AWS roadmap под работу — это не гонка за бейджами Solutions Architect. В CIS junior DevOps и backend в 2026-м чаще просят конкретный контур: доступ, вычислитель, объектное хранилище, логи, секреты не в Git. Сертификат без аккаунта, где вы сами что-то чинили, на созвоне заканчивается быстро.
Ниже — какие сервисы закрывают вход, как собрать 90-дневную практику без разорения, чего избегать в резюме и как смотреть вакансии с AWS. Облако в СНГ может быть и другим (Yandex Cloud, Selectel, свой зал) — карта AWS имеет смысл, если язык объявлений про него, а не потому что «облако номер один».
Коротко:
- Сначала роль: backend с деплоем или DevOps/cloud junior. Наборы сервисов разные.
- Ядро: IAM на минимальных правах, VPC «на пальцах», EC2 или Lightsail/ECS Fargate — один вычислительный путь, S3, CloudWatch логи, RDS или управляемый Postgres.
- Сертификат — опция структуры учёбы, не замена репозитория с Terraform/CDK/консольными скринами в README (осторожно с секретами).
- Не коллекционируйте 30 сервисов из белой книги. Пишите те, что в вашем контуре.
- Готовность — приложение открывается по URL, вы объясняете, кто куда ходит и где ключи.
Кому AWS на junior, кому нет
Backend: уметь выкатить свой сервис и не хранить пароль в образе. Не обязан проектировать landing zone. DevOps/SRE/cloud: больше сетей, CI, наблюдаемость. Вход в DevOps: как стать DevOps-инженером, облачная роль: как стать cloud engineer. Навыки: навыки DevOps.
Если все вакансии про Yandex Cloud, не рисуйте AWS в skills «потому что международный стандарт». Учите то облако, куда откликаетесь, плюс переносимые идеи: IAM, сеть, объектное хранилище, логи.
Сервисы, которые стыкуются с наймом, не с каталогом AWS
- IAM. Пользователь vs роль, least privilege, почему не root каждый день, MFA на свой аккаунт.
- Сеть на пальцах. VPC, подсеть, security group как файрвол, зачем публичный IP не всему.
- Вычисления — один путь. EC2 с systemd/docker или ECS/Fargate или Elastic Beanstalk. Не все сразу.
- S3. Приватный бакет, политика, не «мир читает».
- База. RDS Postgres или свой Postgres на EC2 — как в проекте, с бэкапом «я включал».
- Логи и тревоги. CloudWatch: куда смотреть, когда 5xx. Простая тревога на недоступность.
- Секреты. SSM Parameter Store или Secrets Manager — один, не пароль в GitHub Actions в открытую.
Lambda + API Gateway — плюс, если serverless в вакансиях. Иначе не ядро. EKS на junior без Kubernetes-базы — ловушка. Сначала Docker: Docker roadmap.
Terraform или CloudFormation — один IaC, если в объявлениях IaC есть. Иначе даже консоль плюс зафиксированный список ресурсов в README лучше пустого «знаю Terraform».
Деньги, регионы, аккаунт
Учебный аккаунт легко сжечь. Включите биллинг-алерты в первый день. Гасите EC2, когда не работаете. Не поднимайте NAT и три NAT «как в проде enterprise». Регион — один, ближайший по легальности и пингу для вас; не обсуждайте санкционные схемы в резюме, работайте в рамках правил провайдера и закона.
Free tier не равен «можно не смотреть счёт». Скрин консоли с секретами и аккаунтом в публичный репозиторий — ошибка, не портфолио.
Сценарий на неделю после первых алертов: поднимите один t3.micro или аналог, поставьте Docker, выкатите API, повесьте security group только на 22 с вашего IP и на 80/443 публично, если это учебный HTTP. На следующий день посмотрите Cost Explorer: сколько съели диск, IP, RDS. Запишите в README. Это практическая облачная грамотность, не пункт экзамена.
Сеть словами, как на созвоне: инстанс в подсети, security group как список разрешённых портов, база либо в той же VPC без публичного доступа, либо RDS с ограниченной группой. Если не понимаете, зачем NAT — не поднимайте его «как в статье про прод». Для учебного API с одним пользователем публичный IP на EC2 проще и дешевле, чем «правильная» схема с тремя AZ.
CI: собрать образ и задеплоить по ssh или в ECS — плюс, если уже есть GitHub Actions без секретов в логах. Не начинайте с CodePipeline на все деньги. Один workflow: тест, сборка, выкладка. Если сломалось — читаете лог Actions, не «у меня локально работает». Это тот же навык, что и Docker logs.
Пример 1. 90 дней для backend+AWS
Тот же учебный API (Python/Java/Go) + Postgres + Docker, выкаченный на один вычислительный сервис, статическая раздача или объект в S3 для артефакта, логи, секрет БД не в образе.
- Дни 1–15. Аккаунт, биллинг-алерт, IAM-пользователь с узкими правами, ключи не в git.
- Дни 16–40. Сервис в Docker локально. Потом EC2 или Fargate — один путь. HTTPS по возможности (простой сертификат/прокси), хотя бы HTTP с пометкой в README, что это учебка.
- Дни 41–65. RDS или Postgres рядом, S3 для бэкапа выгрузки, CloudWatch логи приложения.
- Дни 66–90. Диаграмма в README (без секретов): кто ходит куда. Гашение ресурсов, оценка стоимости. Резюме: стек приложения + AWS-сервисы из контура. Отклики.
Откликаюсь на junior backend с AWS. Учебный сервис заказов: Docker, RDS Postgres, выкладка на EC2, логи в CloudWatch, секреты не в репозитории. Коммерческого облака в штате не было. Могу разобрать security group и почему бакет закрыт. README: [ссылка]. Готов к тестовому на деплой.
Пример 2. Сертификатная гонка vs контур
Было. Три месяца дампов экзамена. В skills: EC2, S3, Lambda, ECS, EKS, CloudFront, SQS, SNS, Redshift, Glue. В аккаунте — пусто. На созвоне: «это с курса».
Стало. Один контур из семи-восьми сервисов, которые реально созданы. Сертификат потом или никогда. В skills только они.
Второй вариант нанимают чаще на junior. Письмо: генератор как каркас. Резюме DevOps: резюме DevOps-инженера. Проверка: cv-review.
Чего избегать
- публичные бакеты «для удобства демо» с персональными данными;
- root-ключи в GitHub;
- EKS «чтобы было» при одном контейнере;
- копирование архитектуры Netflix в учебный аккаунт;
- список всех сервисов из magazinе «тренды облака».
На созвоне спросят: что такое security group, чем роль отличается от пользователя, куда смотреть, если 502. Держите свой README, не каталог AWS. Подготовка: вопросы на собеседовании DevOps, interview-prep.