practice apps)

ทั้ง SAM และ CDK สุดท้ายแปลงเป็น CloudFormation เหมือนกัน แต่ต่างที่วิธีเขียนและขอบเขต

• SAM = subset เฉพาะ serverless + ง่าย/สั้น/อ่านง่าย
• CDK = ทรงพลังกว่า ใช้ programming construct, loop, reuse component
• CDK สามารถใช้ SAM CLI ทดสอบ local ได้ (cdk synth แล้ว sam local invoke)
• ทั้งคู่ลงท้ายที่ CloudFormation stack