AWS IaC
mit Python

Voraussetzungen

• Python 3.11 oder eine im Projekt festgelegte neuere Version
• Node.js für die CDK CLI
• AWS CLI v2
• AWS CDK CLI v2
• Git und ein Editor mit Python- und YAML-Unterstützung
• SSO, OIDC oder kurzlebige Rollen statt statischer Schlüssel

Tokens: Werte aus der Zukunft

bucket = s3.Bucket(self, "Data")

# Noch kein echter Name beim Python-Lauf:
name = bucket.bucket_name

CfnOutput(self, "Name", value=name)

Der Bucket-Name ist ein Token. CDK serialisiert eine Referenz in das Template. String-Ausgaben beim Synth können deshalb Platzhalter zeigen.

Escape Hatch

cfn_bucket = bucket.node.default_child
cfn_bucket.add_property_override(
    "Metadata.Owner", "platform"
)

Nur verwenden, wenn L2 eine neue Eigenschaft noch nicht anbietet. Den Override testen und später wieder entfernen.

Construct-API gestalten

Starke, typisierte Referenz

data = DataStack(app, "Data", env=env)

api = ApiStack(
    app,
    "Api",
    data_bucket=data.bucket,
    env=env,
)

# CDK erzeugt nötige Export/Import-Beziehung.

def __init__(..., data_bucket: s3.IBucket, **kwargs):
    super().__init__(..., **kwargs)
    fn = lambda_.Function(...)
    data_bucket.grant_read(fn)

Kopplung bewusst wählen

import aws_cdk as cdk
from aws_cdk.assertions import Match, Template
from src.data_stack import DataStack


def test_bucket_is_encrypted_and_versioned():
    app = cdk.App()
    stack = DataStack(app, "TestData")
    template = Template.from_stack(stack)

    template.has_resource_properties(
        "AWS::S3::Bucket",
        {
            "VersioningConfiguration": {
                "Status": "Enabled"
            },
            "PublicAccessBlockConfiguration":
                Match.object_like({
                    "BlockPublicAcls": True,
                    "BlockPublicPolicy": True,
                }),
        },
    )
    template.resource_count_is("AWS::S3::Bucket", 1)

Testpyramide für IaC

from aws_cdk import Aspects
from cdk_nag import AwsSolutionsChecks

Aspects.of(app).add(AwsSolutionsChecks())

Pseudo-Parameter

AWS::AccountId
AWS::Region
AWS::Partition
AWS::StackId
AWS::StackName
AWS::URLSuffix
AWS::NoValue
AWS::NotificationARNs

AWS::Partition statt festem aws verwenden, wenn Templates partitionsfähig sein sollen.

Bedingte Property

Conditions:
  IsProd: !Equals [!Ref Environment, prod]

Resources:
  Function:
    Type: AWS::Lambda::Function
    Properties:
      ReservedConcurrentExecutions: !If
        - IsProd
        - 50
        - !Ref AWS::NoValue

AWS::NoValue entfernt die Property vollständig, statt einen leeren Wert zu setzen.

Direkter Dev-Workflow

cfn-lint template.yaml

aws cloudformation validate-template \
  --template-body file://template.yaml

aws cloudformation deploy \
  --template-file template.yaml \
  --stack-name lab-data \
  --parameter-overrides Environment=dev \
  --capabilities CAPABILITY_NAMED_IAM \
  --no-fail-on-empty-changeset

In PowerShell Zeilenfortsetzung mit Backtick oder den Befehl einzeilig schreiben. Die Darstellung nutzt Backslashes aus Platzgründen.

Explizites Change Set

aws cloudformation create-change-set \
  --stack-name lab-data \
  --change-set-name review-001 \
  --change-set-type UPDATE \
  --template-body file://template.yaml \
  --capabilities CAPABILITY_NAMED_IAM

aws cloudformation describe-change-set \
  --stack-name lab-data \
  --change-set-name review-001

aws cloudformation execute-change-set \
  --stack-name lab-data \
  --change-set-name review-001

Für einen neuen Stack --change-set-type CREATE verwenden.

CDK: Grants statt Handarbeit

secret = secretsmanager.Secret.from_secret_name_v2(
    self, "DbSecret", "prod/app/database"
)

fn = lambda_.Function(...)
bucket.grant_read(fn)
queue.grant_send_messages(fn)
secret.grant_read(fn)

Grants erzeugen zielgerichtete Identity- oder Resource-Policies. Das Secret wird beim Synth nicht gelesen.

CloudFormation: dynamische Referenz

MasterUserPassword:
  '{{resolve:secretsmanager:prod/app/database:
    SecretString:password}}'

Der Wert bleibt außerhalb des Templates. Keine Ausgabe, kein Logging, kein Klartextparameter.

CDK pro Zielumgebung

targets = {
    "dev": cdk.Environment(
        account="111111111111",
        region="eu-central-1",
    ),
    "prod": cdk.Environment(
        account="222222222222",
        region="eu-central-1",
    ),
}

for stage, env in targets.items():
    AppStage(
        app,
        f"App-{stage}",
        env=env,
        stage_name=stage,
    )

Account-IDs sind Konfiguration, keine Geheimnisse. Rollen und Regionen dennoch zentral und überprüfbar halten.

Grenzen und Mechanismen

Verbindliche Tags

Project       = aws-iac-lab
Environment   = dev | stage | prod
Owner         = platform-team
CostCenter    = learning
ManagedBy     = cdk
DataClass     = internal
Criticality   = low | medium | high

Tag-Policies zentral definieren. Tagging ist für Kosten und Eigentum wichtig, ersetzt aber keine IAM- oder Account-Grenze.

Operational Readiness

• Dashboard und Alarme existieren.
• Log-Retention und Datenklassifizierung sind festgelegt.
• Backup wurde erfolgreich wiederhergestellt.
• Service Quotas passen zur Last.
• Fehlerbudget und SLO sind bekannt.
• Runbook nennt Diagnose und Eskalation.
• Kostenalarm und Budget sind aktiv.
• Eigentümer und On-Call-Weg sind klar.
• Drift-Prüfung läuft periodisch.

Transform: AWS::Serverless-2016-10-31
Resources:
  ApiFunction:
    Type: AWS::Serverless::Function
    Properties:
      Runtime: python3.13
      Handler: app.handler
      CodeUri: src/
      Timeout: 10
      Events:
        Api:
          Type: Api
          Properties:
            Path: /health
            Method: get

aws sts get-caller-identity

aws cloudformation describe-events \
  --stack-name LabData \
  --filters FailedEvents=true

aws cloudformation describe-stack-resources \
  --stack-name LabData

aws cloudtrail lookup-events \
  --lookup-attributes \
  AttributeKey=EventName,AttributeValue=CreateBucket

aws cloudformation create-change-set \
  --stack-name NAME \
  --change-set-name review-001 \
  --change-set-type UPDATE \
  --template-body file://template.yaml \
  --capabilities CAPABILITY_NAMED_IAM

aws cloudformation describe-change-set \
  --stack-name NAME \
  --change-set-name review-001

aws cloudformation execute-change-set \
  --stack-name NAME \
  --change-set-name review-001

aws cloudformation describe-events \
  --stack-name NAME \
  --filters FailedEvents=true

aws cloudformation cancel-update-stack \
  --stack-name NAME

aws cloudformation continue-update-rollback \
  --stack-name NAME