AWS Beginner Guide

$ docker run -d --name moto -p 4566:4566 -e MOTO_PORT=4566 motoserver/moto
d49ddd555b87c54089343601ec707ee8c5c9777a61463415fc7298abcb75e7d4

$ docker ps --filter name=^moto$ --format "{{.Names}}: {{.Status}}, {{.Ports}}"
moto: Up 1 second, 0.0.0.0:4566->4566/tcp, [::]:4566->4566/tcp

$ aws --version
aws-cli/2.37.9 Python/3.14.6 Linux/6.12.76-linuxkit docker/aarch64.amzn.2023

$ aws sts get-caller-identity
{
    "UserId": "AKIAIOSFODNN7EXAMPLE",
    "Account": "123456789012",
    "Arn": "arn:aws:sts::123456789012:user/moto"
}

$ aws ec2 describe-availability-zones --query 'AvailabilityZones[].ZoneName' --output text
ap-southeast-7a	ap-southeast-7b	ap-southeast-7c

sts get-caller-identity answers "who am I?": run it whenever you're unsure which account or user your commands use. 123456789012 is the emulator's pretend account. --query picks fields out of the JSON answer and --output text prints them plainly.sts get-caller-identity ตอบคำถาม "ฉันคือใคร" ให้รันทุกครั้งที่ไม่แน่ใจว่าคำสั่งของเราใช้บัญชีหรือผู้ใช้คนไหน 123456789012 คือบัญชีสมมุติของ emulator ส่วน --query เลือกฟิลด์จากคำตอบที่เป็น JSON และ --output text พิมพ์ออกมาแบบข้อความธรรมดา

$ aws s3 mb s3://shop-photos
make_bucket: shop-photos

$ aws s3 cp cat.jpg s3://shop-photos/2026/cat.jpg
upload: ./cat.jpg to s3://shop-photos/2026/cat.jpg              

$ aws s3 ls s3://shop-photos --recursive
2026-10-05 19:13:18         33 2026/cat.jpg

$ aws s3 cp s3://shop-photos/2026/cat.jpg -
pretend this is a photo of a cat

$ aws s3api head-object --bucket shop-photos --key 2026/cat.jpg
{
    "AcceptRanges": "bytes",
    "LastModified": "2026-10-05T19:13:18+00:00",
    "ContentLength": 33,
    "ETag": "\"36d384c434c35f525140b9a18183aa10\"",
    "ContentType": "image/jpeg",
    "Metadata": {}
}

aws s3 has friendly commands like cp, ls and sync; aws s3api exposes every raw API call. - as a destination means "print it". S3 guessed the content type from the .jpg name.aws s3 มีคำสั่งที่ใช้ง่ายอย่าง cp, ls และ sync ส่วน aws s3api เปิดให้เรียก API ดิบได้ทุกตัว - ในตำแหน่งปลายทางแปลว่า "พิมพ์ออกมา" S3 เดาชนิดของเนื้อหาจากชื่อ .jpg

$ aws s3 presign s3://shop-photos/2026/cat.jpg --expires-in 900
http://localhost:4566/shop-photos/2026/cat.jpg?X-Amz-Algorithm=AWS4-HMAC-SHA256&X-Amz-Credential=test%2F20261005%2Fap-southeast-7%2Fs3%2Faws4_request&X-Amz-Date=20261005T191319Z&X-Amz-Expires=900&X-Amz-SignedHeaders=host&X-Amz-Signature=db383b088415781f453f1d0f58f61c6a00e5a7bd60a5d6dc6215ff789023b3f5

$ aws s3api put-bucket-versioning --bucket shop-photos --versioning-configuration Status=Enabled

$ echo "a newer cat photo" > cat.jpg && aws s3 cp cat.jpg s3://shop-photos/2026/cat.jpg
upload: ./cat.jpg to s3://shop-photos/2026/cat.jpg              

$ aws s3api list-object-versions --bucket shop-photos --prefix 2026/cat.jpg --query 'Versions[].[VersionId,IsLatest,Size]' --output table
---------------------------------------------------------
|                  ListObjectVersions                   |
+---------------------------------------+--------+------+
|  5fdee57c-7c6a-4401-9e37-c0435180893b |  True  |  18  |
|  null                                 |  False |  33  |
+---------------------------------------+--------+------+

Two versions of the same key: the new 18-byte file is the latest, and the original 33-byte one is still there with version null, because it was uploaded before versioning was switched on.key เดียวกันมีสองเวอร์ชัน ไฟล์ใหม่ขนาด 18 ไบต์เป็นเวอร์ชันล่าสุด และไฟล์เดิมขนาด 33 ไบต์ยังอยู่ด้วยเวอร์ชัน null เพราะถูกอัปโหลดก่อนเปิด versioning

$ docker rm -f moto && docker run -d --name moto -p 4566:4566 -e MOTO_PORT=4566 -e INITIAL_NO_AUTH_ACTION_COUNT=3 motoserver/moto
moto
98d03359944ba44b7230c7463913e1e6c37c462a8ea82427549c98f899025189

$ aws iam create-user --user-name admin --query User.Arn
$ aws iam put-user-policy --user-name admin --policy-name everything --policy-document '{"Version":"2012-10-17","Statement":[{"Effect":"Allow","Action":"*","Resource":"*"}]}'
$ aws iam create-access-key --user-name admin --query 'AccessKey.[AccessKeyId,SecretAccessKey]' --output text
"arn:aws:iam::123456789012:user/admin"
AKIARZPUZDIKEAS4FIEX	9MwcEbNg5jhbWiv7pCkZxO07Db0Z5zl7wLFSW7xt

$ export AWS_ACCESS_KEY_ID=AKIARZPUZDIKEAS4FIEX AWS_SECRET_ACCESS_KEY=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

$ aws s3 mb s3://photos && echo "a cat" > cat.txt && aws s3 cp cat.txt s3://photos/cat.txt
make_bucket: photos
upload: ./cat.txt to s3://photos/cat.txt                        

$ aws iam create-user --user-name reader --query User.Arn
$ aws iam put-user-policy --user-name reader --policy-name read-photos --policy-document file://read-photos.json
$ aws iam create-access-key --user-name reader --query 'AccessKey.[AccessKeyId,SecretAccessKey]' --output text
"arn:aws:iam::123456789012:user/reader"
AKIARZPUZDIKLZDR7ASJ	2H80udbpnez1nfSzigKcdnB457mGUUH2Y8W/0WMz

$ export AWS_ACCESS_KEY_ID=AKIARZPUZDIKLZDR7ASJ AWS_SECRET_ACCESS_KEY=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

$ aws sts get-caller-identity --query Arn
"arn:aws:iam::123456789012:user/reader"

$ aws s3 cp s3://photos/cat.txt -
a cat

$ aws s3 cp cat.txt s3://photos/dog.txt
upload failed: ./cat.txt to s3://photos/dog.txt An error occurred (AccessDenied) when calling the PutObject operation: Access Denied

$ aws s3 mb s3://my-own-bucket
make_bucket failed: s3://my-own-bucket An error occurred (AccessDenied) when calling the CreateBucket operation: Access Denied

Reading was allowed; uploading and creating a bucket were AccessDenied, because no statement allows them. That's least privilege: the reader can do exactly one job. (These keys belong to the emulator and work nowhere else; never paste real keys anywhere.)การอ่านได้รับอนุญาต ส่วนการอัปโหลดและการสร้าง bucket ได้ AccessDenied เพราะไม่มี statement ใดอนุญาต นี่คือสิทธิ์น้อยที่สุด reader ทำได้เพียงงานเดียวเท่านั้น (กุญแจเหล่านี้เป็นของ emulator และใช้ที่อื่นไม่ได้ อย่าวางกุญแจจริงไว้ที่ใดเด็ดขาด)

$ AWS_ACCESS_KEY_ID=AKIAEXAMPLEWRONGKEY0 AWS_SECRET_ACCESS_KEY=nope aws s3 cp s3://photos/cat.txt -
download failed: s3://photos/cat.txt to - An error occurred (403) when calling the HeadObject operation: Forbidden

$ aws dynamodb create-table --table-name orders \
  --attribute-definitions AttributeName=customer,AttributeType=S AttributeName=orderId,AttributeType=S \
  --key-schema AttributeName=customer,KeyType=HASH AttributeName=orderId,KeyType=RANGE \
  --billing-mode PAY_PER_REQUEST --query 'TableDescription.[TableName,TableStatus]'
[
    "orders",
    "ACTIVE"
]

$ aws dynamodb put-item --table-name orders --item '{"customer":{"S":"mya"},"orderId":{"S":"1001"},"total":{"N":"120"}}'
$ aws dynamodb put-item --table-name orders --item '{"customer":{"S":"mya"},"orderId":{"S":"1002"},"total":{"N":"45"}}'
$ aws dynamodb put-item --table-name orders --item '{"customer":{"S":"somchai"},"orderId":{"S":"1001"},"total":{"N":"300"}}'

$ aws dynamodb get-item --table-name orders --key '{"customer":{"S":"mya"},"orderId":{"S":"1002"}}'
{
    "Item": {
        "customer": {
            "S": "mya"
        },
        "orderId": {
            "S": "1002"
        },
        "total": {
            "N": "45"
        }
    }
}

$ aws dynamodb query --table-name orders --key-condition-expression "customer = :c" \
  --expression-attribute-values '{":c":{"S":"mya"}}' --query 'Items[].[orderId.S,total.N]' --output text
1001	120
1002	45

$ aws dynamodb scan --table-name orders --query 'Count'
3

In the raw API every value carries its type: S string, N number (sent as text). get-item needs the full key. query reads one partition, in sort-key order. scan reads the whole table: fine for 3 items, slow and expensive for 3 million.ใน API ดิบทุกค่ามีชนิดติดมาด้วย S คือ string และ N คือ number (ส่งเป็นข้อความ) get-item ต้องใช้ key ครบ query อ่าน partition เดียวโดยเรียงตาม sort key ส่วน scan อ่าน ทั้งตาราง ซึ่งไม่เป็นไรกับ 3 รายการ แต่ช้าและแพงกับ 3 ล้านรายการ

$ aws sqs create-queue --queue-name orders
{
    "QueueUrl": "http://localhost:4566/123456789012/orders"
}

$ aws sqs send-message --queue-url http://localhost:4566/123456789012/orders --message-body '{"orderId":"1001"}' --query MessageId
"fe4f464c-aa25-4df5-9f3b-205381e6a574"

$ read BODY HANDLE < <(aws sqs receive-message --queue-url http://localhost:4566/123456789012/orders --query 'Messages[0].[Body,ReceiptHandle]' --output text)
$ echo "$BODY"
$ aws sqs delete-message --queue-url http://localhost:4566/123456789012/orders --receipt-handle "$HANDLE" && echo deleted
$ aws sqs receive-message --queue-url http://localhost:4566/123456789012/orders
{"orderId":"1001"}
deleted

Deleting needs the receipt handle from that particular receive, not the message ID. After the delete, the queue was empty: the last receive-message printed nothing.การลบต้องใช้ receipt handle จากการรับครั้งนั้น ไม่ใช่ ID ของข้อความ หลังลบแล้วคิวก็ว่าง receive-message ครั้งสุดท้ายไม่พิมพ์อะไรออกมา

$ aws sns create-topic --name order-events
{
    "TopicArn": "arn:aws:sns:ap-southeast-7:123456789012:order-events"
}

$ aws sqs create-queue --queue-name emails --query QueueUrl
$ aws sns subscribe --topic-arn arn:aws:sns:ap-southeast-7:123456789012:order-events --protocol sqs \
  --notification-endpoint arn:aws:sqs:ap-southeast-7:123456789012:emails --query SubscriptionArn
"http://localhost:4566/123456789012/emails"
"arn:aws:sns:ap-southeast-7:123456789012:order-events:0ea3fb40-955f-427a-a8ed-6c075664863c"

$ aws sns publish --topic-arn arn:aws:sns:ap-southeast-7:123456789012:order-events --message "order 1001 paid" --query MessageId
"84b4b8a4-fd05-4de0-bdb4-c2bfcb900a5e"

$ aws sqs receive-message --queue-url http://localhost:4566/123456789012/emails --query 'Messages[0].Body' --output text \
  | python3 -c 'import json, sys; b = json.load(sys.stdin); print(b["Type"], b["TopicArn"], b["Message"], sep="\n")'
Notification
arn:aws:sns:ap-southeast-7:123456789012:order-events
order 1001 paid

The message published to the topic arrived in the emails queue, wrapped in an SNS envelope (a JSON document with the type, the topic and the original message).ข้อความที่เผยแพร่ไปยัง topic มาถึงคิว emails โดยห่อไว้ในซองของ SNS (เอกสาร JSON ที่มีชนิด topic และข้อความต้นฉบับ)

$ docker run -d --name hello-fn -p 9001:8080 -v "$PWD/fn:/var/task:ro" public.ecr.aws/lambda/nodejs:22 index.handler
aa165c8697755600040ffaa5679ecff5edb5cef5400236790c76e2baf25b9f29

$ curl -s -X POST localhost:9001/2015-03-31/functions/function/invocations -d '{"name": "Mya"}'; echo
{"statusCode":200,"body":"{\"message\":\"Hello, Mya!\",\"at\":\"2026-10-05T19:13:43.627Z\"}"}

$ docker logs hello-fn
05 Oct 2026 19:13:41,026 [INFO] (rapid) exec '/var/runtime/bootstrap' (cwd=/var/task, handler=)
START RequestId: d020a2e1-8bba-4633-85c8-ca919f172ab0 Version: $LATEST
05 Oct 2026 19:13:43,539 [INFO] (rapid) INIT START(type: on-demand, phase: init)
05 Oct 2026 19:13:43,539 [INFO] (rapid) The extension's directory "/opt/extensions" does not exist, assuming no extensions to be loaded.
05 Oct 2026 19:13:43,539 [INFO] (rapid) Starting runtime without AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY, AWS_SESSION_TOKEN , Expected?: false
05 Oct 2026 19:13:43,624 [INFO] (rapid) INIT RTDONE(status: success)
05 Oct 2026 19:13:43,624 [INFO] (rapid) INIT REPORT(durationMs: 85.499000)
05 Oct 2026 19:13:43,624 [INFO] (rapid) INVOKE START(requestId: d020a2e1-8bba-4633-85c8-ca919f172ab0)
2026-10-05T19:13:43.626Z	d020a2e1-8bba-4633-85c8-ca919f172ab0	INFO	event: {"name":"Mya"}
END RequestId: d020a2e1-8bba-4633-85c8-ca919f172ab0
REPORT RequestId: d020a2e1-8bba-4633-85c8-ca919f172ab0	Init Duration: 0.29 ms	Duration: 89.71 ms	Billed Duration: 90 ms	Memory Size: 3008 MB	Max Memory Used: 3008 MB	
05 Oct 2026 19:13:43,628 [INFO] (rapid) INVOKE RTDONE(status: success, produced bytes: 0, duration: 3.986000ms)

The log has the same START, END and REPORT lines Lambda writes to CloudWatch Logs, with the duration and the billed duration. Lines marked (rapid) come from the local emulator. console.log output appears between them with the request ID.log มีบรรทัด START, END และ REPORT แบบเดียวกับที่ Lambda เขียนลง CloudWatch Logs พร้อมระยะเวลาและเวลาที่คิดเงิน บรรทัดที่มี (rapid) มาจาก emulator ในเครื่อง ส่วนผลลัพธ์ของ console.log อยู่ระหว่างนั้นพร้อม ID ของคำขอ

$ cd fn && zip ../function.zip index.mjs
  adding: index.mjs (deflated 31%)

$ aws iam create-role --role-name hello-fn-role --assume-role-policy-document file://trust.json --query Role.Arn
"arn:aws:iam::123456789012:role/hello-fn-role"

$ aws lambda create-function --function-name hello --runtime nodejs22.x --handler index.handler \
  --role arn:aws:iam::123456789012:role/hello-fn-role --zip-file fileb://function.zip \
  --query '[FunctionName,Runtime,Handler,CodeSize]'
[
    "hello",
    "nodejs22.x",
    "index.handler",
    403
]

$ aws lambda list-functions --query 'Functions[].[FunctionName,Runtime,MemorySize,Timeout]' --output table
-------------------------------------
|           ListFunctions           |
+--------+--------------+------+----+
|  hello |  nodejs22.x  |  128 |  3 |
+--------+--------------+------+----+

The defaults are 128 MB of memory and a 3-second timeout; raise them per function. Moto stores the function, but in this lab the code itself ran in the base image above; on AWS, aws lambda invoke runs it.ค่าเริ่มต้นคือหน่วยความจำ 128 MB และเวลาสูงสุด 3 วินาที ปรับเพิ่มได้ในแต่ละฟังก์ชัน Moto เก็บฟังก์ชันไว้ แต่ในแล็บนี้ตัวโค้ดรันใน base image ข้างบน ส่วนบน AWS ใช้ aws lambda invoke เพื่อรัน

$ aws cloudformation create-stack --stack-name shop-dev --template-body file://template.yaml
{
    "StackId": "arn:aws:cloudformation:ap-southeast-7:123456789012:stack/shop-dev/7ec46e2a-9766-4573-893d-0e81ffa39a7d"
}

$ aws cloudformation wait stack-create-complete --stack-name shop-dev && echo "stack ready"
stack ready

$ aws cloudformation describe-stacks --stack-name shop-dev --query 'Stacks[0].Outputs' --output table
------------------------------------------------------------------------------------
|                                  DescribeStacks                                  |
+------------+---------------------------------------------------------------------+
|  OutputKey |                             OutputValue                             |
+------------+---------------------------------------------------------------------+
|  BucketName|  shop-uploads-dev                                                   |
|  TableName |  orders-dev                                                         |
|  QueueUrl  |  https://sqs.ap-southeast-7.amazonaws.com/123456789012/orders-dev   |
+------------+---------------------------------------------------------------------+

$ aws cloudformation list-stack-resources --stack-name shop-dev --query 'StackResourceSummaries[].[LogicalResourceId,ResourceType,ResourceStatus]' --output table
--------------------------------------------------------------
|                     ListStackResources                     |
+---------------+------------------------+-------------------+
|  UploadsBucket|  AWS::S3::Bucket       |  CREATE_COMPLETE  |
|  OrdersTable  |  AWS::DynamoDB::Table  |  CREATE_COMPLETE  |
|  OrdersQueue  |  AWS::SQS::Queue       |  CREATE_COMPLETE  |
+---------------+------------------------+-------------------+

$ aws s3 ls; aws dynamodb list-tables --query TableNames --output text
2026-10-05 19:15:38 shop-uploads-dev
orders-dev

One command created a bucket, a table and a queue. --parameter-overrides Env=prod (with aws cloudformation deploy) would make a second, separate copy for production from the same file. Terraform and the AWS CDK do the same job with different languages.คำสั่งเดียวสร้าง bucket ตาราง และคิว การใช้ --parameter-overrides Env=prod (กับ aws cloudformation deploy) จะสร้างอีกชุดที่แยกกันสำหรับ production จากไฟล์เดียวกัน Terraform และ AWS CDK ทำงานเดียวกันด้วยภาษาที่ต่างกัน

$ cd sdk && npm install @aws-sdk/client-s3 @aws-sdk/client-dynamodb @aws-sdk/lib-dynamodb
up to date, audited 35 packages in 713ms

found 0 vulnerabilities

$ cd sdk && node app.mjs
from S3: Order 1003: 2 x tea
from DynamoDB: [ { customer: 'mya', orderId: '1003', total: 90 } ]

DynamoDBDocumentClient converts plain JavaScript objects to the typed {"S": ...} format and back, so the item comes out as normal values.DynamoDBDocumentClient แปลงออบเจกต์ JavaScript ธรรมดาเป็นรูปแบบที่มีชนิด {"S": ...} และแปลงกลับ รายการที่ได้จึงออกมาเป็นค่าปกติ

$ aws s3 rm s3://shop-uploads-dev --recursive
$ aws cloudformation delete-stack --stack-name shop-dev
$ aws cloudformation wait stack-delete-complete --stack-name shop-dev && echo "stack deleted"
$ aws s3 ls; aws dynamodb list-tables --query TableNames --output text
delete: s3://shop-uploads-dev/receipts/1003.txt
stack deleted

$ aws ec2 create-vpc --cidr-block 10.0.0.0/16 --query Vpc.VpcId --output text
vpc-e6b10c38b552db77d

$ aws ec2 create-subnet --vpc-id vpc-e6b10c38b552db77d --cidr-block 10.0.0.0/24 --availability-zone ap-southeast-7a --query Subnet.SubnetId --output text
$ aws ec2 create-subnet --vpc-id vpc-e6b10c38b552db77d --cidr-block 10.0.16.0/20 --availability-zone ap-southeast-7a --query Subnet.SubnetId --output text
subnet-b82f4941f94483507
subnet-cee2ec56a3dd74a66

$ aws ec2 create-security-group --group-name web --description "HTTPS from anywhere" --vpc-id vpc-e6b10c38b552db77d --query GroupId --output text
sg-715170e6edf201859

$ aws ec2 authorize-security-group-ingress --group-id sg-715170e6edf201859 --protocol tcp --port 443 --cidr 0.0.0.0/0 --query 'SecurityGroupRules[0].[IpProtocol,FromPort,CidrIpv4]' --output text
tcp	443	0.0.0.0/0

$ aws ec2 describe-subnets --filters Name=vpc-id,Values=vpc-e6b10c38b552db77d --query 'Subnets[].[SubnetId,CidrBlock,AvailabilityZone,AvailableIpAddressCount]' --output table
-------------------------------------------------------------------------
|                            DescribeSubnets                            |
+---------------------------+---------------+-------------------+-------+
|  subnet-b82f4941f94483507 |  10.0.0.0/24  |  ap-southeast-7a  |  251  |
|  subnet-cee2ec56a3dd74a66 |  10.0.16.0/20 |  ap-southeast-7a  |  4091 |
+---------------------------+---------------+-------------------+-------+

A /24 shows 251 free addresses and a /20 4091: AWS keeps 5 in every subnet, as in the subnet lab of Cloud Fundamentals. A real setup adds an internet gateway, route tables and a NAT gateway, and creates the same subnets in a second zone; that's a lot of calls, which is why VPCs are usually built from a template./24 แสดง address ว่าง 251 และ /20 แสดง 4091 เพราะ AWS สงวน 5 address ในทุกซับเน็ต ตรงกับแล็บซับเน็ตใน Cloud Fundamentals ระบบจริงจะเพิ่ม internet gateway, route table และ NAT gateway และสร้างซับเน็ตชุดเดียวกันในอีก zone ซึ่งเป็นการเรียกจำนวนมาก VPC จึงมักสร้างจากเทมเพลต