Xây Dựng Stack AWS CDK Đầu Tiên: Hướng Dẫn Thân Thiện Cho Người Mới Bắt Đầu

Làm Việc Với CDK Construct

Ứng dụng AWS CDK dựa vào construct như các yếu tố cấu trúc thiết yếu. Khi bạn thành thạo construct, mã hạ tầng của bạn sẽ trở nên mô-đun, dễ bảo trì và dễ đọc hơn, dù bạn dùng construct dịch vụ có sẵn hay tự tạo các mẫu tái sử dụng của riêng mình.

Phần này dạy bạn cách dùng construct L2 (cấp cao) và cách phát triển construct tùy chỉnh để giảm các mẫu lặp lại.

Sử dụng construct L2

Construct L2 là các trừu tượng gốc CDK dễ dùng hơn so với CloudFormation thô (L1). Chúng có mặc định hợp lý và an toàn kiểu, thường cần ít dòng mã hơn để thiết lập một tài nguyên AWS.

Vì sao dùng construct L2?

• Ít lặp mã — ít trường bắt buộc hơn so với L1
• Mã Python dễ đọc và tự nhiên hơn
• Bao gồm các phương thức tiện ích như .add_to_role_policy() hoặc .add_event_notification()
• Tự động quản lý phụ thuộc giữa các tài nguyên

Ví dụ: Tạo S3 bucket bằng L2

from aws_cdk import aws_s3 as s3
# Create a versioned and encrypted S3 bucket
bucket = s3.Bucket(
    self,
    "MyBucket",
    versioned=True,
    encryption=s3.BucketEncryption.S3_MANAGED
)Được hỗ trợ bởi

Construct L1 tương đương, s3.CfnBucket, sẽ cần thiết lập thủ công mọi thuộc tính và định nghĩa cấu hình dạng dict thô — kém trực quan hơn nhiều.

Các construct L2 phổ biến khác bao gồm:

• lambda_.Function() cho AWS Lambda
• dynamodb.Table() cho DynamoDB
• sqs.Queue() cho SQS
• sns.Topic() cho SNS

Tạo construct tùy chỉnh

Hạ tầng của bạn sẽ mở rộng với các mẫu lặp lại, như tạo hàm Lambda với quyền cụ thể và S3 bucket. Construct tùy chỉnh là giải pháp lý tưởng cho tình huống này.

Construct tùy chỉnh cho phép bạn kết hợp các tài nguyên liên quan thành một đơn vị logic duy nhất, có thể tái sử dụng trên các stack hoặc dự án.

Khi nào tạo construct tùy chỉnh:

• Khi bạn có từ 3+ tài nguyên luôn được cấp phát cùng nhau
• Khi bạn muốn đóng gói logic tái sử dụng
• Khi bạn muốn giảm trùng lặp mã giữa các stack

Ví dụ: Mẫu tái sử dụng S3 + Lambda

from constructs import Construct
from aws_cdk import aws_s3 as s3, aws_lambda as lambda_
class StorageWithLambda(Construct):
    def __init__(self, scope: Construct, id: str) -> None:
        super().__init__(scope, id)
        # S3 bucket
        self.bucket = s3.Bucket(self, "MyBucket")

        # Lambda function
        self.function = lambda_.Function(
            self,
            "MyFunction",
            runtime=lambda_.Runtime.PYTHON_3_9,
            handler="index.handler",
            code=lambda_.Code.from_asset("lambda")
        )
        # Grant Lambda access to the S3 bucket
        self.bucket.grant_read_write(self.function)Được hỗ trợ bởi

Giờ bạn có thể dùng construct này trong bất kỳ stack nào như sau:

from my_project.storage_with_lambda import StorageWithLambda
storage = StorageWithLambda(self, "ReusableComponent")Được hỗ trợ bởi

Trước khi chạy đoạn trên, hãy tạo một thư mục tên lambda ở thư mục gốc dự án và tạo tệp index.py với nội dung sau:

def handler(event, context):
    return {
        "statusCode": 200,
        "body": "Hello from Lambda!"
    }Được hỗ trợ bởi

Mẹo về khả năng tái sử dụng

• Tiền tố tệp với construct_ hoặc đặt trong thư mục constructs/
• Phơi bày output như self.bucket hoặc self.function để linh hoạt
• Giữ mỗi construct tập trung vào một trách nhiệm

Kiểm Thử và Tổng Hợp Ứng Dụng CDK

Sau khi viết mã hạ tầng, điều quan trọng là kiểm tra những gì CDK sẽ triển khai và lý tưởng nhất là kiểm thử để đảm bảo stack của bạn hoạt động như mong đợi. AWS CDK cung cấp công cụ để tổng hợp mẫu CloudFormation và viết kiểm thử tự động nhằm phát hiện cấu hình sai trước khi triển khai.

Tổng hợp mẫu

Lệnh cdk synth tạo mẫu CloudFormation từ mã CDK của bạn.

cdk synthĐược hỗ trợ bởi

Khi chạy, CDK sẽ:

• Tải ứng dụng của bạn (qua app.py)
• Giải quyết tất cả construct và stack
• Xuất mẫu CloudFormation YAML/JSON thô

Mẫu CloudFormation đã được tổng hợp 

Mặc định, kết quả in ra terminal, nhưng bạn cũng có thể xuất ra tệp nếu cần:

cdk synth > template.yamlĐược hỗ trợ bởi

Điều này hữu ích khi:

• Bạn muốn kiểm tra mẫu thực tế trước khi triển khai
• Bạn đang gỡ lỗi cấu trúc của stack
• Bạn chia sẻ mẫu với các nhóm không dùng CDK

Kiểm thử hạ tầng

Mặc dù kiểm thử hạ tầng như mã nghe có vẻ lạ, nhưng rất hữu ích, đặc biệt khi stack lớn hoặc bao gồm logic điều kiện, vòng lặp hoặc construct tái sử dụng.

AWS CDK cung cấp mô-đun assertions để kiểm thử các stack đã tổng hợp.

Viết một kiểm thử đơn giản với pytest

Dưới đây là ví dụ kiểm thử kiểm tra xem một tài nguyên cụ thể (như S3 bucket) có được đưa vào stack hay không:

# test/test_cdk_datacamp_stack.py
import aws_cdk as cdk
from aws_cdk.assertions import Template
from cdk_datacamp.cdk_datacamp_stack import CdkDatacampStack
def test_s3_bucket_created():
    app = cdk.App()
    stack = CdkDatacampStack(app, "TestStack")
    template = Template.from_stack(stack)
    # Assert that an S3 bucket exists
    template.resource_count_is("AWS::S3::Bucket", 1)Được hỗ trợ bởi

Để chạy kiểm thử, đảm bảo pytest đã được cài:

pip install -U pytestĐược hỗ trợ bởi

Sau đó chạy:

pytestĐược hỗ trợ bởi

Nếu mọi thứ vượt qua, bạn sẽ thấy dấu kiểm màu xanh. Nếu không, kết quả kiểm thử sẽ cho biết điều gì còn thiếu.

Kết quả Pytest cho thấy tất cả ca kiểm thử cho AWS CDK stack chạy thành công

Bạn cũng có thể đưa xác thực vào trong stack CDK của mình. Kiểm thử xác thực là các kiểm tra lúc chạy bên trong mã construct hoặc stack, xác thực đầu vào trước khi triển khai. Chúng giúp phát hiện cấu hình sai hoặc áp đặt ràng buộc sớm trong vòng đời phát triển.

Giả sử chúng ta muốn truyền bucket_name dưới dạng biến ngữ cảnh, nhưng muốn xác thực rằng:

• Tên bucket không rỗng
• Tuân thủ quy tắc đặt tên S3 (ví dụ: chỉ chữ thường)

Tạo tệp tên test/test_storage_with_lambda.py và thêm nội dung sau:

import pytest
from aws_cdk import App, Stack
from cdk_datacamp.storage_with_lambda import StorageWithLambda

def test_missing_bucket_name():
    app = App()
    stack = Stack(app, "TestStack")

    with pytest.raises(ValueError, match="bucket_name is required"):
        StorageWithLambda(stack, "FailingConstruct", bucket_name=None)

def test_bucket_name_uppercase():
    app = App()
    stack = Stack(app, "TestStack")

    with pytest.raises(ValueError, match="must be lowercase"):
        StorageWithLambda(stack, "FailingConstruct", bucket_name="InvalidName")Được hỗ trợ bởi

 Để kiểm thử phần xác thực, chạy lệnh dưới đây:

test/test_storage_with_lambda.pyĐược hỗ trợ bởi

Kết quả Pytest cho thấy tất cả ca kiểm thử cho AWS CDK stack chạy thành công

Khi nào nên dùng kiểm thử:

• Bạn đang tạo construct hoặc mẫu tái sử dụng.
• Việc triển khai kiểm thử nhằm thiết lập các yêu cầu kỹ thuật chuẩn trong nhóm.
• Bạn muốn bắt hồi quy hoặc thay đổi ngoài ý muốn trong CI/CD.

Muốn củng cố kiến thức CDK trong bối cảnh phỏng vấn? Những câu hỏi phỏng vấn AWS DevOps hàng đầu này có thể giúp bạn chuẩn bị.

Thực Hành Tốt và Mẹo Khi Làm Việc Với AWS CDK

Sau khi thành thạo việc tạo và triển khai CDK stack, bạn nên tuân theo các thực hành tốt để giữ cho mã hạ tầng sạch, an toàn và có khả năng mở rộng. Phần này sẽ thảo luận cách cấu trúc dự án lớn, xử lý bảo mật đúng cách và tích hợp CDK vào pipeline CI/CD.

Tổ chức các dự án lớn

Khi ứng dụng CDK của bạn phát triển, việc tổ chức mã thành các đơn vị dễ quản lý trở nên thiết yếu.

Dùng nhiều stack

Chia nhỏ hạ tầng theo mối quan tâm. Ví dụ:

• NetworkingStack: VPC, subnet, security group
• ComputeStack: EC2, Lambda
• StorageStack: S3, DynamoDB

Điều này cho phép bạn triển khai, kiểm thử hoặc hủy từng phần hạ tầng một cách độc lập. Sau đây là cách đưa vào app.py:

network_stack = NetworkingStack(app, "NetworkingStack")
compute_stack = ComputeStack(app, "ComputeStack")Được hỗ trợ bởi

Bạn cũng có thể truyền tài nguyên giữa các stack bằng output hoặc tham chiếu.

Tạo construct lồng nhau có thể tái sử dụng

Đóng gói các tài nguyên liên quan (như một Lambda và quyền của nó) thành một construct tùy chỉnh, như bạn đã làm với StorageWithLambda. Điều này cải thiện tính dễ đọc và khả năng tái sử dụng giữa các stack hoặc ứng dụng.

Dùng cấu hình theo môi trường

Hỗ trợ nhiều môi trường (dev, staging, prod) bằng cách sử dụng:

• cdk.json với các giá trị ngữ cảnh
• Ghi đè qua CLI: cdk deploy -c env=prod
• Logic điều kiện trong stack của bạn

env = app.node.try_get_context("env")
if env == "prod":
    bucket_name = "mycompany-prod-logs"Được hỗ trợ bởi

Bảo mật và quyền

Bất kỳ dự án hạ tầng nào cũng phải ưu tiên bảo mật trong các quy trình triển khai tự động của AWS CDK. Phần sau minh họa quản lý tài nguyên IAM an toàn theo nguyên tắc đặc quyền tối thiểu.

Định nghĩa vai trò IAM thay vì dùng mặc định

Các construct CDK, bao gồm Lambda hoặc tác vụ ECS, sẽ tự động tạo IAM role. Dù tiện lợi, điều này có thể hạn chế quyền kiểm soát của bạn đối với quyền hạn và đặt tên.

Thay vào đó, hãy định nghĩa role một cách tường minh:

from aws_cdk import aws_iam as iam

execution_role = iam.Role(
    self,
    "LambdaExecutionRole",
    assumed_by=iam.ServicePrincipal("lambda.amazonaws.com"),
    description="Custom role for Lambda with least privilege",
    managed_policies=[
        iam.ManagedPolicy.from_aws_managed_policy_name("service-role/AWSLambdaBasicExecutionRole")
    ]
)Được hỗ trợ bởi

Role này mặc định chỉ cho phép ghi log và không có gì khác.

Áp dụng nguyên tắc đặc quyền tối thiểu

Tránh dùng "*" trong actions hoặc resources trừ khi thực sự cần thiết.

Ví dụ:

lambda_fn.add_to_role_policy(
    iam.PolicyStatement(
        actions=["*"],
        resources=["*"]
    )
)Được hỗ trợ bởi

Bạn cũng có thể dùng các quyền cấp tài nguyên khi có sẵn:

bucket.grant_read(lambda_fn)Được hỗ trợ bởi

Điều này tự động tạo chính sách cần thiết với phạm vi truy cập giới hạn cho S3 bucket.

Dùng managed policy khi có thể

AWS-managed policy giúp đơn giản hóa bảo trì và giảm khả năng xảy ra lỗi.

iam.ManagedPolicy.from_aws_managed_policy_name("AmazonSQSReadOnlyAccess")Được hỗ trợ bởi

Bạn có thể đính kèm chúng vào role tùy chỉnh cho các dịch vụ như ECS, Batch hoặc Step Functions.

Tích hợp CI/CD

AWS CDK phát huy sức mạnh lớn nhờ khả năng tích hợp với các pipeline CI/CD hiện đại. CDK hỗ trợ phân phối hạ tầng tự động qua triển khai mã có kiểm soát phiên bản, tương thích với GitHub, GitLab và các dịch vụ gốc AWS như CodePipeline. Hệ thống giảm lỗi con người, rút ngắn vòng phản hồi và cho phép triển khai qua nhiều môi trường.

GitHub Actions: Tự động hóa triển khai CDK

Bạn có thể dùng GitHub Actions để synthesize, diff, kiểm thử và triển khai các CDK stack ở mỗi lần push hoặc pull request.

Xem tệp .github/workflows/deploy.yml này:

name: Deploy CDK App

on:
  push:
    branches:
      - main

jobs:
  deploy:
    runs-on: ubuntu-latest

    steps:
      - uses: actions/checkout@v3

      - uses: actions/setup-python@v4
        with:
          python-version: 3.11

      - name: Install dependencies
        run: |
          pip install -r requirements.txt
          npm install -g aws-cdk

      - name: Run unit tests
        run: pytest

      - name: CDK Synth
        run: cdk synth -c environment=prod

      - name: Deploy to AWS
        run: cdk deploy --require-approval never
        env:
          AWS_ACCESS_KEY_ID: ${{ secrets.AWS_ACCESS_KEY_ID }}
          AWS_SECRET_ACCESS_KEY: ${{ secrets.AWS_SECRET_ACCESS_KEY }}Được hỗ trợ bởi

Dùng cdk diff trong PR để xem trước thay đổi hạ tầng trước khi merge.

CDK pipelines: CI/CD gốc CDK với CodePipeline

Đối với triển khai được quản lý hoàn toàn trong AWS, CDK cung cấp mô-đun aws_cdk.pipelines, cho phép bạn định nghĩa toàn bộ pipeline CI/CD dưới dạng mã, giống như hạ tầng.

Dưới đây là ví dụ đơn giản hóa:

from aws_cdk import pipelines, SecretValue, Stack
from constructs import Construct
from my_app_stage import MyAppStage  # replace with your actual stage import

class PipelineStack(Stack):
    def __init__(
        self,
        scope: Construct,
        construct_id: str,
        **kwargs
    ) -> None:
        super().__init__(scope, construct_id, **kwargs)

        # Define the source of the pipeline from a GitHub repository
        source = pipelines.CodePipelineSource.git_hub(
            repo_string="your-org/your-repo",  # GitHub org/repo
            branch="main",
            authentication=SecretValue.secrets_manager("GITHUB_TOKEN")
        )

        # Define the CodePipeline and its synthesis step
        pipeline = pipelines.CodePipeline(
            self,
            "MyAppPipeline",
            synth=pipelines.ShellStep(
                "Synth",
                input=source,
                commands=[
                    "pip install -r requirements.txt",
                    "npm install -g aws-cdk",
                    "cdk synth"
                ]
            )
        )

        # Add an application stage (e.g., production deployment)
        pipeline.add_stage(
            MyAppStage(self, "ProdStage")
        )Được hỗ trợ bởi

Trong đoạn mã trên:

• SecretValue.secrets_manager("GITHUB_TOKEN") lấy token GitHub của bạn từ Secrets Manager một cách an toàn.
• MyAppStage nên là một lớp mở rộng Stage và bao bọc các CDK stack thực tế của bạn.

Nếu bạn đang triển khai hệ thống học máy, việc tích hợp CDK với thực hành triển khai liên tục được đề cập trong khóa học CI/CD for Machine Learning của chúng tôi.

Kết luận

Hướng dẫn này đã chỉ cho bạn cách xây dựng và triển khai hạ tầng đám mây bằng Python thông qua các thao tác với AWS Cloud Development Kit (CDK). Bạn đã học cách:

• Tạo CDK stack đầu tiên.
• Định nghĩa và xác thực các tài nguyên như S3 bucket và hàm Lambda.
• Tổ chức dự án thông qua construct tùy chỉnh và mẫu đa stack.
• Áp dụng thực hành bảo mật tốt theo nguyên tắc đặc quyền tối thiểu.
• Tự động hóa triển khai bằng cách kết hợp GitHub Actions với CDK Pipelines.
• Viết kiểm thử để xác thực logic hạ tầng.

Giờ bạn đã triển khai ứng dụng CDK đầu tiên, dưới đây là vài cách để nâng cao hơn:

• Dùng môi trường tham số hóa cho dev/staging/prod
• Thêm CloudWatch alarms, API Gateway hoặc Step Functions
• Khám phá các construct CDK như aws_s3_deployment, aws_ecs_patterns và cdk.pipelines
• Chuyển các construct của bạn thành thư viện Python nội bộ để tái sử dụng

Để tiếp tục học và xây dựng, hãy xem khóa học Introduction to AWS Boto in Python!